À l’occasion de l’entrée en vigueur ce vendredi 25 mai du nouveau Règlement Général sur la Protection des Données (RGPD), tour d’horizon d’une réforme sans doute majeure pour les entreprises.

Au Medef de Haute-Savoie, on estime que le Règlement général pour la protection des données (RGPD) préoccupe autant les entrepreneurs qu’en leur temps le basculement vers l’euro ou la crainte du bug informatique de l’an 2 000. La réforme est vécue comme un tournant majeur dans le rapport aux informations digitales. Les formations dispensées depuis six mois ont été bien suivies, et le sujet alimente les conversations entre entrepreneurs.

Mais au fait, le RGPD, c’est quoi ?

Un nouveau droit. Le RGPD est la transposition dans la loi française d’une directive européenne. « Il instaure un nouveau droit, celui de maîtriser ses propres données personnelles », explique Sébastien Salito, gérant de l’entreprise Expinfo Voglans et expert en cybersécurité.

Il y avait besoin ?

« Pour les citoyens, l’enjeu est énorme. Google peut maintenant mettre à votre disposition la totalité des données dont le groupe dispose sur vous. J’ai fait la demande à titre personnel. J’ai reçu un fichier de plus de dix gigaoctets, comprenant les fichiers sons de toutes mes questions orales, le suivi de l’ensemble de mes déplacements, toutes les requêtes effectuées… C’est tout cela qu’à partir du 25 mai, je peux demander à Google de conserver ou de supprimer. » La grande évolution est là : chaque entreprise va devoir demander à chaque citoyen l’autorisation d’utiliser ses données personnelles. Et chaque citoyen pourra refuser, contraindre l’entreprise à effacer ses données.

Qui est concerné ?

« Il serait faux de penser que seules les entreprises manipulant des données clients, travaillant en B to C en quelque sorte, sont concernées, assure le président du Medef Haute- Savoie Jean-Luc Raunicher. Toutes les sociétés le sont à partir du moment où elles ont des clients, des fournisseurs… et des salariés », puisque c’est chaque identité qu’il convient maintenant de protéger.

Quel changement pour l’entreprise ?

« Jusqu’à présent, si elle se faisait pirater ses données, elle était victime, précise Sébastien Salito. À partir d’aujourd’hui, elle est considérée comme responsable, et coupable si l’on peut prouver qu’elle n’a pas mis en place les moyens nécessaires à la protection des données personnelles qu’elle héberge. »

Faut-il attendre la version 2 ?

« La réforme impacte tant les entreprises que certains se demandent si elle est applicable, décrit Sébastien Salito, et font le pari qu’une hypothétique RGPD 2 sera plus clémente. À mon avis, c’est un mauvais calcul, parce que la réforme est portée par 29 organismes européen dans leur pays en charge de la protection des données personnelles (en France, c’est la commission nationale informatique et liberté, la Cnil). Ils ont créé le European data protection board, dont la mission sera d’appliquer la loi en Europe et dans le monde. Pour que le système fonctionne, il faut bien sûr que la loi soit la même partout. Des aménagements à la marge, des précisions sur certains termes sont bien sûr à attendre, il y aura une jurisprudence, mais je ne crois pas en une remise en cause profonde du système. »

Où en sont les entreprises ?

« On estime que 75 % des PME françaises sont en conformité ou en voie de l’être, assure Sébastien Salito. Les plus grandes sociétés travaillent dessus depuis au moins deux ans et ont imposé à leurs sous-traitants de se mettre en règle. La réforme a été prise au sérieux. Mais c’est vrai que beaucoup de PME et de TPE en sont encore loin. J’en rencontre encore qui n’en ont pas entendu parler. »

Une réforme coûteuse ?

« Tout dépend de la maturité de l’entreprise en matière de cybersécurité. Si elle était déjà consciente de l’enjeu, elle aura peu à faire pour atteindre l’objectif. En revanche, si elle part de zéro, la marche sera énorme. » Plusieurs intervenants font le constat qu’en Pays de Savoie comme ailleurs, certaines entreprises sont quasiment en accès libre digital…

Faut-il se presser ?

