RGPD et parc informatique : les obligations des PME

RGPD et informatique : quel lien ?

Le Règlement Général sur la Protection des Données (RGPD) impose aux organisations qui traitent des données personnelles de mettre en place des mesures techniques et organisationnelles pour protéger ces données. Le parc informatique est au cœur de ces mesures : c'est sur ces équipements que les données sont traitées, stockées et transmises.

Le lien entre RGPD et parc informatique est concret : un ordinateur non chiffré contenant des données clients, un accès email non révoqué après un départ, un équipement recyclé sans effacement des données — chacune de ces situations est une non-conformité RGPD potentielle.

Les exigences RGPD applicables au parc informatique

1. Sécurité des traitements (Article 32)

Le RGPD exige des mesures techniques appropriées pour garantir la sécurité des données, en tenant compte de l'état de l'art, des coûts de mise en œuvre et de la nature des données. Pour votre parc informatique, cela implique concrètement :

• Chiffrement des disques des postes de travail mobiles (BitLocker, FileVault) — c'est l'exigence la plus citée par la CNIL
• Gestion rigoureuse des mots de passe et authentification forte (2FA sur les accès critiques)
• Mises à jour régulières des systèmes et logiciels pour corriger les vulnérabilités
• Sauvegardes régulières et testées des données personnelles
• Protection contre les accès non autorisés (antivirus, pare-feu, verrouillage automatique)

2. Registre des traitements (Article 30)

Toute entreprise de plus de 250 salariés — ou traitant des données sensibles, ce qui concerne la majorité des PME — doit tenir un registre des traitements de données personnelles. Le parc informatique doit y apparaître comme support de traitement. Vous devez documenter quels équipements traitent quelles données et pour quelles finalités.

En pratique, votre inventaire de parc informatique peut alimenter directement votre registre des traitements en identifiant les équipements qui accèdent à des données personnelles (postes de travail du service RH, commercial, comptabilité).

3. Gestion des droits d'accès

Le RGPD exige que l'accès aux données personnelles soit limité aux personnes qui en ont besoin (principe de minimisation). Cela implique une gestion rigoureuse des comptes utilisateurs :

• Comptes nominatifs pour chaque collaborateur (pas de comptes génériques partagés)
• Révocation immédiate des accès lors des départs — article 32 : mesure de sécurité obligatoire
• Journalisation des accès aux données sensibles pour la traçabilité
• Revue régulière des droits d'accès (trimestrielle recommandée)

4. Gestion des équipements en fin de vie

C'est un point souvent négligé mais crucial : lorsqu'un équipement est retiré du service (don, recyclage, vente, destruction), les données qu'il contient doivent être effacées de manière sécurisée. Un simple formatage ne suffit pas — les données restent récupérables avec des outils spécialisés.

• Effacement sécurisé avec des outils certifiés (DBAN pour HDD, Secure Erase pour SSD, Blancco pour certification)
• Destruction physique pour les disques en mauvais état ou contenant des données très sensibles
• Traçabilité de la mise au rebut : documentez qui a effacé quoi, quand et avec quel outil

5. Notification des violations de données (Article 33)

En cas de perte ou vol d'un équipement contenant des données personnelles, vous devez notifier la CNIL sous 72 heures si la violation est susceptible d'engendrer un risque pour les personnes concernées. Le chiffrement du disque peut éviter cette obligation de notification : si les données sont chiffrées, elles sont considérées comme inaccessibles pour le voleur.

En cas de doute, il vaut mieux notifier que ne pas le faire. La CNIL est plus sévère envers les entreprises qui tentent de dissimuler une violation que envers celles qui notifient rapidement et prennent des mesures correctives.

Les situations à risque

• Ordinateur portable perdu ou volé sans chiffrement du disque — notification CNIL obligatoire sous 72h
• Équipement revendu ou donné sans effacement sécurisé des données — violation de l'article 32
• Accès non révoqués d'un ancien collaborateur — accès illégitime aux données personnelles
• Équipements partagés sans comptes individuels distincts — impossibilité de tracer les accès
• Sauvegardes non sécurisées sur des supports non chiffrés accessibles à tous
• Équipements en télétravail accessibles à des tiers (famille) sans mesures de protection

Votre plan d'action RGPD pour le parc IT

1. Activer le chiffrement complet sur tous les postes mobiles (BitLocker / FileVault) — action immédiate, coût nul
2. Documenter les équipements traitant des données personnelles dans votre registre des traitements
3. Établir une procédure de désactivation immédiate des accès lors des départs (checklist offboarding IT)
4. Créer une procédure d'effacement certifié pour les équipements en sortie, avec traçabilité
5. Former les collaborateurs aux risques liés aux équipements mobiles et au télétravail
6. Réaliser un audit annuel de conformité RGPD du parc informatique

FleetPilot et la conformité RGPD

FleetPilot est hébergé en Europe (Union Européenne) et ne transfère aucune donnée en dehors de l'UE. Il vous aide à maintenir un inventaire précis de vos équipements et à tracer les attributions, ce qui facilite la gestion des risques RGPD liés à votre parc informatique. La traçabilité des modifications (audit trail) vous permet de prouver votre diligence en cas de contrôle CNIL.

→ Gérez votre parc IT en conformité avec FleetPilot