Checklist : 7 étapes pour une conformité RGPD irréprochable des TPE en

Naviguer dans l’univers complexe de la protection des données peut s’apparenter à une traversée périlleuse pour de nombreuses petites et moyennes entreprises. Face aux acronymes comme RGPD, aux réglementations changeantes et à la peur des sanctions, il est facile de se sentir dépassé. Pourtant, loin d’être un fardeau, la conformité au Règlement Général sur la Protection des Données (RGPD) représente une opportunité unique de renforcer la confiance de vos clients, d’optimiser vos processus internes et, in fine, de consolider la réputation de votre entreprise. Ce n’est pas le monstre sous le lit de votre TPE, mais plutôt le super-héros discret qui protège vos données… et votre réputation ! Fini les cauchemars administratifs, nous allons transformer cette montagne en une petite colline accessible, notamment en matière de rgpdtpe.

En tant que cadre ou dirigeant, votre temps est précieux. Vous jonglez entre la gestion des équipes, le développement commercial et la stratégie à long terme. La dernière chose dont vous avez besoin, c’est de passer des heures à déchiffrer des textes juridiques abscons. Vous voulez des solutions claires, actionnables et surtout, efficaces pour la conformité RGPD rapide de votre entreprise. Bonne nouvelle : ce guide est fait pour vous ! Nous avons condensé l’essentiel en une démarche structurée, pensée pour les réalités des TPE et PME. Préparez-vous à démystifier le RGPD et à le transformer en un véritable atout stratégique. Découvrez notre checklist RGPD 2026 en 7 étapes, conçue pour les RGPD TPE qui veulent dormir sur leurs deux oreilles. Préparez-vous à devenir le Jedi de la protection des données PME !

Sommaire

• 1. Introduction : Ne laissez pas le RGPD vous donner des sueurs froides !
• 2. Étape 1 : Le Grand Ménage de Printemps des Données (Faites le tri, ça fait du bien !)
  • Identifiez vos trésors (et vos poubelles) de données
  • Le Registre des Activités de Traitement : Votre carnet de bord obligatoire
• 3. Étape 2 : Le Cadre Légal : Trouvez votre bonne raison (et la bonne case à cocher !)
  • Les 6 bases légales : Choisissez la vôtre (avec discernement !)
  • L’information des personnes : Jouez la carte de la transparence
• 4. Étape 3 : La Sécurité des Données : Protégez vos trésors comme Fort Knox (en plus simple !)
  • Mesures techniques : Antivol, serrure et caméras numériques
  • Mesures organisationnelles : Les bonnes habitudes de votre équipe
• 5. Étape 4 : Les Droits des Personnes : Offrez le libre-service (et la sortie de secours)
  • Accès, rectification, effacement : Le trio gagnant
  • Opposition, portabilité, limitation : Les options bonus (mais obligatoires)
• 6. Étape 5 : Les Prestataires et Partenaires : Choisir ses amis avec précaution
  • Contrats de sous-traitance : Le mariage de raison (et de conformité)
  • Transferts hors UE : Voyagez, mais avec un passeport en règle
• 7. Étape 6 : La Gestion des Incidents : Préparez votre plan « anti-catastrophe »
  • Détection et analyse : L’œil de lynx de la sécurité
  • Notification : La règle des 72 heures (le compte à rebours est lancé !)
• 8. Étape 7 : La Documentation et la Formation : L’arsenal pour rester serein
  • La preuve de votre bonne volonté : Documentez tout, absolument tout !
  • Sensibilisation et formation continue : Votre équipe, votre meilleure défense
• Conclusion : Le RGPD, un atout pour votre TPE !

2. Étape 1 : Le Grand Ménage de Printemps des Données (Faites le tri, ça fait du bien !)

Avant de construire une forteresse imprenable, il faut savoir ce que l’on protège. Imaginez que vous déménagez : vous ne jetez pas tout en vrac dans des cartons. Non, vous triez, vous jetez l’inutile, et vous organisez le reste. C’est exactement la même logique avec vos données personnelles. Cette première étape est fondamentale pour toute démarche de RGPD TPE. Elle vous permet non seulement de comprendre l’étendue de vos responsabilités, mais aussi d’identifier les zones à risque et de rationaliser vos processus.

