RGPD et cybersécurité en entreprise : les obligations à connaître

Une PME wallonne qui encaisse une amende RGPD n’a généralement pas été piratée par un génie. Elle a laissé un fichier client sur un serveur jamais mis à jour, ou un mot de passe partagé sur un post-it photographié par erreur. La cybersécurité en entreprise commence là, bien avant le pare-feu dernier cri : dans les gestes simples que personne ne vérifie.

Avant d’aller plus loin, un constat : beaucoup de dirigeants attendent le premier incident pour trouver un spécialiste en sécurité informatique. C’est l’inverse qu’il faudrait faire.

RGPD et cybersécurité en entreprise : un lien direct

Le RGPD ne se limite pas à un bandeau de cookies sur un site web. Son article 32 impose des « mesures techniques et organisationnelles appropriées » pour protéger les données personnelles traitées. Autrement dit : si vous conservez des coordonnées clients, des bulletins de paie ou des dossiers de candidature, vous devez prouver que vous les avez sécurisés.

En Wallonie, l’Autorité de protection des données reçoit chaque année des plaintes de salariés ou de clients dont les informations ont fuité à cause d’un simple mot de passe par défaut, jamais changé depuis l’installation d’un logiciel.

Je le dis clairement : une PME qui pense que « le RGPD, c’est pour les grandes boîtes » se trompe. La taille de l’entreprise ne change rien à l’obligation. Elle change seulement les moyens disponibles pour y répondre.

Quelles données protéger en priorité

Toutes les données ne se valent pas face au risque. Un fichier client avec adresses et numéros de téléphone demande une vigilance normale. Un dossier RH avec numéro de sécurité sociale, situation familiale ou arrêt maladie exige un niveau de protection bien supérieur.

Les données de santé, les informations bancaires et tout ce qui touche aux mineurs figurent parmi les catégories dites « sensibles » au sens du règlement. Elles méritent un chiffrement systématique, pas une simple protection par mot de passe.

Dans une petite structure, le réflexe le plus utile reste de lister précisément ce qu’on conserve, où, et pendant combien de temps. On est souvent surpris de découvrir des exports Excel oubliés depuis trois ans sur un disque partagé.

Les obligations concrètes pour les PME wallonnes

Concrètement, une PME doit tenir un registre des traitements, même simplifié. Elle doit aussi être capable de répondre à une demande d’accès d’un salarié ou d’un client dans le mois, et de notifier une violation de données à l’Autorité de protection des données dans les 72 heures si elle présente un risque pour les personnes concernées.

Ce délai de 72 heures surprend souvent les dirigeants. Il ne laisse pas le temps d’improviser une procédure de crise pendant que les e-mails s’accumulent.

Pour qui veut aller plus loin sur le cadre légal, les nouvelles obligations RGPD à connaître détaillent les points qui changent le plus souvent pour les petites structures.

Faire appel à un prestataire plutôt que gérer seul

Peu de PME ont un informaticien dédié à temps plein. La plupart bricolent avec un collaborateur « doué en informatique » ou un prestataire ponctuel appelé en cas de panne. Ce fonctionnement tient tant qu’il n’y a pas d’incident sérieux.

Un audit de sécurité externe change la donne. Il repère les failles qu’un salarié interne ne verra jamais, parce qu’il est habitué à les côtoyer. Mots de passe réutilisés, sauvegardes jamais testées, accès administrateur laissés à d’anciens employés : ce sont les trois erreurs que je retrouve le plus souvent sur le terrain, et aucune ne coûte cher à corriger une fois identifiée.

Ce qui compte, pour une PME multilingue qui échange avec des clients ou des fournisseurs dans plusieurs pays, c’est de choisir un interlocuteur capable de comprendre les contraintes locales et les normes européennes à la fois. Ce n’est pas un détail : une entreprise qui traite des données venant de plusieurs juridictions doit composer avec des exigences qui ne se recoupent pas toujours parfaitement.

Les sanctions en cas de manquement

Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé. En pratique, pour une PME, les sanctions prononcées en Belgique restent le plus souvent proportionnées à la taille de la structure et à la gravité du manquement.

Mais l’amende n’est pas toujours le coût le plus lourd. Une fuite de données qui touche des clients fidèles abîme une réputation bâtie en dix ans, parfois en une seule publication sur un réseau social.

Les bons réflexes au quotidien

Mettre à jour ses logiciels sans attendre la notification du soir. Activer l’authentification à deux facteurs sur les comptes qui donnent accès aux données sensibles. Former les équipes à reconnaître un e-mail de phishing, même bien imité. Ce sont des gestes simples, mais c’est justement parce qu’ils sont simples qu’on les oublie.

Les entreprises qui évoluent vite, notamment celles qui s’ouvrent au travail freelance ou à des collaborations ponctuelles, doivent redoubler de vigilance sur les accès temporaires. S’adapter aux nouvelles tendances du marché freelance implique aussi de revoir qui a accès à quoi, et pour combien de temps.

Mon avis, après avoir observé plusieurs dossiers de PME wallonnes : la cybersécurité n’est jamais un projet qu’on termine. C’est une habitude qu’on entretient, comme on entretient une comptabilité à jour. Les entreprises qui s’en sortent le mieux ne sont pas celles qui ont le plus gros budget, mais celles qui ont fait de la sécurité un réflexe partagé par toute l’équipe, pas seulement par le service informatique.