Nos audits RGPD révèlent chaque année les mêmes failles chez les PME françaises, souvent bien plus profondes qu’un simple problème de formulaire. Voici les 7 erreurs les plus significatives, avec des exemples concrets et la méthode que nous appliquons pour les corriger.
1 – Un registre des traitements qui ne reflète plus la réalité opérationnelle
Le registre existe, mais il a été créé une fois, lors d’une mise en conformité initiale, puis jamais mis à jour depuis. Entre temps, l’entreprise a changé de CRM, ajouté un outil de scoring commercial basé sur de l’IA, ou externalisé sa paie vers un nouveau prestataire.
Exemple concret : une PME de 40 salariés que nous avons auditée déclarait 12 traitements dans son registre. En réalité, elle en comptait 19, dont un outil de recrutement basé sur un algorithme de tri de CV, jamais documenté car ajouté par le service RH sans passer par la direction informatique.
La démarche que nous appliquons : nous ne partons jamais du registre existant. Nous interrogeons chaque service, RH, commercial, marketing, production, sur les outils qu’il utilise réellement au quotidien, puis nous comparons cette liste au registre déclaré. Cet écart révèle systématiquement les traitements fantômes. Nous recommandons ensuite une revue trimestrielle du registre, pilotée par un référent unique mais alimentée par un point rapide avec chaque responsable de service, plutôt qu’une mise à jour annuelle qui arrive toujours trop tard.
2 – Des transferts de données hors Union européenne non identifiés
C’est l’erreur la plus grave et la plus fréquemment ignorée. Beaucoup de PME utilisent des outils SaaS américains, hébergement cloud, outils marketing, sans avoir identifié que ces prestataires transfèrent des données hors UE. Ce risque s’est aggravé avec l’usage massif d’outils d’IA générative comme ChatGPT ou Claude, utilisés par les équipes pour rédiger des emails ou analyser des documents contenant parfois des données clients.
Exemple concret : chez un client du secteur des services, un commercial collait régulièrement des extraits de dossiers clients dans ChatGPT pour préparer ses relances, sans que la direction n’en ait connaissance. Ces données transitaient alors vers des serveurs américains, sans aucune base légale ni analyse de transfert documentée.
La démarche que nous appliquons : nous cartographions systématiquement tous les outils SaaS et IA utilisés par les équipes, y compris ceux non officiellement validés par la DSI, souvent appelés shadow IT. Pour chaque outil identifié comme transférant des données hors UE, nous vérifions l’existence de clauses contractuelles types, puis nous évaluons si des mesures supplémentaires sont nécessaires, chiffrement renforcé, anonymisation avant envoi, ou interdiction pure et simple d’usage pour certaines catégories de données. Nous rédigeons ensuite une charte d’usage de l’IA générative, diffusée et signée par l’ensemble des collaborateurs.
3 – Une confusion entre base légale du consentement et intérêt légitime
Beaucoup d’entreprises appliquent le consentement à des traitements qui relèveraient en réalité de l’intérêt légitime, ou inversement, invoquent l’intérêt légitime pour de la prospection commerciale B2C qui exigerait un consentement explicite.
Exemple concret : une PME B2B envoyait sa newsletter commerciale à des prospects B2C récupérés via un salon professionnel, en invoquant l’intérêt légitime. Or la prospection par email auprès de particuliers nécessite un consentement explicite préalable, sauf exception très encadrée. Cette base légale erronée rendait tout l’historique d’envoi non conforme.
La démarche que nous appliquons : pour chaque traitement du registre, nous documentons formellement la base légale choisie avec sa justification écrite, pas seulement son intitulé. Si la base légale est l’intérêt légitime, nous exigeons la rédaction d’un test de mise en balance des intérêts, document souvent totalement absent chez nos clients. Cette rigueur documentaire protège l’entreprise en cas de contrôle, car la CNIL sanctionne autant une base légale incorrecte qu’une base légale correcte mais non justifiée.
4 – Des sous traitants dont la chaîne de responsabilité n’est jamais vérifiée au delà du niveau 1
Un contrat de sous traitance mentionnant l’article 28 du RGPD existe souvent avec le prestataire direct. Ce que nous trouvons rarement, c’est une vérification de la sous traitance en cascade, c’est à dire les prestataires que votre prestataire utilise lui même, que l’on appelle sous traitants de niveau 2.