Identifiez vos trésors (et vos poubelles) de données

La première mission, si vous l’acceptez, est de cartographier toutes les données personnelles que vous collectez, traitez et stockez. Cela peut sembler fastidieux, mais c’est la pierre angulaire de votre conformité. Où sont-elles ? Qui y a accès ? Pour quoi faire ? Chaque pièce du puzzle compte. Pensez à toutes les interactions avec vos clients, prospects, employés, et même les visiteurs de votre site web. Pour approfondir ce sujet, consultez résultats concrets rgpdtpe.

• Fichiers clients : Noms, prénoms, adresses e-mail, numéros de téléphone, historique d’achats.
• Données prospects : Informations collectées via des formulaires de contact, des salons professionnels, des campagnes marketing.
• Dossiers salariés : Coordonnées, informations bancaires, CV, entretiens annuels, données de santé (si applicable).
• Candidatures : CV et lettres de motivation reçus.
• Données de navigation web : Adresses IP, cookies, habitudes de consultation (via Google Analytics par exemple).
• Données CCTV : Si vous utilisez des caméras de surveillance dans vos locaux.

Conseil pratique : N’hésitez pas à impliquer les différents services de votre TPE. Le service commercial, les RH, la comptabilité, le marketing… chacun détient une partie des informations. Organisez des ateliers pour recenser toutes les données et leurs usages. C’est un excellent moyen de sensibiliser vos équipes dès le départ à la protection des données PME.

Le Registre des Activités de Traitement : Votre carnet de bord obligatoire

Une fois que vous avez identifié vos données, il est temps de les consigner dans un document clé : le Registre des Activités de Traitement. C’est votre preuve de bonne foi… et l’ami de la CNIL en cas de visite (imprévue mais pas improbable !). Ce registre n’est pas qu’une simple liste, c’est une description détaillée de chaque traitement de données personnelles que vous effectuez. Pour chaque activité, vous devrez indiquer :

• Le nom et les coordonnées de votre organisme (et de votre DPO si vous en avez un).
• Les finalités du traitement (pourquoi traitez-vous ces données ?).
• Les catégories de personnes concernées (clients, salariés, prospects…).
• Les catégories de données personnelles traitées (identité, coordonnées, données financières…).
• Les catégories de destinataires (internes, externes, sous-traitants…).
• Les transferts de données vers des pays tiers (hors UE).
• Les durées de conservation des données.
• Une description générale des mesures de sécurité techniques et organisationnelles.

Ce document est dynamique et doit être mis à jour régulièrement. Il est la clé de voûte de votre conformité RGPD rapide et vous permettra de toujours savoir où vous en êtes. Un tableau Excel ou un outil dédié peuvent grandement vous faciliter la tâche.

3. Étape 2 : Le Cadre Légal : Trouvez votre bonne raison (et la bonne case à cocher !)

Le RGPD ne vous interdit pas de traiter des données, il vous demande simplement de le faire avec une bonne raison, une justification légale. C’est un peu comme demander la permission avant d’emprunter la voiture de votre ami : vous avez le droit de l’utiliser, mais pas sans son accord ou une raison valable ! Cette étape est cruciale pour éviter les écueils et s’assurer que chaque traitement de données est solidement ancré dans la légalité. Sans une base légale valide, tous vos traitements sont considérés comme illicites.

Les 6 bases légales : Choisissez la vôtre (avec discernement !)

Le RGPD prévoit six bases légales pour justifier le traitement de données personnelles. Chaque traitement doit avoir sa justification. Ne trichez pas, la CNIL voit tout ! Il est essentiel de choisir la base la plus appropriée pour chaque situation, car cela impactera vos obligations et les droits des personnes.

1. Le consentement : La personne a donné son accord libre, spécifique, éclairé et univoque. (Ex: Inscription à une newsletter).
2. Le contrat : Le traitement est nécessaire à l’exécution d’un contrat ou de mesures précontractuelles. (Ex: Traitement des données pour livrer une commande).
3. L’obligation légale : Le traitement est nécessaire pour respecter une obligation légale. (Ex: Déclaration fiscale, gestion de la paie).
4. La sauvegarde des intérêts vitaux : Le traitement est nécessaire pour protéger la vie d’une personne. (Cas rares, souvent urgences médicales).
5. La mission d’intérêt public : Le traitement est nécessaire à l’exécution d’une mission d’intérêt public. (Concerne principalement les administrations publiques).
6. L’intérêt légitime : Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, sauf si les intérêts ou les libertés et droits fondamentaux de la personne concernée prévalent. (Ex: Prévention de la fraude, marketing direct ciblé avec certaines conditions).

