RGPD au quotidien : les réflexes de chaque salarié
RGPD au quotidien : les réflexes de chaque salarié
La conformité RGPD ne se joue pas uniquement dans les clauses d’un contrat ou dans un registre tenu par le DPO. Elle se joue, chaque jour, dans des gestes simples effectués par des salariés qui n’ont souvent reçu aucune consigne claire. Voici les réflexes qui évitent l’essentiel des incidents.
Avant de collecter une donnée
Le réflexe de base : ne demander que ce dont on a réellement besoin. Un formulaire de contact n’a pas besoin de la date de naissance ; une inscription à une newsletter n’a pas besoin du numéro de téléphone. Chaque champ superflu est une donnée à protéger pour rien — et un risque en plus en cas de fuite.
Avant de transmettre une donnée
C’est le point le plus sensible au quotidien : un email envoyé au mauvais destinataire, un fichier client partagé sur un lien non protégé, une copie cachée oubliée sur un envoi groupé. Trois réflexes suffisent à limiter l’essentiel des erreurs :
- Vérifier le destinataire avant d’envoyer, en particulier sur les envois groupés (utiliser Cci, pas Cc).
- Ne jamais transmettre une donnée personnelle par un canal non sécurisé sans nécessité (messagerie personnelle, clé USB non chiffrée).
- Se demander si la personne destinataire a réellement besoin de cette donnée pour son travail — le principe du “besoin d’en connaître”.
Face à un mot de passe ou un accès
Les données personnelles sont aussi exposées par une mauvaise hygiène numérique : mot de passe réutilisé, poste laissé déverrouillé, accès partagé entre collègues. Un compte utilisateur nominatif, un mot de passe personnel et un verrouillage systématique de session sont des mesures RGPD autant que des mesures de cybersécurité — les deux sujets sont indissociables.
En cas d’erreur ou de doute
C’est le point le plus mal maîtrisé dans la plupart des entreprises : que faire quand on a fait une erreur, ou qu’on soupçonne un incident (email envoyé au mauvais destinataire, fichier perdu, accès suspect) ?
Le seul réflexe qui compte : signaler immédiatement, sans attendre d’être sûr, et sans chercher à corriger seul. Une violation de données doit être notifiée à la CNIL sous 72 heures dans certains cas — un délai qui ne laisse aucune place à l’hésitation. Chaque salarié doit savoir à qui remonter l’information dans son entreprise.
Face à une demande d’exercice de droit
Un client ou un ancien salarié qui demande “quelles données avez-vous sur moi” ou “supprimez mes données” exerce un droit prévu par le RGPD. La bonne pratique n’est pas d’y répondre soi-même dans son coin, mais de transmettre la demande à la personne ou au service désigné en interne, qui dispose d’un délai légal d’un mois pour y répondre.
Ces réflexes se transmettent rarement par une note de service. conform-IT propose un parcours de formation RGPD adapté à chaque rôle en entreprise. Voir le programme.