Guide
RGPD dans une TPE avec l'IA : registre, données, outils
Registre des traitements, données clients et salariés, outils d'IA : ce que la CNIL demande à une TPE, et ce qu'il faut garder hors de l'outil.
Mis à jour le
Une très petite entreprise traite des données personnelles chaque jour : coordonnées de clients, historique de commandes, fiches de contact, parfois données des salariés. Dès qu'un outil d'IA entre dans ce circuit, la question devient concrète : qu'est-ce qui sort de l'entreprise, et qui le conserve ? Cette page donne les repères de la CNIL et une méthode simple pour les appliquer.
Le registre : une obligation pour toutes les tailles
Selon la CNIL, la tenue d'un registre des activités de traitement, prévue par l'article 30 du RGPD, concerne tous les organismes dès lors qu'ils traitent des données personnelles. Les organismes de moins de 250 salariés ne doivent y inscrire que trois catégories de traitements : les traitements non occasionnels, ceux susceptibles de présenter un risque pour les droits des personnes, et ceux portant sur des données sensibles. La CNIL précise que cette dérogation est limitée à des cas très particuliers. En cas de doute, il faut inscrire le traitement.
Le registre est écrit, papier ou électronique. Il doit être communiqué à la CNIL sur demande. Pour une TPE, il tient souvent en quelques fiches, une par activité : gestion des devis, fichier clients, prospection, recrutement.
Ce que contient une fiche
Pour chaque activité, notez au minimum :
| Élément | Exemple pour une TPE |
|---|---|
| Finalité | Établir et suivre les devis et les factures |
| Personnes concernées | Clients particuliers, contacts professionnels |
| Données | Nom, adresse, coordonnées, historique d'achats |
| Destinataires | Comptable, logiciel de facturation, outil d'IA si utilisé |
| Durée de conservation | Celle que vous avez fixée et que vous appliquez |
| Mesures de sécurité | Accès limité, mot de passe, sauvegarde |
La colonne « destinataires » doit faire apparaître l'outil d'IA dès qu'il reçoit une donnée. Si un outil reçoit des données de clients, il doit figurer dans le registre.
La méthode de la CNIL en quatre temps
La page de la CNIL sur la mise en conformité présente une démarche en plusieurs étapes. Les rubriques affichées sont : créer un registre des traitements, choisir une base légale, choisir une durée de conservation, informer les personnes, respecter les droits des personnes. Chaque rubrique renvoie à une page détaillée, à lire avant de la mettre en œuvre. Cette page ne reprend pas le détail de chacune.
L'outil d'IA : ce qu'il ne doit pas recevoir
La CNIL recommande, pour un service grand public, de ne jamais partager d'informations confidentielles, comme les données personnelles ou celles de l'entreprise. Elle rappelle aussi que les résultats peuvent être inexacts. Concrètement :
- pas de fichier clients, ni d'export de logiciel de facturation ;
- pas de dossier de salarié ni de candidature ;
- pas de coordonnées dans un message à reformuler : utilisez des marqueurs, comme [CLIENT] ;
- avant de choisir un outil, lisez ce que le fournisseur fait des données saisies, et s'il les réutilise. La CNIL indique que, lorsque le fournisseur peut les réutiliser, l'organisme doit décider au cas par cas quelles données interdire.
Données des clients et des salariés
Les clients et les salariés ne sont pas dans la même situation. Pour les clients, la fiche « fichier clients » précise la finalité et la durée. Pour les salariés et les candidats, le registre doit aussi couvrir le recrutement. Les durées exactes et les règles d'information relèvent des sources officielles de la CNIL, que cette page ne reprend pas faute de lecture complète : voir la source officielle.
Méthode en cinq étapes
- Lister les activités qui traitent des données : devis, factures, prospection, recrutement, réponses aux clients.
- Ouvrir une fiche par activité avec les colonnes du tableau ci-dessus.
- Ajouter l'outil d'IA aux destinataires quand il reçoit des données, même partiellement.
- Retirer des données tout ce qui n'est pas nécessaire à l'outil, avant chaque usage.
- Revoir le registre une fois par an, et à chaque nouvel outil.
Liste de vérification
- Chaque activité qui traite des données a une fiche.
- Les outils d'IA utilisés figurent parmi les destinataires.
- Aucun fichier clients ni dossier salarié n'a été saisi dans un outil grand public.
- Les conditions du fournisseur sur la réutilisation des données ont été lues.
- Les durées de conservation sont fixées, et non laissées au hasard.
Ce qui reste à vous
La durée de conservation, la base légale retenue et la réponse à une demande d'accès appartiennent au responsable de l'entreprise. L'outil peut aider à remplir le tableau, il ne décide pas de ce qui est licite. Pour un cas précis, consultez un professionnel du droit ou la source officielle. Les règles générales de l'outil sont dans la page limites de l'IA en TPE, et la charte d'usage fixe les données interdites dans l'équipe. Pour le recrutement, voir la page recrutement.
Questions fréquentes
Une TPE de moins de 10 salariés doit-elle tenir un registre ?
Oui, selon la CNIL, l'obligation de tenir un registre des activités de traitement concerne tous les organismes, quelle que soit leur taille, dès lors qu'ils traitent des données personnelles. Les organismes de moins de 250 salariés ne doivent inscrire que trois catégories de traitements : les traitements non occasionnels, ceux qui présentent un risque, et ceux portant sur des données sensibles.
Peut-on copier le fichier clients dans un outil d'IA ?
Non, pas dans un outil grand public. La CNIL recommande de ne soumettre que des informations que l'on est autorisé à partager. Un outil dont le fournisseur peut réutiliser les données doit faire l'objet d'une décision au cas par cas.
Quelle est la forme du registre ?
La CNIL indique que le RGPD impose seulement une forme écrite : le registre peut être papier ou électronique. La CNIL propose un modèle simplifié au format ODS.
Sources
Pages consultées pour écrire cet article :