Conseil : Le consentement n’est pas toujours la meilleure option, surtout pour les RGPD TPE. Il est révocable à tout moment et implique des exigences strictes en termes de preuve. Pour la gestion de vos salariés, c’est souvent le contrat ou l’obligation légale qui prime. Pour de la prospection B2B, l’intérêt légitime peut être pertinent sous certaines conditions.

L’information des personnes : Jouez la carte de la transparence

Une fois que vous avez votre base légale, il est impératif d’en informer les personnes concernées. C’est le principe de transparence. Informez clairement vos utilisateurs sur l’utilisation de leurs données. Politique de confidentialité, mentions légales : des documents clairs et accessibles sont vos meilleurs alliés. Ces documents doivent être rédigés dans un langage simple et compréhensible, évitant le jargon juridique.

Votre politique de confidentialité (ou charte de protection des données) doit mentionner :

• Votre identité et vos coordonnées.
• Les finalités du traitement et la base légale.
• Les catégories de données collectées.
• Les destinataires des données.
• La durée de conservation des données.
• Les droits des personnes (accès, rectification, effacement, opposition…).
• L’existence du droit de déposer une plainte auprès de la CNIL.
• Le cas échéant, l’existence d’un transfert de données hors UE.

Assurez-vous que ces informations sont facilement accessibles sur votre site web, dans vos contrats ou via tout autre support pertinent. C’est un pilier essentiel de la conformité RGPD rapide et un gage de confiance pour vos utilisateurs.

4. Étape 3 : La Sécurité des Données : Protégez vos trésors comme Fort Knox (en plus simple !)

Une fois que vous savez quelles données vous avez et pourquoi vous les traitez, il est temps de les protéger. Imaginez que vos données sont des lingots d’or. Vous ne les laisseriez pas traîner au milieu de la rue, n’est-ce pas ? La sécurité des données est un pilier fondamental du RGPD, et elle doit être adaptée à la nature, au contexte et aux finalités du traitement, ainsi qu’aux risques pour les droits et libertés des personnes. Pour une protection des données PME efficace, il faut combiner des outils techniques et de bonnes pratiques humaines.

Mesures techniques : Antivol, serrure et caméras numériques

Les mesures techniques sont les outils concrets que vous mettez en place pour sécuriser vos données. C’est l’équivalent des serrures, des alarmes et des caméras de surveillance pour votre Fort Knox numérique. Elles doivent être robustes et régulièrement mises à jour pour contrer les menaces évolutives.

• Mots de passe robustes : Exigez des mots de passe complexes (mélange de majuscules, minuscules, chiffres, symboles) et forcez leur renouvellement régulier. La double authentification (MFA) est un plus !
• Chiffrement des données : Chiffrez les données sensibles, que ce soit sur vos disques durs, vos serveurs ou lors de leur transfert.
• Sauvegardes régulières et sécurisées : Mettez en place un plan de sauvegarde (3-2-1 : 3 copies, sur 2 supports différents, dont 1 hors site) et testez-les régulièrement.
• Mises à jour logicielles : Appliquez systématiquement les mises à jour de sécurité de vos systèmes d’exploitation, logiciels et applications. Un logiciel obsolète est une porte ouverte aux cyberattaques.
• Protection antivirus et anti-malware : Installez et maintenez à jour des solutions de sécurité sur tous vos postes de travail et serveurs.
• Pare-feu (firewall) : Configurez un pare-feu pour contrôler le trafic réseau entrant et sortant.
• Accès restreints : Limitez les accès aux données aux seules personnes qui en ont réellement besoin pour leur travail (principe du moindre privilège).

La checklist RGPD 2026 évolue avec les technologies, restez informé des dernières recommandations en matière de cybersécurité pour les RGPD TPE.

Mesures organisationnelles : Les bonnes habitudes de votre équipe

Les outils techniques sont essentiels, mais ils ne sont rien sans les bonnes pratiques humaines. Les mesures organisationnelles concernent la manière dont votre équipe interagit avec les données et les procédures que vous mettez en place. Votre équipe est votre première ligne de défense !

