Idee recue : Je n'ai pas de Donnees RGPD

L’idee recue

“Je n’ai pas de donnees personnelles. Je suis plombier/consultant/entrepreneur - je ne collecte pas de donnees comme Facebook.”

Cette idee recue vient de l’association entre “donnees” et la grande tech. Quand les gens entendent “donnees personnelles”, ils pensent a des bases de donnees avec des millions d’enregistrements. Cela semble tres eloigne d’une petite entreprise avec une poignee de clients.

Mais la definition des donnees personnelles est beaucoup plus large que la plupart des gens ne le realisent.

Qu’est-ce qu’une donnee personnelle ?

Une donnee personnelle est toute information qui peut directement ou indirectement identifier une personne physique. Cela inclut :

L’evident

• Nom complet
• Adresse du domicile
• Numero de telephone
• Adresse e-mail
• Date de naissance

Le moins evident

• Adresse IP
• Donnees de localisation
• Numero de client (s’il peut etre lie a un nom)
• Photos de personnes identifiables
• Enregistrements vocaux
• Images de videosurveillance

Ou vous avez des donnees personnelles (et ne le realisez probablement pas)

Votre telephone

• Contacts avec noms, numeros et adresses e-mail
• Conversations WhatsApp avec des clients
• Photos de chantiers avec des personnes identifiables

Votre ordinateur

• Boite e-mail avec la correspondance clients
• Tableurs avec des listes de clients ou de fournisseurs
• Factures avec noms, adresses et coordonnees bancaires

Votre comptabilite

• Factures avec noms et adresses de clients
• Releves bancaires montrant les details de paiement
• Fiches de paie des employes

Votre site web

• Soumissions de formulaires de contact
• Inscriptions a la newsletter
• Donnees d’analyse (adresses IP, comportement de navigation)

Votre espace de travail physique

• Cartes de visite dans un tiroir
• Notes avec des details clients
• Dossiers du personnel dans une armoire
• Contrats signes

Ce qu’il faut en retenir

Si vous dirigez une entreprise, vous traitez des donnees personnelles. Il n’y a pratiquement pas d’exceptions. Le RGPD ne se soucie pas du volume. Que vous ayez 10 enregistrements ou 10 millions, les memes regles s’appliquent.

Que faire ?

Pas de panique. Avoir des donnees personnelles est normal et necessaire pour gerer une entreprise. Le RGPD n’interdit pas le traitement des donnees personnelles - il exige simplement de le faire de maniere responsable :

1. Sachez ce que vous avez - faites un inventaire des donnees personnelles que vous traitez
2. Ayez une raison - assurez-vous d’avoir une base juridique valide pour chaque traitement
3. Soyez transparent - dites aux gens ce que vous faites avec leurs donnees
4. Gardez-les en securite - prenez des mesures de securite raisonnables
5. Ne les gardez pas indefiniment - supprimez les donnees dont vous n’avez plus besoin