Exemple concret : un client utilisait un outil français de gestion RH, parfaitement en règle sur le papier. En creusant, nous avons découvert que cet outil hébergeait ses données chez un cloud provider américain, sans que le contrat initial ne mentionne ce sous traitant de niveau 2 ni les garanties associées à ce transfert.
La démarche que nous appliquons : nous demandons systématiquement à chaque prestataire de niveau 1 la liste de ses propres sous traitants, exigence prévue par le RGPD mais rarement réclamée par les PME. Nous intégrons ensuite une clause contractuelle imposant une notification préalable en cas de changement de sous traitant de niveau 2, et nous exigeons la documentation des garanties de transfert pour chaque maillon de la chaîne, pas uniquement le premier.
| Niveau de sous traitance | Vérifié en pratique | Risque associé | Action corrective |
|---|---|---|---|
| Prestataire direct (niveau 1) | Généralement oui | Faible si contrat à jour | Vérifier annuellement la clause article 28 |
| Sous traitant du prestataire (niveau 2) | Rarement | Transfert hors UE non maîtrisé | Exiger la liste des sous traitants du prestataire |
| Infrastructure cloud sous jacente | Presque jamais | Perte totale de traçabilité | Documenter la localisation réelle des serveurs |
5 – Une analyse d’impact bâclée sur les traitements RH sensibles
La vidéosurveillance, la géolocalisation de véhicules ou le contrôle d’accès biométrique nécessitent une analyse d’impact relative à la protection des données. Ces analyses existent parfois, mais ont été réalisées une seule fois, au moment de l’installation, sans être révisées lorsque l’usage du système évolue.
Exemple concret : une PME industrielle avait installé des caméras pour la sécurité de ses locaux, avec une analyse d’impact conforme à ce moment là. Deux ans plus tard, ces mêmes caméras étaient utilisées par un responsable d’atelier pour contrôler les temps de pause des équipes, un détournement de finalité jamais requalifié dans une nouvelle analyse.
La démarche que nous appliquons : nous imposons une clause de révision automatique de chaque analyse d’impact dès qu’un changement d’usage est constaté, avec un point de contrôle annuel obligatoire sur les systèmes de vidéosurveillance et de géolocalisation. Nous formons également les responsables opérationnels à identifier eux mêmes un détournement de finalité potentiel, car ce sont eux qui décident souvent d’un nouvel usage sans en mesurer l’impact réglementaire.
6 – L’absence de procédure de notification de violation réellement opérationnelle
La plupart des PME disposent d’un document théorique décrivant la procédure à suivre en cas de violation de données, mais ce document n’a jamais été testé par un exercice de simulation.
Exemple concret : lors d’un test que nous avons organisé chez un client, la fuite d’un fichier client via un email mal adressé a mis en évidence que personne dans l’entreprise ne savait qui devait qualifier juridiquement l’incident ni combien de temps il restait avant l’échéance des 72 heures.
La démarche que nous appliquons : nous organisons un exercice de simulation de violation de données au moins une fois par an, avec un scénario réaliste, une fuite de fichier, un piratage de messagerie, et un chronométrage réel du délai de réaction. Nous formalisons ensuite un document opérationnel, pas seulement théorique, désignant nommément qui qualifie l’incident, qui rédige la notification CNIL, et qui gère la communication vers les personnes concernées.
7 – Une gouvernance RGPD sans réelle continuité en cas de départ
La conformité RGPD repose presque toujours sur une seule personne identifiée, DAF, responsable juridique ou DSI, sans documentation transmissible ni suppléance formalisée.
Exemple concret : chez un client, l’ensemble de la démarche RGPD reposait sur une assistante de direction partie en congé maternité, sans qu’aucun document ne permette à un remplaçant de reprendre le dossier. Six mois plus tard, plus aucune mise à jour n’avait été faite.
La démarche que nous appliquons : nous documentons systématiquement chaque procédure RGPD dans un format transmissible, indépendant de la personne qui l’exécute, et nous formons au moins deux référents par entreprise, jamais un seul, pour garantir une continuité même en cas de départ ou d’absence prolongée.
En définitive :
Ces erreurs partagent un point commun : elles ne se voient pas de l’extérieur, mais elles apparaissent systématiquement lors d’un audit approfondi qui va au delà des documents déclaratifs. Cyberstrat propose un audit RGPD complet pour identifier précisément ces failles avant qu’un contrôle CNIL ou un incident ne les révèle à votre place. Contactez notre équipe pour planifier votre audit.