• Sensibilisation et formation du personnel : Formez régulièrement vos employés aux bonnes pratiques de sécurité et aux enjeux du RGPD. Une erreur humaine est souvent la cause d’une fuite de données.
• Procédures d’accès et d’habilitation : Définissez clairement qui a accès à quelles données et pourquoi. Mettez en place des processus pour l’arrivée et le départ des collaborateurs.
• Gestion des incidents de sécurité : Ayez un plan clair sur la manière de réagir en cas d’incident (voir Étape 6).
• Charte informatique : Établissez une charte d’utilisation des systèmes d’information qui précise les règles à suivre (utilisation des e-mails, navigation internet, usage des équipements personnels, etc.).
• Politique de « clean desk » : Encouragez vos employés à ne pas laisser de documents sensibles sur leur bureau en fin de journée.
• Suppression sécurisée des données : Mettez en place des procédures pour la suppression définitive et sécurisée des données lorsque leur durée de conservation est atteinte.

La combinaison de mesures techniques robustes et d’une culture de sécurité forte au sein de votre RGPD TPE est la clé d’une protection des données PME efficace et d’une conformité RGPD rapide et durable.

5. Étape 4 : Les Droits des Personnes : Offrez le libre-service (et la sortie de secours)

Le RGPD est avant tout un règlement qui renforce les droits des individus sur leurs données personnelles. En tant qu’entreprise, vous avez une obligation de faciliter l’exercice de ces droits. Imaginez que vous êtes un client : vous apprécieriez de pouvoir gérer vos informations facilement, n’est-ce pas ? Offrir un « libre-service » des droits, c’est non seulement se conformer, mais aussi montrer un respect envers vos utilisateurs, ce qui renforce leur confiance. Une conformité RGPD rapide passe par une gestion fluide et réactive de ces demandes.

Accès, rectification, effacement : Le trio gagnant

Ces trois droits sont les plus fréquemment exercés et doivent être au cœur de vos processus. Mettez en place des processus simples pour permettre aux personnes d’exercer leurs droits sur leurs données. Imaginez devoir demander à un utilisateur de remplir un formulaire de 10 pages pour supprimer son compte… mauvaise idée ! Pour approfondir, consultez documentation technique officielle.

• Droit d’accès : Toute personne peut demander à savoir si ses données sont traitées, et si oui, obtenir une copie de ces données ainsi que des informations sur le traitement (finalités, destinataires, durée de conservation…).
• Droit de rectification : Si des données sont inexactes ou incomplètes, la personne peut demander leur correction. Vous devez y procéder dans les meilleurs délais.
• Droit à l’effacement (droit à l’oubli) : La personne peut demander la suppression de ses données, notamment si elles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, si elle retire son consentement, ou si le traitement est illicite. Attention, ce droit n’est pas absolu et peut être limité par d’autres obligations légales (par exemple, la conservation de factures).

Conseil pratique : Définissez une adresse e-mail dédiée (ex: dpo@votretpe.com ou privacy@votretpe.com) pour centraliser les demandes. Répondez dans les meilleurs délais, et au maximum sous un mois. Soyez transparent sur ce que vous pouvez ou ne pouvez pas faire, et pourquoi. Pour approfondir, consultez ressources développement.

Opposition, portabilité, limitation : Les options bonus (mais obligatoires)

Ne négligez pas ces droits, même s’ils sont moins fréquents. Ils sont la preuve d’une conformité RGPD rapide bien huilée et d’une démarche proactive en matière de protection des données PME. Bien que moins courants, ils sont tout aussi importants et doivent être pris en compte dans votre checklist RGPD 2026.

• Droit d’opposition : La personne peut s’opposer à un traitement de ses données, notamment pour des raisons tenant à sa situation particulière, ou lorsque le traitement est fondé sur l’intérêt légitime ou le marketing direct.
• Droit à la portabilité des données : La personne peut demander à récupérer ses données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement. Cela s’applique aux traitements fondés sur le consentement ou un contrat, et effectués à l’aide de procédés automatisés.
• Droit à la limitation du traitement : La personne peut demander de « geler » l’utilisation de ses données dans certaines situations (par exemple, si elle conteste l’exactitude des données, ou si le traitement est illicite mais qu’elle ne souhaite pas l’effacement).

Pour chaque droit, assurez-vous que vos équipes savent comment réagir et quelles procédures suivre. La réactivité et la clarté de vos réponses sont essentielles pour maintenir la confiance et éviter les réclamations auprès de la CNIL. Votre RGPD TPE doit être prête à gérer l’ensemble de ces demandes avec efficacité.

