Six ans après l'entrée en vigueur du RGPD, beaucoup de PME pensent être en conformité parce qu'elles ont publié une politique de confidentialité sur leur site. C'est loin d'être suffisant. Voici les cinq obligations les plus fréquemment négligées — et comment l'IA peut aider à y répondre.
Le registre des activités de traitement
Toute organisation traitant des données personnelles doit tenir un registre documentant chaque traitement : finalité, base légale, catégories de données, durées de conservation, destinataires. Ce document interne n'est pas public mais doit être présentable à la CNIL en cas de contrôle.
L'IA peut : générer une trame de registre à partir de la description de vos activitésLes durées de conservation définies et appliquées
Conserver des données "au cas où" est une violation du RGPD. Chaque catégorie de données doit avoir une durée de conservation définie et documentée — et les données doivent effectivement être supprimées à l'échéance. Beaucoup de PME ont des bases email avec des contacts inactifs depuis 5 ans : c'est non conforme.
L'IA peut : proposer des durées de conservation adaptées selon le type de données et la finalité📋 Offert à l'inscription : la checklist RGPD PME en 10 points (PDF), puis un sujet juridique décrypté chaque semaine.
Recevoir la checklist →Les contrats avec les sous-traitants
Tout prestataire qui traite des données personnelles pour votre compte (hébergeur, outil CRM, plateforme emailing) doit faire l'objet d'un accord de traitement des données (DPA). La plupart des grands éditeurs proposent ce document — mais il faut l'avoir signé et archivé.
L'IA peut : vérifier si votre DPA couvre les mentions obligatoires de l'article 28 du RGPDLa procédure de gestion des violations de données
En cas de violation de données personnelles (piratage, fuite, perte), vous avez 72 heures pour notifier la CNIL si la violation présente un risque pour les personnes concernées. La plupart des PME n'ont aucune procédure interne pour détecter et gérer ce type d'incident.
L'IA peut : rédiger une procédure de gestion des incidents de sécurité adaptée à votre structureL'information des personnes lors de la collecte
Chaque formulaire de collecte doit informer les personnes sur la finalité du traitement, la base légale, la durée de conservation et leurs droits — au moment de la collecte, pas uniquement dans la politique de confidentialité générale du site. Un formulaire de contact sans ces mentions est non conforme.
L'IA peut : générer les mentions d'information adaptées à chaque formulaire de collecte"La conformité RGPD n'est pas un projet ponctuel — c'est une hygiène de gestion des données à maintenir dans le temps."
Pour les données RH spécifiquement, lisez notre article sur la protection des données personnelles en RH.
L'IA juridique expliquée chaque semaine
RGPD, contrats, conformité — sans jargon.
Recevoir la checklist RGPD offerte →