Le plan d'action RGPD en entreprise

Le RGPD (Règlement Général sur la Protection des Données) impose aux entreprises une gestion rigoureuse des données personnelles pour garantir transparence, sécurité et respect des droits individuels. Après l’audit RGPD, arrive le temps de mener un plan d’action RGPD.

Une non-conformité peut certes coûter plusieurs milliers d’euros d’amende, mais le risque principal avant la sanction de l’autorité est de subir un contrôle CNIL. La majorité de ces contrôles sont issus d’une plainte d’un citoyen. Voici des exemples de non-conformité identifiées rapidement lors d’audits RGPD externes, et la méthode apliquée pour respecter les doits des citoyens.

Études de plans d’action RGPD réussis :

1. Société immobilière : Collecte illicite de données corrigée via une régularisation et de nouvelles méthodes conformes.

2. Entreprise de transport : Réduction des données RH excessives, comme les permis inutiles et photos d’employés.

3. Entreprise comptable : Masquage des numéros de sécurité sociale sur les bulletins de paie et sécurisation des fichiers.

Plan d’action RGPD en cas de collecte illicite de données par une agence immobilière

La non-conforité RGPD

Une petite agence immobilière, afin de trouver de nouveaux clients, utilisait une méthode illégale pour collecter des données personnelles. Elle récupérait directement des informations depuis les boîtes aux lettres des résidences, sans en informer les habitants ni obtenir leur consentement. Cette pratique servait ensuite à leur adresser des courriers postaux nominatifs à vocation commerciale.

Cette pratique enfreignait les règles du RGPD, notamment en ce qui concerne la transparence et la base légale du traitement des données. Le RGPD impose que toute collecte de données repose sur l’une des six bases légales définies par l’article 6, tout en respectant les principes de finalité et d’équité. Ces infractions ont conduit à la mise en place d’un plan d’action RGPD strict pour modifier cette pratique.

Plan d’action RGPD pour corriger le problème

Pour rectifier cette situation, l’entreprise a élaboré un plan en trois étapes, déployé sur une période de six mois.

Phase 1 : Arrêt immédiat
La collecte non conforme a été immédiatement suspendue. Un audit interne a révélé que 1 200 contacts avaient été obtenus de manière irrégulière au cours des 18 mois précédents.

Phase 2 : Régularisation des données existantes
Tous les contacts concernés ont reçu un courrier d’information expliquant la situation. Ce courrier précisait les finalités du traitement des données, la durée de conservation et les droits des personnes, tout en demandant leur consentement explicite pour continuer à être contactés. Une option simple de désinscription était également proposée.

Phase 3 : Mise en place de nouvelles procédures
De nouvelles méthodes de prospection, conformes au RGPD, ont été adoptées. Parmi elles :

• collecte de consentement individuel avant la collecte,

• utilisation de formulaires complet permettant aux personnes d’exercer leurs droits,

• interdiction de collecte sans information et consentement des personnes.

En parallèle, une formation obligatoire de 7 heures a été instaurée pour sensibiliser l’équipe aux bases légales et aux nouvelles procédures.

Résultats du plan d’action RGPD

Les efforts déployés ont rapidement produit des résultats tangibles, comme le montrent les indicateurs suivants :

L’augmentation du taux de conversion, passé de 2,1% à 3,8%, reflète la qualité supérieure des contacts obtenus grâce à un consentement explicite. Bien que le coût par contact ait augmenté, le retour sur investissement global s’est amélioré grâce à cette meilleure performance.

Enfin, l’absence de nouvelles réclamations auprès de la CNIL démontre l’efficacité des mesures prises. Ce plan d’action RGPD a non seulement permis de corriger une pratique non conforme, mais aussi de renforcer l’image de la société en adoptant une approche éthique et respectueuse des règles pour ses activités commerciales.

Plan d’action RGPD en cas de collecte excessive des permis de conduire des employés dans les RH

La non-conformité RGPD

Cette étude de cas met en lumière deux problématiques rencontrées dans le cadre d’un audit RGPD, par une entreprise de transport routier dans la gestion des données de ses employés.

Premièrement, l’entreprise avait pour habitude de copier systématiquement les permis de conduire de tous ses employés, y compris ceux qui n’étaient pas impliqués dans la conduite de véhicules au quotidien. Cette pratique allait à l’encontre du principe de minimisation des données prévu par le RGPD, qui exige de ne collecter que les informations strictement nécessaires à un objectif donné.

L’audit a révélé que cette procédure était excessive, dans la mesure où, l’employeur ne pouvait garantir que l’employé était toujours en possession du permis de conduire plusieurs mois, voire années, après la copie du document. Le fait de conserver une copie des permis de conduire, qui plus est sans chiffrement, ni restriction d’accès, expose les employés à un risque d’usurpation d’identité en cas de violation de données. Dans un tel scenario, l’employé serait en droit de réclamer des dommages et interets à son patron.

Pour remédier à cette situation, un plan d’action RGPD en quatre étapes a été mis en place :

• Identifier les copies de permis stockés en différents endroits numériques.

• Recensser les personnes concernées et les informer de l’effacement des document.

• Créer une attestion permettant aux managers de receuillir périodiquement la confirmation écrite des salariés qu’ils disposent toujours du permis de conduire.

• Créer un registre des numéros de permis de conduire des employés permetant à l’employeur de répondre à ses obligations légales.

En parallèle, l’entreprise a également révisé d’autres pratiques liées aux pièces d’identité et l’utilisation des images des employés.

Abus d’utilisation des photos des employés

Un autre problème concernait la diffusion de photos d’employés prises lors d’événements professionnels et diffuser sur le web.