6. Étape 5 : Les Prestataires et Partenaires : Choisir ses amis avec précaution

Dans le monde des affaires moderne, il est rare qu’une TPE opère en vase clos. Vous travaillez probablement avec des hébergeurs, des agences marketing, des fournisseurs de logiciels CRM, des outils de gestion de la paie, etc. Tous ces acteurs traitent potentiellement des données personnelles pour votre compte. D’un point de vue RGPD, ils sont vos « sous-traitants ». Et devinez quoi ? Vous restez responsable de la manière dont ils traitent les données de vos clients. C’est un peu comme si vous prêtiez votre voiture : même si ce n’est pas vous au volant, vous êtes toujours le propriétaire et responsable des éventuels dégâts. La protection des données PME s’étend bien au-delà des murs de votre entreprise.

Contrats de sous-traitance : Le mariage de raison (et de conformité)

La règle d’or est simple : ne confiez pas vos clés à n’importe qui ! Avant de collaborer avec un prestataire, assurez-vous qu’il est lui aussi conforme au RGPD. La preuve de cette conformité doit être formalisée par un contrat de sous-traitance (ou un avenant à un contrat existant) qui respecte les exigences de l’article 28 du RGPD. Ce contrat est un document essentiel de votre checklist RGPD 2026.

Ce contrat doit notamment spécifier :

• L’objet, la durée, la nature et la finalité du traitement.
• Le type de données personnelles et les catégories de personnes concernées.
• Les obligations et droits du responsable de traitement (vous) et du sous-traitant.
• L’engagement du sous-traitant à traiter les données uniquement sur vos instructions documentées.
• L’obligation du sous-traitant d’assurer la confidentialité des données et de garantir la sécurité.
• La procédure en cas de violation de données.
• Les modalités de restitution ou de destruction des données à la fin du contrat.
• L’obligation du sous-traitant de vous assister pour le respect de vos propres obligations RGPD (droits des personnes, analyses d’impact…).

Conseil pratique : Ne vous contentez pas d’une simple clause générique. Lisez attentivement les « Data Processing Agreements » (DPA) que vous proposent vos prestataires. N’hésitez pas à les challenger si certaines clauses vous semblent insuffisantes. C’est un investissement de temps qui vous évitera bien des tracas par la suite pour votre RGPD TPE.

Transferts hors UE : Voyagez, mais avec un passeport en règle

Si vos données voyagent hors de l’Union Européenne (par exemple, si votre prestataire utilise des serveurs aux États-Unis), vous entrez dans un domaine plus complexe. Le RGPD est strict sur les transferts de données vers des pays tiers. Assurez-vous que le pays offre un niveau de protection adéquat ou mettez en place des garanties spécifiques. Pour approfondir, consultez documentation technique officielle.

Les principales garanties pour un transfert hors UE sont :

• Décision d’adéquation : La Commission Européenne a jugé que le pays tiers assure un niveau de protection suffisant (ex: Japon, Canada, Suisse).
• Clauses Contractuelles Types (CCT) : Ce sont des modèles de clauses contractuelles approuvées par la Commission Européenne, qui engagent le responsable de traitement et le sous-traitant à respecter les principes du RGPD. Elles doivent être complétées par des mesures techniques et organisationnelles supplémentaires si nécessaire (ex: chiffrement des données).
• Règles d’Entreprise Contraignantes (BCR) : Pour les groupes d’entreprises internationaux, elles permettent d’encadrer les transferts internes.

Le cas des États-Unis est particulièrement sensible depuis l’invalidation du « Privacy Shield ». Si vous utilisez des services américains (comme certains outils cloud, CRM, marketing), assurez-vous qu’ils ont mis en place les CCT et qu’ils proposent des garanties supplémentaires. C’est un point crucial pour une conformité RGPD rapide et robuste.

7. Étape 6 : La Gestion des Incidents : Préparez votre plan « anti-catastrophe »

Malgré toutes les précautions du monde, le risque zéro n’existe pas. Un incident de sécurité, une fuite de données, un accès non autorisé… cela peut arriver à n’importe quelle entreprise, quelle que soit sa taille. L’important n’est pas d’éviter à tout prix l’incident (ce qui est illusoire), mais d’être préparé à y faire face de manière efficace et rapide. Pensez à un pompier : il espère ne jamais intervenir, mais il est toujours prêt. Avoir un plan « anti-catastrophe » bien huilé est un signe de maturité pour votre RGPD TPE et un élément clé de votre checklist RGPD 2026.

