RGPD en entreprise à Brest : sécuriser les données sans freiner l’activité

Votre entreprise à Brest gère des fichiers clients, des candidatures ou des données de salariés ? Le RGPD vous concerne, quelle que soit sa taille. La priorité n’est pas d’accumuler les documents juridiques, mais de repérer les données utilisées, de sécuriser leur circulation et d’organiser les réponses aux personnes concernées. Un accompagnement local peut faciliter ce travail, à condition de définir clairement les missions et les livrables attendus.

Identifier les obligations qui concernent vraiment votre entreprise

Le règlement général sur la protection des données s’applique aux traitements de données personnelles, y compris lorsqu’ils sont réalisés sur papier. Un nom associé à une commande, une adresse professionnelle nominative ou une photographie permettant d’identifier une personne entrent dans ce périmètre. À Brest comme ailleurs en France, la taille de l’entreprise ne constitue pas une exemption générale.

Partir des usages plutôt que des logiciels

Un inventaire utile commence par les activités : vendre, recruter, payer les salariés, gérer les fournisseurs ou assurer la sécurité des locaux. Pour chacune, identifiez les informations collectées, leur objectif, les personnes qui y accèdent et leur durée de conservation. Une boîte mail partagée ou un classeur de dossiers clients mérite autant d’attention qu’un logiciel de gestion.

Chaque traitement doit reposer sur une base légale adaptée : contrat, obligation légale, intérêt légitime ou consentement, notamment. Le consentement n’est pas nécessaire pour tout. Il ne faut pas demander une autorisation pour un traitement qui repose en réalité sur une obligation légale, comme certaines opérations de gestion de la paie.

Distinguer pilotage interne et DPO obligatoire

Désigner un interlocuteur interne facilite le suivi, mais nommer un délégué à la protection des données, ou DPO, n’est pas obligatoire dans toutes les entreprises. Cette obligation concerne notamment les organismes publics et certaines activités impliquant un suivi régulier et systématique des personnes à grande échelle, ou le traitement à grande échelle de données sensibles. Le besoin doit être évalué au regard de vos activités, pas seulement de votre effectif.

Construire un premier chantier RGPD réaliste

Une démarche efficace permet de retrouver rapidement qui utilise quelles données, pourquoi et avec quelles protections. Pour une PME brestoise, mieux vaut commencer par les traitements les plus exposés que chercher à tout corriger simultanément. Les dossiers de santé, les coordonnées bancaires, les accès administrateurs et les fichiers largement partagés demandent une vigilance particulière.

Le registre des traitements est un bon point d’appui, mais ne prouve pas à lui seul la conformité. Certaines structures de moins de 250 salariés bénéficient d’une dérogation limitée à sa tenue. Celle-ci ne couvre notamment pas les traitements non occasionnels. La gestion habituelle des clients ou des salariés conduit donc souvent à devoir documenter ces activités.

Pour chaque action, attribuez un responsable, une échéance et un élément vérifiable : mention publiée, accès supprimé, contrat revu ou procédure testée. La conformité doit pouvoir se démontrer, et pas seulement être annoncée dans une charte.

Vérifier les prestataires et les outils qui font circuler les données

Externaliser la paie, l’hébergement ou la prospection ne supprime pas vos responsabilités. Selon son rôle réel, un prestataire peut être votre sous-traitant au sens du RGPD, un responsable de traitement distinct ou, dans certains cas, un responsable conjoint. Cette qualification détermine les engagements à prévoir : elle ne se déduit pas simplement du titre du contrat.

Contrôler les engagements et les accès

Lorsqu’un prestataire traite des données pour votre compte, un contrat conforme à l’article 28 du RGPD doit encadrer la relation. Vérifiez notamment les instructions, la confidentialité, les mesures de sécurité, l’assistance en cas d’incident et les conditions de restitution ou de suppression des données. Demandez également quels autres sous-traitants interviennent et depuis quels pays les données peuvent être consultées.

Un outil présenté comme « hébergé en France » ne suffit pas à régler toutes les questions. L’assistance technique, les sociétés du groupe ou les sous-traitants ultérieurs peuvent entraîner des accès depuis d’autres pays. Les éventuels transferts hors de l’Espace économique européen nécessitent alors un examen spécifique et des garanties adaptées.

Les données peuvent se trouver dans le logiciel principal, mais aussi dans des exports comptables, des pièces jointes ou des espaces partagés. Supprimer une fiche dans l’application ne fait pas disparaître ses copies. Pour chaque fichier exporté, prévoyez un destinataire, un emplacement autorisé et une règle de suppression. Cette vérification permet de repérer des risques qu’un simple inventaire des logiciels ne révèle pas.

Choisir un accompagnement RGPD à Brest sur des critères concrets

La proximité peut être utile pour observer les pratiques sur site, réunir les équipes et comprendre les contraintes métier. Elle ne remplace ni la compétence juridique ni la compréhension des systèmes informatiques. Un consultant RGPD, un avocat et un prestataire informatique n’apportent pas exactement le même service ; leurs interventions peuvent se compléter.

Avant de comparer les devis, présentez votre activité, vos principaux outils, le nombre de sites et la nature des données traitées. Précisez aussi votre besoin : diagnostic initial, remise à niveau documentaire, DPO externalisé ou suivi récurrent. Sans périmètre commun, deux propositions tarifaires sont difficilement comparables.

• Des livrables définis : registre, analyse des écarts, plan d’action, modèles adaptés et procédures opérationnelles.
• Une méthode explicite : entretiens, examen des outils, vérification des contrats et restitution des priorités.
• Un partage clair des tâches : qui rédige, qui valide et qui met effectivement les changements en œuvre.
• Un suivi prévu : accompagnement après l’audit, actualisation documentaire et disponibilité en cas d’incident.

Méfiez-vous d’une promesse de conformité immédiate fondée uniquement sur un kit documentaire. Demandez plutôt un exemple anonymisé de livrable et la manière dont les recommandations seront adaptées à votre entreprise. Si vous externalisez la fonction de DPO, vérifiez également ses compétences, son indépendance, ses moyens et l’absence de conflit d’intérêts.

Faire vivre la conformité après le premier audit

Un audit décrit une situation à un instant donné. Un recrutement, un nouveau logiciel ou une campagne commerciale peut ensuite modifier les risques. Intégrez donc un contrôle des données personnelles aux décisions courantes : achat d’un outil, nouveau formulaire, changement de prestataire ou ouverture d’un accès distant. Certains projets à risque élevé peuvent nécessiter une analyse d’impact avant leur lancement.

Les équipes doivent aussi savoir reconnaître une demande d’accès ou d’effacement. Le délai de réponse est en principe d’un mois, avec une prolongation possible sous conditions. Une procédure simple doit préciser à qui transmettre la demande, comment vérifier l’identité lorsque c’est nécessaire et comment tracer la réponse.

Enfin, préparez la gestion des violations de données : envoi au mauvais destinataire, perte d’un ordinateur ou accès non autorisé. Documentez les incidents et évaluez leurs conséquences. Lorsqu’une violation présente un risque pour les droits et libertés des personnes, sa notification à la CNIL doit intervenir, si possible, dans les 72 heures après en avoir pris connaissance. Un risque élevé peut aussi imposer d’informer les personnes concernées.

Le bon objectif est une organisation capable d’agir : savoir où sont les données, réduire les accès inutiles, répondre aux demandes et réagir aux incidents. C’est sur ces capacités concrètes que doit se mesurer votre démarche RGPD.