Un fichier clients dans un tableur, des devis archivés sur un vieux PC, une boîte mail qui déborde de noms, d’adresses et parfois de coordonnées bancaires… La plupart des TPE et PME de l’Eurométropole manipulent des données personnelles sans toujours y penser. Le RGPD, appliqué depuis 2018, ne vise pas seulement les grands groupes : dès que vous conservez des informations sur des clients, des prospects ou des salariés, il vous concerne.

La bonne nouvelle, c’est que la conformité n’est pas qu’une affaire de juristes. Une large part repose sur des mesures informatiques concrètes, à votre portée. Cet article fait le tour du volet technique, en checklist, pour voir simplement où vous en êtes. Un mot de prudence : on parle ici de sécurité informatique, pas de conseil juridique. Pour les aspects légaux (mentions, contrats, désignation d’un délégué), appuyez-vous sur un professionnel du droit ou sur le site de la CNIL.

Contrôler qui accède à quoi

Le premier réflexe du RGPD est simple : seules les personnes qui en ont besoin doivent accéder aux données.

  • Un compte par personne. Fini la session Windows partagée par toute l’équipe. Chacun son identifiant, ce qui permet de savoir qui a fait quoi.
  • Des droits ajustés. Le comptable n’a pas besoin d’ouvrir les dossiers techniques, et inversement. On ouvre les accès au cas par cas.
  • Des mots de passe solides. Longs, uniques, rangés dans un gestionnaire plutôt que sur un post-it collé à l’écran. La double authentification (un code sur le téléphone) ajoute une vraie barrière sur les outils sensibles.
  • Le verrouillage automatique des sessions après quelques minutes d’inactivité, surtout dans les espaces ouverts au public.

Chiffrer les postes qui bougent

Un ordinateur portable oublié dans un train ou volé dans une voiture, cela arrive. Sans chiffrement, la personne qui le récupère lit tout le disque comme un livre ouvert.

Le chiffrement (BitLocker sous Windows Pro, FileVault sur Mac) rend le contenu illisible sans le mot de passe. Il est vivement recommandé sur tout ce qui quitte vos locaux : portables, tablettes, clés USB, disques externes. C’est l’une des rares mesures que le RGPD cite explicitement pour limiter les dégâts en cas de perte. Si vous ignorez si vos machines sont chiffrées, c’est justement le bon moment pour faire le point sur la sécurité de vos données.

Sauvegarder, et vérifier que ça marche

Protéger les données, c’est aussi éviter de les perdre. Une panne de disque, un dégât des eaux ou un rançongiciel peuvent effacer des années de travail en une nuit.

  • La règle 3-2-1 : trois copies, sur deux supports différents, dont une hors site. Une sauvegarde locale pour aller vite, une copie externalisée pour parer au pire.
  • Des sauvegardes automatiques, pour ne pas dépendre de la bonne volonté de chacun le vendredi soir.
  • Des tests de restauration. Une sauvegarde jamais testée n’est qu’une promesse. On vérifie de temps en temps qu’on sait vraiment remettre les fichiers en place.

Face aux rançongiciels, une copie déconnectée du réseau reste une protection précieuse.

Tenir à jour et cloisonner

Une grande partie des attaques passe par des failles connues, déjà corrigées par un correctif que personne n’a installé. Un parc à jour, c’est déjà beaucoup de portes fermées aux intrus.

  • Des mises à jour régulières du système, des logiciels et de l’antivirus. C’est le cœur d’un bon contrat de maintenance et de suivi.
  • Un antivirus sérieux et un pare-feu actif sur chaque poste.
  • Un réseau bien pensé : wifi invité séparé du réseau de travail, mots de passe changés sur la box, matériel professionnel plutôt que grand public. Nous aidons volontiers à structurer votre réseau d’entreprise.

Registre, durées de conservation et sous-traitants

Le volet « organisation » se traduit lui aussi par des gestes techniques.

  • Le registre des traitements. Un document qui liste ce que vous collectez, pourquoi, où c’est stocké et qui y accède. Attendu dès que le traitement est régulier, il sert de colonne vertébrale à toute la démarche.
  • Les durées de conservation. On ne garde pas un devis sans suite pendant dix ans. À chaque type de donnée sa durée, puis suppression ou archivage sécurisé.
  • Les sous-traitants. Votre hébergeur, votre logiciel de facturation en ligne, votre prestataire informatique traitent des données pour vous. Le RGPD attend un contrat qui encadre leur rôle, et de préférence un hébergement au sein de l’Union européenne.

En cas de fuite : réagir vite

Malgré les précautions, un incident peut survenir : vol de matériel, piratage d’une boîte mail, envoi malheureux d’un fichier. Ce qui compte alors, c’est la réaction.

  • Contenir : couper l’accès concerné, changer les mots de passe, isoler la machine touchée.
  • Évaluer le risque pour les personnes : quelles données, en quel volume, avec quelle sensibilité.
  • Notifier la CNIL en principe sous 72 heures si la violation présente un risque, et prévenir les personnes concernées lorsque ce risque est élevé.
  • Documenter l’incident et les mesures prises. La journalisation des accès et des connexions, mise en place en amont, vous rend un fier service à ce stade.

Où en êtes-vous ?

Reprenez cette liste point par point : accès nominatifs, mots de passe, chiffrement des portables, sauvegardes testées, mises à jour, registre, durées de conservation, plan en cas de fuite. Si plusieurs cases restent vides, inutile de tout régler d’un coup : on avance par priorités, en commençant par ce qui protège le plus vite.

Depuis 1994, à Ostwald, nous accompagnons les entreprises du Bas-Rhin sur exactement ce genre de sujets, sans jargon et à votre rythme. Envie d’y voir clair sur votre situation ? Écrivez-nous ou passez à l’atelier via la page contact, on regarde cela ensemble.