Automatisation et RGPD : les 7 règles à respecter en PME

Une automatisation déplace des données d'un outil à l'autre : un formulaire vers un CRM, un CV vers un dossier, une adresse e-mail vers une plateforme d'envoi. Dès que ces données concernent des personnes (clients, prospects, salariés, candidats), le règlement général sur la protection des données (RGPD) s'applique. La bonne nouvelle : bien conçue, une automatisation rend souvent l'entreprise plus conforme qu'avant, parce qu'elle applique les règles à chaque fois, sans oubli. Voici les sept règles à respecter. Cet article donne des repères pratiques, pas un avis juridique.

1. Savoir quelles données circulent, et pourquoi

Avant d'automatiser, dressez la carte du processus : quelles données entrent, par quels outils elles passent, qui y accède, où elles finissent. Chaque traitement doit avoir une finalité précise (« relancer les devis », « organiser un événement ») et figurer dans votre registre des traitements. C'est aussi le moment de repérer les doublons et les copies inutiles, que l'automatisation permet justement de supprimer.

2. Ne faire circuler que le nécessaire

C'est le principe de minimisation : un scénario qui envoie toute la fiche client à un outil d'e-mailing, alors que seuls le nom et l'adresse e-mail servent, multiplie les risques sans rien apporter. Configurez chaque étape pour ne transmettre que les champs utiles, et évitez de faire transiter des données sensibles (santé, opinions, numéro de sécurité sociale) par des outils qui n'ont pas à les connaître.

3. Automatiser les durées de conservation

Le RGPD interdit de conserver les données plus longtemps que nécessaire. C'est typiquement une règle qu'un humain oublie et qu'une machine applique sans faillir. Dans l'outil CRM d'Omnes Education, les offres et les CV transmis pour un événement sont effacés automatiquement 15 jours après celui-ci. Pour les candidatures, le référentiel de la CNIL sur la gestion des ressources humaines limite par exemple à deux ans après le dernier contact la conservation dans un vivier de candidats, avec leur accord.

4. Encadrer chaque sous-traitant par un contrat

Chaque acteur qui traite des données pour votre compte est un sous-traitant au sens de l'article 28 du RGPD : la plateforme no-code, le service d'IA, l'hébergeur, l'outil d'e-mailing, et le prestataire qui construit et maintient l'automatisation. Il doit s'engager par contrat à ne traiter les données que sur vos instructions, à les protéger et à vous aider à respecter les droits des personnes. La plupart des éditeurs proposent un accord de traitement des données (DPA) à accepter. La CNIL résume les bonnes pratiques entre responsable de traitement et sous-traitant.

5. Vérifier où vont les données

Beaucoup d'outils d'automatisation et d'IA sont américains. Un transfert hors de l'Union européenne n'est pas interdit, mais il doit être encadré. Pour les États-Unis, la Commission européenne a adopté le 10 juillet 2023 une décision d'adéquation qui couvre les entreprises adhérant au cadre de protection des données entre l'UE et les États-Unis (Data Privacy Framework), comme le rappelle la CNIL. Vérifiez l'adhésion de l'éditeur, préférez un hébergement européen quand l'option existe, et documentez votre choix.

6. Sécuriser les accès

Une automatisation ouvre des portes entre vos outils : elles doivent rester bien gardées. Quelques réflexes suffisent à éviter la plupart des incidents :

• Des comptes individuels plutôt que des identifiants partagés, avec des droits par rôle.
• Des mots de passe chiffrés et une double authentification sur les outils qui la proposent.
• Des clés d'accès (API) stockées dans des variables protégées, jamais dans un fichier partagé : c'est le choix fait pour l'outil Brevo d'Omnes Education.
• Des sauvegardes régulières et une trace des actions, pour savoir qui a fait quoi.

Nous détaillons ces réflexes dans Automatisation et cybersécurité : 8 réflexes pour protéger une PME.

7. Informer les personnes et encadrer l'IA

Les personnes concernées doivent savoir que leurs données sont traitées, pourquoi et par qui : mettez à jour votre politique de confidentialité et vos mentions d'information quand une automatisation change la donne. Une décision entièrement automatisée produisant des effets importants sur une personne (le refus d'un candidat, d'un crédit) est encadrée par l'article 22 du RGPD : gardez une intervention humaine. Et si un assistant IA échange avec vos clients, le règlement européen sur l'IA impose qu'ils soient informés qu'il s'agit d'une IA, sauf si c'est évident.

La check-list avant de lancer une automatisation

• La finalité du traitement est écrite et figure au registre.
• Seules les données nécessaires circulent entre les outils.
• Une durée de conservation est définie, et appliquée automatiquement.
• Chaque outil et chaque prestataire est couvert par un contrat de sous-traitance.
• Le lieu d'hébergement et les éventuels transferts hors UE sont vérifiés et documentés.
• Les accès sont individuels, par rôle, et les clés sont protégées.
• Les personnes sont informées, et une décision importante reste validée par un humain.

Nous intégrons ces points dès le diagnostic : la conformité se conçoit, elle ne se rajoute pas à la fin. Lorsque nous traitons des données pour votre compte, nous agissons en sous-traitant au sens de l'article 28, dans les conditions prévues au devis. Parler de mon projet