Données clients et RGPD

Vue de l'intérieur d'une entreprise, la protection des données ressemble à une collection d'interdictions. La question inverse est plus utile, et elle est la même sur tous les marchés : pour quelle finalité conservez-vous cette donnée, combien de temps vous faut-il pour cela, et que se passe-t-il ensuite ? Qui sait y répondre champ par champ a fait l'essentiel du travail — le reste est de la documentation.

L'entrée en matière est donc un inventaire plutôt qu'une liste à cocher. Que détenez-vous réellement : nom et téléphone, oui — mais aussi la note sur la dernière prestation, la photo, l'allergie, la remarque sur un ex-conjoint. Les données de santé, et tout ce que quelqu'un préférerait ne pas voir écrit, forment la catégorie sensible, et elles naissent au fil de la journée, pas dans le formulaire.

Deux situations font passer la théorie au cas réel. Une demande d'accès — quelqu'un veut savoir ce que vous détenez sur lui — ne se traite sereinement que si vous savez où se trouve quoi : dans le logiciel, l'agenda, la boîte mail, le téléphone d'une collègue. Et une politique d'effacement n'est pas une déclaration mais une règle par type de donnée, qui s'applique même quand personne n'y pense.

Dès qu'un prestataire traite des données pour votre compte — le logiciel, l'outil d'emailing, le comptable —, un contrat s'ajoute. Savoir quand il est requis et quand il ne l'est pas est une question bornée à réponse claire. Les articles de cette rubrique traitent les quatre sujets séparément ; lorsqu'une règle est citée, le marché auquel elle s'applique est précisé.