Le RGPD, ou règlement général sur la protection des données, est la loi européenne qui encadre l'utilisation des informations personnelles. Il s'applique depuis le 25 mai 2018 à toute entreprise, même petite, qui collecte des données de personnes dans l'Union européenne.
Expliqué simplement
Quand un client vous confie ses clés de maison pour un chantier, vous ne les prêtez pas à n'importe qui, vous ne les gardez pas indéfiniment, et vous les rendez quand le travail est fini. Le RGPD applique ce bon sens aux informations personnelles : un nom, une adresse email, un numéro de téléphone, une adresse IP.
Le RGPD (règlement général sur la protection des données, ou GDPR en anglais) est un texte européen, le règlement 2016/679. Il est le même en Belgique, en France, au Luxembourg et dans tous les pays de l'Union. Il s'applique depuis le 25 mai 2018.
Comment ça marche ?
Une donnée personnelle, c'est toute information qui permet d'identifier une personne, directement (son nom) ou indirectement (son numéro de client, sa plaque d'immatriculation). Dès que vous en collectez, vous devez respecter quelques principes :
- Avoir une bonne raison : on ne collecte une donnée que si elle sert à quelque chose de précis (répondre à une demande de devis, livrer une commande).
- Collecter le minimum : pour un devis, inutile de demander la date de naissance.
- Informer : expliquer clairement qui collecte, pourquoi, combien de temps on garde les données et quels sont les droits de la personne. C'est le rôle de la politique de confidentialité.
- Demander l'accord quand il est nécessaire : pour une newsletter ou certains cookies, il faut un consentement actif, donné avant la collecte.
- Protéger : mots de passe solides, site sécurisé, accès limité aux personnes qui en ont besoin.
- Ne pas garder indéfiniment : on fixe une durée de conservation raisonnable.
Les personnes ont aussi des droits : savoir quelles données vous avez sur elles et en obtenir une copie, les faire corriger, demander leur effacement, s'opposer à la prospection. Selon la CNIL, vous avez au maximum un mois pour répondre à une demande.
Un exemple concret
Prenons un institut de beauté fictif à Charleroi. Son site propose un formulaire de réservation et une inscription à la newsletter.
- Le formulaire demande le nom, le téléphone et la prestation souhaitée : c'est justifié.
- La case « Je souhaite recevoir la newsletter » n'est pas cochée d'avance : la cliente choisit elle-même.
- Une politique de confidentialité, accessible en bas de chaque page, explique tout cela en mots simples.
- Une cliente demande à ne plus recevoir d'emails : on la retire de la liste sans tarder.
Pourquoi c'est important pour votre entreprise
D'abord, c'est une obligation légale, quelle que soit la taille de votre entreprise. Les sanctions peuvent aller jusqu'à 20 millions d'euros ou, pour une entreprise, 4 % du chiffre d'affaires annuel mondial. Ces montants sont des plafonds, réservés aux cas graves, mais des petites structures sont aussi contrôlées.
Ensuite, c'est une question de confiance. Un client qui voit que ses informations sont respectées remplit plus volontiers votre formulaire.
Mon conseil : listez sur une simple feuille toutes les données que vous collectez (formulaire, newsletter, boutique, outil de réservation) et, pour chacune, pourquoi et combien de temps vous la gardez. C'est le point de départ de toute mise en conformité.
Belgique, France, Luxembourg : qui contrôle ?
La règle est la même partout, mais chaque pays a son autorité de contrôle : l'Autorité de protection des données (APD) en Belgique, la CNIL en France et la CNPD au Luxembourg. C'est auprès d'elles qu'un client peut porter plainte.
Bon à savoir
- Une case précochée n'est pas un consentement.
- Un modèle copié sur un autre site ne correspond presque jamais à votre situation réelle. Vous pouvez partir de mon générateur gratuit de politique de confidentialité.
- Vos prestataires comptent aussi : outil d'emailing, hébergeur, logiciel de réservation traitent vos données. Choisissez-les sérieux.
- Le bandeau cookies n'est qu'une partie du RGPD, pas sa totalité.
Pour passer à l'action, suivez ma checklist RGPD pour votre site.
Questions fréquentes
Le RGPD concerne-t-il aussi les indépendants et les très petites entreprises ?
Oui. Le RGPD s'applique à toute organisation qui collecte des données personnelles, du grand groupe à l'indépendant complémentaire, en passant par les associations. Certaines obligations administratives sont allégées pour les petites structures, mais les principes de base restent les mêmes : informer, collecter le minimum, protéger les données et respecter les droits des personnes.
Un simple formulaire de contact est-il concerné par le RGPD ?
Oui, car il collecte au minimum un nom et une adresse email. Vous devez indiquer à quoi serviront ces informations (répondre à la demande), combien de temps vous les gardez, et renvoyer vers votre politique de confidentialité. Ne demandez que les champs vraiment utiles, et ne vous servez pas de ces adresses pour envoyer une newsletter sans accord.
Combien de temps puis-je garder les données de mes clients ?
Le RGPD ne fixe pas une durée unique : elle dépend de l'usage. Les données nécessaires à une commande se conservent le temps de la relation, puis selon vos obligations comptables. Pour une demande de devis restée sans suite, quelques années au plus est généralement raisonnable. L'important est de fixer une durée, de l'écrire dans votre politique de confidentialité et de la respecter.
