Données personnelles et registre de traitement
Qu'est-ce qu'une donnée personnelle
Une donnée personnelle est toute information permettant d'identifier directement ou indirectement une personne physique : nom, email, adresse IP, numéro de client, données de localisation. Une adresse email professionnelle (prenom.nom@entreprise.com) est une donnée personnelle, même en contexte professionnel.
Le registre des traitements : la pièce centrale
Le registre des traitements liste tous les traitements de données personnelles réalisés par l'entreprise : quelle donnée, pour quelle finalité, qui y a accès, combien de temps elle est conservée. Il est obligatoire pour la quasi-totalité des entreprises, quelle que soit leur taille.
| Traitement | Finalité | Données | Durée de conservation |
|---|---|---|---|
| Gestion de la paie | Obligation légale | Nom, salaire, RIB | 5 ans après départ |
| Newsletter marketing | Consentement | Email, prénom | Jusqu'au désabonnement |
| Support client | Exécution contrat | Nom, email, historique tickets | 3 ans après dernier contact |
Finalité et minimisation
Le RGPD impose de ne collecter que ce qui est nécessaire à la finalité annoncée. Un formulaire de contact qui demande la date de naissance sans raison précise viole ce principe de minimisation.
Cas concret côté IT
Une équipe IT met en place un nouvel outil de ticketing support. Avant le déploiement, elle doit identifier quelles données personnelles seront traitées (email client, historique des échanges), ajouter ce traitement au registre, et définir une durée de conservation cohérente (ex. 3 ans après le dernier contact), plutôt que de conserver indéfiniment par défaut.
Erreurs fréquentes
- Penser que le RGPD ne concerne que le marketing : tout système IT qui manipule des données de personnes physiques (employés, clients, prospects) est concerné, y compris les outils internes.
- Ne jamais mettre à jour le registre après l'ajout d'un nouvel outil ou service qui traite des données personnelles.
- Conserver des données indéfiniment "au cas où" sans durée de conservation définie, une non-conformité fréquente et facilement identifiable en cas de contrôle.
À retenir
- Une donnée personnelle identifie directement ou indirectement une personne, même en contexte professionnel.
- Le registre des traitements est obligatoire et doit être mis à jour à chaque nouveau traitement de données.
- Le principe de minimisation impose de ne collecter que les données réellement nécessaires à la finalité annoncée.
Mini-exercice
Une entreprise déploie un nouvel outil de visioconférence qui enregistre automatiquement les réunions, y compris les noms des participants. Que faut-il faire côté conformité avant le déploiement ?
Réponse : ajouter ce traitement au registre (finalité, données concernées, durée de conservation des enregistrements), et vérifier que les participants sont informés de l'enregistrement, condition de licéité du traitement.