Depuis mai 2018, le Règlement général sur la protection des données encadre toute collecte d'informations personnelles : fichier clients, formulaire de contact, outil de newsletter ou dossiers du personnel. Ce guide RGPD rassemble les obligations essentielles pour une entreprise belge, sans jargon. Il se termine par une checklist directement applicable à votre site web.
Guide RGPD : qui contrôle et qui doit s'y conformer ?
En Belgique, l'Autorité de protection des données (APD) veille à l'application du règlement. Elle traite les plaintes, mène des inspections et publie des recommandations pratiques. Toute organisation qui traite des données personnelles doit s'y conformer, de l'indépendant à la grande entreprise. La taille de votre structure change surtout l'ampleur des mesures, pas le principe. Vous trouverez les textes et modèles officiels sur le site de l'Autorité de protection des données.
Les obligations essentielles
Ce guide RGPD retient cinq obligations qui concernent presque toutes les entreprises.
Une base légale pour chaque traitement
Chaque usage de données doit reposer sur l'une des six bases légales prévues : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public ou intérêt légitime. Le consentement ne s'impose donc pas partout. En revanche, lorsque vous vous appuyez sur lui, par exemple pour des cookies publicitaires, il doit rester libre, spécifique, éclairé et univoque. Les cases pré-cochées et le consentement implicite ne suffisent pas.
Les droits des personnes
Vos clients, prospects et collaborateurs peuvent savoir quelles données vous détenez sur eux. Ils peuvent aussi les faire corriger, s'opposer à certains traitements ou demander leur suppression. Vous disposez en principe d'un mois pour répondre. Prévoyez donc une adresse de contact dédiée et une procédure interne simple. Vérifiez toutefois l'identité du demandeur avant de transmettre quoi que ce soit.
Le registre des traitements
Documentez vos traitements : quelles données, pour quelle finalité, sur quelle base légale, avec quels sous-traitants et pendant combien de temps. En pratique, même une PME doit tenir ce registre dès qu'elle traite régulièrement des données, par exemple celles de ses clients ou de son personnel.
Les fuites de données
Lorsqu'une violation de données présente un risque, vous devez la notifier à l'APD dans les 72 heures. Si le risque s'avère élevé pour les personnes concernées, informez-les également. Tenez aussi un relevé interne de chaque incident, même mineur. Enfin, désignez à l'avance qui évalue un incident et qui envoie la notification, afin de ne pas perdre de temps.
Les sous-traitants
Votre hébergeur, votre outil d'e-mailing ou votre logiciel de facturation traitent des données pour votre compte. Signez avec chacun un contrat de sous-traitance conforme. Privilégiez aussi un hébergement dans l'Union européenne, qui simplifie la question des transferts.
Combien de temps conserver les données ?
Le règlement ne fixe pas de durée unique : c'est à vous de la définir pour chaque finalité, puis de la respecter. Certaines pièces, comme les factures, relèvent d'obligations comptables et fiscales qui imposent une conservation de plusieurs années. À l'inverse, un CV non retenu ou un prospect inactif ne justifie pas un archivage sans limite. Notez ces durées dans votre registre et programmez des suppressions régulières.
Guide RGPD : la checklist de votre site web
- Bannière cookies qui bloque les traceurs non essentiels tant que le visiteur n'a pas accepté, avec un refus aussi simple que l'acceptation.
- Politique de confidentialité claire, accessible depuis chaque page.
- Formulaires qui demandent uniquement les informations utiles et renvoient vers la politique de confidentialité.
- Certificat SSL (HTTPS) actif sur tout le site.
- Procédure de suppression des données sur demande.
- Sous-traitants conformes : hébergeur, outils de mesure d'audience, CRM.
Les sanctions en Belgique
L'APD peut adresser des avertissements, ordonner une mise en conformité ou infliger des amendes. Le règlement prévoit des montants allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Au-delà de l'amende, une plainte ou une fuite médiatisée entame surtout la confiance de vos clients.
Les erreurs fréquentes des PME
- Copier la politique de confidentialité d'un autre site sans l'adapter.
- Conserver indéfiniment des CV ou d'anciens fichiers de prospects.
- Installer un outil de mesure d'audience ou un pixel publicitaire sans vérifier le consentement.
- Envoyer des fichiers clients par e-mail sans protection.
- Installer une caméra de surveillance sans la déclarer aux services de police ni signaler sa présence par un pictogramme.
Comment Espero-Soft applique ce guide RGPD
Nous intégrons la conformité dans chaque projet web : gestion des cookies conforme, formulaires avec consentement explicite quand il s'impose, politique de confidentialité personnalisée, hébergement des données en Europe et conseils sur les bonnes pratiques. Ainsi, votre site vitrine respecte ces exigences dès sa mise en ligne.
Suivre ce guide RGPD relève à la fois de l'obligation légale et du gage de confiance envers vos clients. Demandez-nous une vérification de votre site pour le mettre en conformité.
