Dans les petites et moyennes entreprises (PME), la conformité au Règlement Général sur la Protection des Données (RGPD) soulève souvent une question de gouvernance plus que technique : qui est responsable de quoi ? La direction porte la responsabilité légale, le Responsable de la Sécurité des Systèmes d'Information (RSSI) définit les politiques, et le prestataire informatique met en œuvre les mesures techniques. Confondre ces rôles expose à des risques juridiques et opérationnels majeurs. Ce guide clarifie les périmètres d'action pour structurer une gouvernance efficace, sans surcoût inutile.
La répartition des responsabilités : le triangle de la conformité
Le RGPD impose une chaîne de responsabilité claire. En PME, cette chaîne est souvent courte mais doit être rigoureuse pour éviter les zones d'ombre où les données personnelles circulent sans contrôle.
- La Direction (Responsable de traitement) : Elle décide des finalités du traitement des données et des moyens alloués. C'est elle qui engage la responsabilité légale en cas de manquement.
- Le DPO (Délégué à la Protection des Données) : Rôle consultatif et de surveillance. Il conseille la direction, forme les équipes et sert d'interlocuteur avec l'autorité de contrôle (CNIL).
- Le RSSI (Responsable Sécurité SI) : Il traduit les exigences légales en règles techniques (chiffrement, accès, sauvegarde).
- Le Prestataire Informatique (Sous-traitant ou Conseiller) : Il exécute les mesures de sécurité définies par le RSSI et la direction, assure la maintenance des outils et documente les configurations.
Le rôle du prestataire informatique dans l'implémentation technique
Contrairement à une idée reçue, le prestataire IT n'est pas automatiquement le DPO. Sa mission est d'opérationnaliser la sécurité des données. Il intervient sur trois axes principaux :
- La cartographie technique : Identifier où résident les données personnelles (serveurs locaux, cloud Microsoft 365 ou Google Workspace, bases de données métier).
- La mise en œuvre des mesures de sécurité : Configuration des droits d'accès, activation du chiffrement (BitLocker, TLS), gestion des sauvegardes et des plans de reprise d'activité (PRA).
- L'assistance au registre des traitements : Fournir les éléments techniques nécessaires à la rédaction ou à la mise à jour du registre tenu par le Responsable de traitement.
Méthode de déploiement d'une gouvernance RGPD opérationnelle
Pour éviter l'effet « tiroir », la conformité doit s'intégrer au cycle de vie du système d'information. Voici une méthode en quatre étapes :
- Audit initial : Inventaire des flux de données et identification des traitements sensibles.
- Définition des politiques : La direction valide les règles de conservation, d'accès et de partage avec le RSSI.
- Implémentation technique : Le prestataire configure les outils (firewalls, antivirus, permissions SharePoint/OneDrive) pour respecter ces règles.
- Veille et maintenance : Revue trimestrielle des accès utilisateurs et test annuel des restaurations de données.
Trois exemples génériques de mise en œuvre
Ces scénarios illustrent comment les rôles interagissent concrètement dans des contextes courants.
- Exemple 1 : Migration vers le Cloud. La direction souhaite migrer ses emails vers Microsoft 365. Le DPO valide l'accord de sous-traitance avec Microsoft. Le RSSI définit les règles de rétention des données. Le prestataire configure les groupes de partage et active la double authentification (MFA) pour sécuriser l'accès.
- Exemple 2 : Gestion des droits d'accès employés. Un employé change de service. La direction demande la modification de ses accès. Le RSSI valide le nouveau périmètre. Le prestataire informatique met à jour les permissions sur les dossiers partagés et les applications métier, puis documente cette action pour l'audit.
- Exemple 3 : Incident de sécurité (Ransomware). Un poste est infecté. Le prestataire isole la machine et restaure les données depuis les sauvegardes conformes RGPD. Le DPO évalue si une notification à la CNIL ou aux personnes concernées est nécessaire selon la nature des données compromises.
Livrables attendus du prestataire
Pour vérifier que les responsabilités sont bien assumées, le prestataire doit fournir des documents tangibles :
- Un inventaire technique à jour des systèmes contenant des données personnelles.
- Une preuve de configuration des mesures de sécurité (captures d'écran des politiques de groupe, logs de sauvegarde).
- Un rapport annuel ou semestriel sur l'état de la sécurité et les incidents traités.
Erreurs fréquentes à éviter
Les PME commettent souvent des erreurs de gouvernance qui fragilisent leur conformité :
- Confondre DPO et RSSI : Le DPO ne doit pas être celui qui configure les pare-feux, sous peine de conflit d'intérêts.
- Externaliser la responsabilité légale : La direction reste seule responsable devant la loi, même avec un prestataire performant.
- Négliger la formation des utilisateurs : La meilleure sécurité technique échoue si les employés partagent leurs mots de passe.
| Rôle | Responsabilité principale | Action concrète RGPD |
|---|---|---|
| Direction | Décision et responsabilité légale | Valide les budgets sécurité et les politiques de données |
| DPO | Conseil et surveillance | Forme les équipes, conseille sur les impacts (PIA) |
| RSSI | Politique de sécurité SI | Définit les règles d'accès, de chiffrement et de sauvegarde |
| Prestataire IT | Exécution technique | Configure les outils, maintient les systèmes, documente |
Questions fréquentes
Une PME a-t-elle obligation de nommer un DPO ?
Non, sauf si le traitement est réalisé par une autorité publique, si les activités principales nécessitent un suivi régulier et systématique à grande échelle des personnes concernées, ou si le traitement porte sur des données sensibles à grande échelle. Dans la plupart des PME, la désignation est facultative mais recommandée pour structurer la conformité.
Le prestataire informatique peut-il être DPO ?
Oui, un prestataire externe peut assurer la mission de DPO. Cependant, il ne doit pas cumuler ce rôle avec celui d'administrateur du système d'information (RSSI) au sein de la même entité juridique pour garantir l'indépendance de son conseil.
Qui rédige le registre des traitements ?
C'est le Responsable de traitement (la direction de la PME) qui est légalement tenu de tenir ce registre. Le prestataire informatique et le DPO apportent une aide technique et méthodologique essentielle pour l'alimenter.
Quelle est la différence entre RSSI et DPO ?
Le RSSI est opérationnel : il protège les systèmes contre les menaces techniques. Le DPO est stratégique et consultatif : il veille au respect des droits des personnes et à la conformité légale des traitements.
Comment prouver sa conformité RGPD lors d'un audit ?
En présentant le registre des traitements, les politiques de sécurité validées par la direction, les preuves de configuration technique fournies par le prestataire et les traces de formation des utilisateurs.
Structurez votre gouvernance RGPD
Besoin d'clarifier les rôles et de vérifier vos mesures techniques ? Demandez un diagnostic RGPD pour cartographier vos traitements et sécuriser vos données.