Nos interlocuteurs sont d’accord : toutes les entreprises ne seront pas en conformité le 25 mai. Pour autant, complète Jean-Luc Raunicher, « sachons raison garder, les inspecteurs ne vont pas débarquer dans les entreprises le 26 mai au matin. Mais tout le monde doit s’engager dans la démarche, établir sa feuille de route, nommer un responsable. Il n’est pas utile de se précipiter ».

Formations

Actions de sensibilisation et de formation n’ont pas manqué pour les entrepreneurs au cours des six derniers mois, en Savoie comme en Haute-Savoie. Le Medef 74 et la Chambre syndicale de la métallurgie poursuivent leur action vendredi 1er juin avec une matinée d’information (de 8 h 45 à 11 h à la Maison des entreprises, rue Royale à Annecy) animée par Clémentine Furigo, de la direction Droit de l’entreprise du Medef national. L’AFPIEtudoc de Haute-Savoie programme de son côté de nouvelles sessions de formation de deux jours pour « maîtriser les fondamentaux du RGPD ». Après les séances d’avril et mai, d’autres sont prévues en juin (les 19 et 20), juillet (dates à déterminer) et septembre (les 18 et 19), de 8 h 30 à 12 h et de 13 h à 16 h 30.

Une réforme en débat

Au-delà de la complexité de la réforme, les dirigeants estiment qu’elle répond à un besoin. L’avis que portent les dirigeants sur le Règlement général pour la protection (RGPD) dépend du besoin qu’ils ont de données personnelles. Pour certaines entreprises, c’est une matière première. Celles-ci vont voir leurs procédures singulièrement alourdies. Pour le pire, craignent certains, inquiets pour leur survie pure et simple. Ou pour le meilleur, suppose par exemple Sandrine Bodo, dirigeante de Pro Contact à Saint- Baldoph, spécialisée dans la relation client. Elle préfère considérer la réforme comme une opportunité.

« C’est vrai que nous recueillons des informations toute la journée et qu’il va nous falloir nous adapter. C’est sans doute la fin du marketing à outrance, mais pourquoi pas : nous avons toujours affirmé la nécessité de bien réfléchir, de bien construire les campagnes commerciales. Le RGPD va nous amener à valoriser notre devoir de conseil envers nos clients, à les aider à définir une approche commerciale globale, et finalement à travailler plus efficacement. » Reste qu’en attendant, « le RGPD va nous demander de beaucoup communiquer, auprès de nos clients mais également de nos contacts, puisque nous devrons obtenir l’accord de chacun d’eux pour l’utilisation de leurs données ».

Pour autant, beaucoup des dirigeants que nous avons rencontrés partagent peu ou prou le sentiment du président du Medef de Haute-Savoie, Jean-Luc Raunicher : « Il y a une demande sociétale bien réelle pour une meilleure protection des données ». Selon une étude publiée par Vanson- Bourne et citée par Sébastien Salito, 50 % des Français seraient prêts à poursuivre en justice une entreprise qui ferait preuve de négligence dans la gestion de leurs données personnelles. 33 % auraient déjà tenté d’effacer des informations, dont 17 % plusieurs fois.

« Internet est un merveilleux outil, mais il peut devenir très intrusif, tout le monde a vécu des expériences plus ou moins désagréables. » Mieux encadrer ces pratiques est nécessaire, estime donc Jean-Luc Raunicher, même s’il sait bien que « nous sommes paradoxaux : nous demandons en même temps plus de protection et plus d’ouverture sur le monde… ». Il pointe enfin un danger du RGPD : « Attention à ne pas ouvrir la boîte de Pandore : ne risque-t-on pas d’aller vers une judiciarisation de l’utilisation des données personnelles ? ».

---

Par Philippe Claret