Deux événements, deux rythmes
Deux choses peuvent arriver à une PME, et elles ne se préparent pas de la même façon.
Une demande d'une personne : accès à ses données, effacement, rectification, opposition. C'est fréquent, souvent envoyé par un client mécontent ou un ancien salarié, et le délai est d'un mois.
Un contrôle de l'autorité : plus rare, souvent déclenché par une plainte ou par un manquement visible depuis l'extérieur, comme un bandeau cookies non conforme.
Le point commun : dans les deux cas, ce qui vous sauve est préparé avant, jamais pendant.
Répondre à une demande d'accès
La demande peut arriver par n'importe quel canal, y compris un message sur un réseau social ou une remarque dans un courriel. Il n'y a pas de formulaire obligatoire, et une demande mal formulée reste une demande.
La marche à suivre :
- Dater la réception. Le délai d'un mois court à partir de là.
- Vérifier l'identité, sans excès. Demander une pièce d'identité à quelqu'un qui écrit depuis l'adresse enregistrée dans votre base est disproportionné, et ce zèle est lui-même un manquement.
- Chercher partout. C'est l'étape longue : outil de gestion, messagerie, tableurs locaux, sauvegardes, outil de facturation. Le registre sert exactement à savoir où chercher.
- Répondre, même si la réponse est un refus motivé.
Le refus est possible et parfois obligatoire : vous ne pouvez pas effacer une facture, la loi comptable impose de la conserver. Expliquez-le, en citant l'obligation.
Ce qui se prépare à froid
La liste des endroits où vivent les données. C'est le registre, et c'est ce qui transforme une recherche de trois jours en une recherche d'une heure.
Un modèle de réponse. Écrit une fois, réutilisé ensuite.
Une personne désignée. Sans cela, la demande circule entre trois personnes et le délai s'écoule.
Le jour d'un contrôle
Un contrôle peut être sur place, en ligne, ou sur pièces. Trois réflexes.
Ne rien improviser. Une réponse fausse donnée de bonne foi crée une difficulté durable, car elle sera écrite au procès-verbal.
Ne rien modifier après coup. Antidater un document ou corriger un registre pendant un contrôle transforme un manquement ordinaire en faute grave.
Montrer ce que vous avez, même incomplet. Une PME qui présente un dossier imparfait mais réel et une démarche en cours n'est pas traitée comme une entreprise qui n'a rien fait. La bonne foi et le sérieux comptent dans l'appréciation.
À retenir
Datez la demande, vérifiez l'identité sans excès, cherchez à partir du registre, répondez même pour refuser. Préparez à froid la liste des endroits, un modèle et une personne. Et pendant un contrôle, n'inventez rien et ne réécrivez rien.