Pour corriger cela, l’entreprise a contacté chaque employé individuellement afin d’expliquer la situation. Suite à ces entretiens, les employés ont pu donner leur autorisation à la diffusion de leur image (attention, on ne parle pas de consentement dans une relation employeur/employé) via un formulaire spécialement créé. Ce dernier précisait les finalités de l’utilisation des photos, les supports concernés et la durée de conservation, et les doits dont disposent les salariés.

Pour éviter que ce type de problème ne se reproduise, une procédure systématique a été mise en place avant toute prise de vue. Les employés sont désormais informés à l’avance et peuvent refuser d’être photographiés. Une politique officielle de gestion des images a également été adoptée, incluant un registre dédié et une procédure simple permettant aux employés de demander le retrait de leurs photos.

Ces ajustements, qu’il s’agisse de la collecte de documents ou de la gestion des images, ont considérablement amélioré les pratiques RH.

Résultats qualitatifs du plna d’action RGPD

Les actions entreprises ont permis de rationaliser les processus internes du service RH tout en renforçant la confiance des employés dans la gestion de leurs données personnelles. En réduisant les traitements inutiles et en adoptant des procédures claires et transparentes, l’entreprise a non seulement répondu aux exigences du RGPD, mais a également fidélisé ses employés en protégeant leur vie privée.

Plan d’action RGPD en cas d’utilisation interdite des numéros de sécurité sociale sur les bulletins de paie

Identification de la violation de conformité

Une entreprise de services comptables de taille moyenne a découvert, au cours d’un audit RGPD, qu’elle utilisait les numéros de sécurité sociale complets des employés de ses clients sur leurs bulletins de paie mensuels. Cette pratique représentait non seulement un risque élevé d’usurpation d’identité en cas de perte ou vol des bulletins de paie, mais est tout simplement devenu ilégal en France depuis le Décret n° 2019-341 du 19 avril 2019.

Le numéro de sécurité sociale, aussi appelé numéro INSEE, est une donnée dite“hautement personnelle”. C’est à dire que, sans être une donnée sensible au sens de l’artcicle 9 du RGPD, c’est une donnée qui mérite autant de protection que la donnée sensible, du fait de son caratère quasi-identifiant. En effet, il permet d’identifier une personne de manière unique. Une mauvaise gestion de cette donnée peut exposer les employés à des risques graves, comme l’usurpation d’identité ou la fraude. Ce danger est encore amplifié lorsque les bulletins de paie sont envoyés par email non sécurisé ou stockés sur des systèmes informatiques insuffisamment protégés.

L’audit RGPD a mis en lumière plusieurs failles : les bulletins étaient transmis par email sans chiffrement, stockés sur un serveur partagé accessible à un large groupe de personnes du service RH, et aucune mesure spécifique de sécurisation n’était appliquée à ces documents. Pourtant, la CNIL recommande clairement de limiter l’utilisation du numéro de sécurité sociale aux cas strictement nécessaires et d’adopter des mesures de protection renforcées.

Mise en place de mesures de protection pour les données sensibles

Pour remédier à cette situation, l’entreprise a élaboré un plan d’action RGPD en quatre étapes afin de sécuriser les numéros de sécurité sociale tout en assurant le bon fonctionnement de son processus de paie.

La première étape a été de solliciter l’éditeur su logiciel de paie afin de lui demander de faire évoluer son produit. Le logiciel RH était en effet la racine du problème car le système imposait la saisie du numéro de sécurité sociale pour réaliser les DSN (déclarations sociales nominatives), mais ne permettait pas au comptable en charge de l’édition des bulletins de paie de supprimer le fameux identifiant interdit.

Ensuite, la sécurisation des bulletins de paie a été renforcée. Désormais, ces documents sont chiffrés et protégés par un mot de passe unique, envoyé par SMS aux employés. Par ailleurs, le serveur de stockage a été sécurisé grâce à des accès restreints et une authentification à deux facteurs, réservée aux membres autorisés du service RH.

Une autre mesure importante a été la mise en place d’une purge automatique. Les bulletins complets sont supprimés de la base RH active 2 mois après l’envoi à l’employé. Les documents passent ensuite en archivage intermédiaire dont l’accès est encore plus restreint.

Au delà de la connaissance de la loi et du décret mentionné plus haut, cet exemple demontre que la conformité au RGPD dépend souvent des fournisseurs et partenaires. Il est important de les pousser vers la conformité.

Accompagnement pour la conformité

Pour consolider ces mesures et valoriser sa démarche auprès de ses clients, l’entreprise a fait appel à un accompagnement expert. Elle a collaboré avec Opt-On pour bénéficier d’un audit détaillé et d’un suivi personnalisé de sa démarche de conformité RGPD.

Cette collaboration a permis d’instaurer une surveillance continue des processus sensibles. Des contrôles trimestriels ont été mis en place pour vérifier que les nouvelles procédures étaient respectées et que les mesures de sécurité restaient performantes face aux menaces informatiques en constante évolution.

En parallèle, des formations ont été organisées pour le personnel RH. Ces sessions ont mis l’accent sur les bonnes pratiques de gestion des données sensibles, notamment sur la manipulation des informations critiques comme les numéros de sécurité sociale. Cette approche préventive vise à éviter de futurs écarts de conformité et à maintenir un haut niveau de sécurité.

Grâce à ces efforts, l’entreprise a réduit de manière notable les risques liés au traitement des données personnelles sensibles, tout en préservant l’efficacité de son service paie. Elle dispose désormais d’un cadre solide pour gérer ces informations critiques dans le respect des exigences du RGPD, ce qui lui permet de décrocher de nouveaux marchés.

Ce cas illustre comment une approche méthodique et ciblée peut transformer la gestion des données sensibles en un processus conforme et sécurisé, tout en maintenant les performances opérationnelles.