1. Le registre qui n'existe pas
C'est le document de base, et c'est celui qu'on demande en premier en cas de contrôle. Beaucoup d'entreprises croient qu'il faut un outil spécialisé. Un tableau d'une page suffit largement pour une TPE.
Correction : deux heures, une feuille de calcul, quatre colonnes.
2. Les données qu'on garde « au cas où »
Prospects de 2016, CV reçus il y a cinq ans, fichiers clients de l'ancien logiciel qu'on a gardés « pour l'historique ». Chaque donnée conservée sans raison est un risque sans contrepartie.
Correction : définir des durées, faire un tri, se mettre un rappel annuel.
3. Le bandeau cookies décoratif
Un bandeau qui dit « en poursuivant votre navigation vous acceptez », ou dont le bouton « refuser » est bien caché, ne vaut rien. Pire : les traceurs se déposent souvent avant même le clic.
Correction : refuser doit être aussi simple qu'accepter, et rien ne se dépose avant le choix.
4. Les contrats de sous-traitance absents
Le comptable, l'informaticien, l'agence web accèdent à des données personnelles. Le contrat encadrant ce traitement manque presque toujours pour les prestataires locaux.
Correction : une annexe d'une page aux contrats existants.
5. Personne ne sait quoi faire en cas de fuite
C'est l'erreur la plus coûteuse. Le délai est de 72 heures, et il court dès la découverte. Sans procédure préparée, on perd la moitié du délai à se demander qui prévient qui.
Correction : une page écrite à l'avance, avec les noms et les numéros.
Le point commun
Aucune de ces corrections ne demande de budget, d'outil ou de compétence juridique poussée. Elles demandent une demi-journée et la décision de s'y mettre.
Et elles ont un effet secondaire agréable : une entreprise qui sait où sont ses données et qui y a accès est aussi une entreprise mieux organisée.
