RGPD : ce qu'il faut écrire avant d'automatiser.

Qui est responsable de quoi

C'est la première chose à poser, parce que tout le reste en découle. Votre cabinet est responsable de traitement : c'est vous qui décidez pourquoi et comment les données de vos clients sont utilisées. Un prestataire qui agit sur vos instructions est sous-traitant.

Cette répartition n'est pas une formalité : elle détermine qui répond en cas de contrôle, qui notifie la CNIL en cas d'incident, et ce que vous pouvez exiger contractuellement de votre prestataire.

Cartographier avant de brancher

Avant d'automatiser une relance ou un tri, écrivez ce qui va réellement circuler. La question n'est pas « est-ce que c'est sensible », mais « quelles données sortent de mon système, vers où, et pour combien de temps ».

Dans un cabinet, les surprises viennent rarement des données comptables elles-mêmes. Elles viennent de ce qui les accompagne :

• Les coordonnées des dirigeants et des salariés de vos clients, nécessaires pour envoyer une relance.
• Le contenu des échanges, qui peut mentionner une situation personnelle, un litige, une difficulté de trésorerie.
• Les pièces jointes, dont le nom seul peut être révélateur.

Une automatisation bien cadrée n'a souvent besoin que d'une fraction de tout ça. C'est l'occasion de le vérifier.

Les accès : le moindre privilège

Chacun n'accède qu'à ce dont il a besoin pour son travail, et cet accès est revu régulièrement. Le principe est simple, son application l'est moins : les droits s'accumulent au fil des changements de poste, et personne ne les retire.

Trois questions suffisent à faire le tri : qui a accès aujourd'hui, qui en a réellement besoin, et qui l'a encore alors qu'il a changé de fonction ?

Les durées de conservation

Conserver « au cas où » n'est pas une politique de conservation. Chaque catégorie de données doit avoir une durée écrite, alignée sur son usage réel et sur vos obligations professionnelles.

Distinguez ce qui relève de vos obligations de conservation comptables, ce qui n'a d'utilité que le temps d'un traitement, et ce qui peut être supprimé dès la fin de la relation. Les trois n'ont pas la même durée, et les mélanger conduit à tout garder.

Le plan d'incident

En cas de violation de données, le responsable de traitement dispose d'un délai court pour notifier la CNIL. Ce délai s'apprécie à partir du moment où vous en avez connaissance — d'où l'importance que votre prestataire vous alerte sans délai injustifié, et que ce soit écrit au contrat.

Préparez à froid trois choses : qui prévient qui, quelles informations rassembler, et quel canal utiliser. Le jour où ça arrive, personne n'a le temps de l'inventer.

La revue régulière

Un cadre écrit vieillit. Un point périodique suffit à le maintenir : vérifier les accès, contrôler que les suppressions prévues ont bien eu lieu, et mettre à jour le registre si un traitement a changé.

C'est exactement ce que couvre le point trimestriel de Formation & Référent IA : quelqu'un dans votre cabinet en a la charge, et il sait quoi regarder.

Pour aller à la source

La CNIL publie des recommandations à jour sur l'usage de l'IA et les données personnelles, ainsi qu'un guide de la sécurité des données personnelles. Ce sont les références que nous suivons, et elles sont librement consultables sur cnil.fr.

Toutes les ressources