Check-list RGPD pour petite structure

Un point de départ, pas une garantie. Cocher l'ensemble de cette check-list ne suffit pas à garantir à elle seule votre conformité au RGPD. Chaque structure a des traitements spécifiques : faites vérifier votre situation par un professionnel si nécessaire.

Cartographier les traitements

Lister l'ensemble des traitements de données personnelles réalisés (clients, prospects, salariés…)
Tenir un registre des traitements à jour
Identifier les catégories de données traitées pour chaque traitement
Identifier les destinataires internes et externes de ces données

Information des personnes

Rédiger une mention d'information claire pour chaque collecte de données
Rendre accessible une politique de confidentialité sur le site ou les documents commerciaux
Informer les personnes de leurs droits et des moyens de les exercer
Vérifier que les formulaires de collecte mentionnent la finalité du traitement

Base légale et minimisation

Identifier la base légale de chaque traitement (contrat, consentement, obligation légale, intérêt légitime)
Ne collecter que les données strictement nécessaires à la finalité poursuivie
Vérifier les cases de consentement lorsque le consentement est requis (prospection, cookies…)
Revoir les formulaires pour supprimer les champs non indispensables

Sous-traitants et contrats

Identifier les sous-traitants qui traitent des données pour le compte de la structure (hébergeur, emailing…)
Vérifier l'existence d'un contrat ou d'une clause de sous-traitance conforme
Vérifier les garanties de sécurité proposées par chaque sous-traitant
Vérifier la localisation des données hébergées (Union européenne ou garanties équivalentes)

Sécurité

Gérer les accès aux données selon le principe du moindre privilège
Utiliser des mots de passe robustes et, si possible, une authentification à deux facteurs
Mettre en place des sauvegardes régulières des données personnelles
Sécuriser ou chiffrer les données particulièrement sensibles si nécessaire
Sensibiliser les personnes ayant accès aux données aux bonnes pratiques

Droits des personnes

Définir une procédure interne pour recevoir une demande d'exercice des droits
Définir un délai de réponse conforme au cadre légal
Prévoir un moyen de vérifier l'identité du demandeur
Documenter chaque demande reçue et la réponse apportée

Conservation et incidents

Définir une durée de conservation pour chaque catégorie de données
Mettre en place une suppression ou un archivage à l'issue de cette durée
Définir une procédure interne en cas de violation de données
Identifier les critères de notification à l'autorité compétente en cas de violation
Revoir périodiquement cette check-list pour l'adapter à l'activité

Notes personnelles (facultatif)

Ces notes restent privées : elles sont enregistrées uniquement dans votre navigateur, sur cet appareil.

Avertissement. Contenu informatif, à adapter à votre situation et à faire vérifier par un professionnel si nécessaire. Aucune action isolée, ni la seule complétion de cette check-list, ne suffit à garantir une conformité RGPD complète.

Check-list : RGPD pour petite structure

Cartographier les traitements

Information des personnes

Base légale et minimisation

Sous-traitants et contrats

Sécurité

Droits des personnes

Conservation et incidents

Notes personnelles (facultatif)