Détection et analyse : L’œil de lynx de la sécurité

La première étape est de pouvoir détecter qu’un incident s’est produit. Mettez en place des outils et des procédures pour détecter rapidement toute violation de données (fuite, accès non autorisé). Cela inclut la surveillance de vos systèmes et la sensibilisation de vos équipes à signaler toute anomalie.

• Systèmes de surveillance : Utilisez des outils de journalisation et de surveillance pour détecter les activités suspectes sur vos serveurs ou réseaux.
• Alertes de sécurité : Configurez des alertes automatiques en cas de tentatives de connexion échouées répétées, d’accès à des fichiers sensibles, ou de modifications inattendues.
• Sensibilisation des employés : Formez votre personnel à reconnaître les tentatives de phishing, les e-mails suspects, et à signaler immédiatement tout incident potentiel à la personne ou au service désigné.
• Procédure de qualification : Une fois un incident détecté, mettez en place une procédure pour évaluer sa gravité : quelles données sont concernées ? Combien de personnes ? Quels sont les risques pour ces personnes ?

Plus vite vous détectez et analysez un incident, plus vite vous pourrez le maîtriser et limiter ses conséquences, ce qui est essentiel pour une conformité RGPD rapide.

Notification : La règle des 72 heures (le compte à rebours est lancé !)

Si la violation de données est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le RGPD impose une obligation de notification. En cas de violation grave, informez la CNIL dans les 72 heures. Et parfois, les personnes concernées. Pas de panique, mais de la réactivité !

• Notification à la CNIL : Si la violation de données personnelles est susceptible d’engendrer un risque pour les droits et libertés des personnes (vol de données bancaires, données de santé, etc.), vous devez la notifier à la CNIL dans les 72 heures après en avoir pris connaissance. Utilisez le formulaire en ligne dédié sur le site de la CNIL.
• Notification aux personnes concernées : Si la violation est susceptible d’engendrer un risque ÉLEVÉ pour les droits et libertés des personnes (usurpation d’identité, fraude, atteinte à la réputation…), vous devez également en informer directement les personnes concernées dans les meilleurs délais. Le message doit être clair, concis et expliquer la nature de la violation, les mesures prises, et les conseils pour se protéger.
• Documentation interne : Même si l’incident n’est pas notifiable à la CNIL, vous devez documenter TOUTES les violations de données, leur nature, leurs effets et les mesures correctives prises. Cette documentation est une preuve de votre diligence en cas de contrôle.

Un bon plan de gestion des incidents, testé et connu de vos équipes, est un gage de protection des données PME et un élément crucial de votre conformité RGPD rapide. N’attendez pas qu’un incident survienne pour y penser !

8. Étape 7 : La Documentation et la Formation : L’arsenal pour rester serein

Nous arrivons à la dernière étape de notre checklist RGPD 2026, et ce n’est pas la moins importante ! Le RGPD est basé sur le principe d’« accountability » ou de « responsabilité ». En clair : vous devez non seulement être conforme, mais aussi pouvoir le prouver à tout moment. C’est votre « dossier de preuves » en cas de contrôle de la CNIL. Et pour que cette conformité dure, il faut que toute votre équipe soit dans le coup. C’est l’équivalent d’un entraînement régulier pour un athlète : sans cela, les performances déclinent. C’est la clé d’une protection des données PME pérenne.

La preuve de votre bonne volonté : Documentez tout, absolument tout !

Le RGPD exige que vous soyez en mesure de démontrer votre conformité. Cela signifie que vous devez conserver toutes les preuves de votre démarche de conformité : registres, analyses d’impact, procédures, formations. C’est votre bouclier en cas de contrôle !

• Le Registre des Activités de Traitement : Nous en avons parlé à l’étape 1, il est le document central de votre conformité.
• Les politiques et procédures internes : Politique de confidentialité, chartes informatiques, procédures de gestion des droits des personnes, procédures de gestion des violations de données.
• Les contrats de sous-traitance : Tous les contrats signés avec vos prestataires et partenaires.
• Les Analyses d’Impact sur la Protection des Données (AIPD) : Si vous réalisez des traitements présentant un risque élevé pour les droits et libertés des personnes, une AIPD est obligatoire.
• Les preuves de consentement : Si vous basez un traitement sur le consentement, vous devez être en mesure de prouver que vous l’avez obtenu (date, moyen, informations fournies).
• Les registres des violations de données : Même si elles ne sont