Le GDPR — acronyme anglais du RGPD (Règlement Général sur la Protection des Données) — est le règlement européen entré en application le 25 mai 2018. Il encadre la collecte, le traitement et la conservation des données personnelles des résidents de l’Union européenne. Il s’applique à toute organisation — quelle que soit sa taille ou sa localisation géographique — dès lors qu’elle traite des données de personnes physiques situées en Europe. Dans le monde des logiciels SaaS B2B, le GDPR est une contrainte réglementaire incontournable qui conditionne le choix des outils et la rédaction des contrats.

Comment ça fonctionne

Le GDPR repose sur cinq principes fondateurs. Tout traitement de données personnelles doit les respecter.

Licéité et transparence : l’organisation ne peut collecter des données que sur la base d’un fondement juridique valable — consentement explicite, exécution d’un contrat, obligation légale, intérêt légitime notamment. Elle doit informer les personnes concernées de la façon dont elle utilise leurs données.

Minimisation des données : l’organisation ne collecte que les données strictement nécessaires à la finalité déclarée. Collecter des informations “au cas où” sans justification est interdit.

Limitation de la conservation : l’organisation ne peut pas conserver les données indéfiniment. Elle doit définir et respecter des durées de rétention adaptées à la nature des données et à la finalité du traitement.

Droits des personnes : les individus disposent de droits effectifs sur leurs données — droit d’accès, de rectification, d’effacement (droit à l’oubli), de portabilité, d’opposition et de limitation du traitement.

Responsabilité (accountability) : chaque organisation doit prouver sa conformité. Cela implique la tenue d’un registre des activités de traitement, la désignation d’un délégué à la protection des données (DPO) dans certains cas, et la réalisation d’analyses d’impact (DPIA) pour les traitements à risque.

En cas de violation de données (data breach), l’organisation dispose de 72 heures pour notifier l’autorité de contrôle compétente (la CNIL en France) et, dans les cas graves, les personnes concernées.

Pourquoi c’est important pour les PME

Pour une PME, le GDPR n’est pas une problématique réservée aux grandes entreprises. Toute PME qui gère une base de prospects, des fiches clients, des données salariés ou des formulaires en ligne relève de son champ d’application.

Dans le choix d’un logiciel SaaS, la conformité GDPR du fournisseur est un critère de sélection à part entière. Une PME qui confie ses données à un éditeur non conforme devient elle-même co-responsable au sens du règlement. Elle doit exiger un DPA (Data Processing Agreement, ou contrat de traitement des données) et vérifier la localisation des serveurs. Les données hébergées hors de l’UE imposent en effet des garanties supplémentaires, et l’éditeur doit pouvoir répondre aux demandes d’exercice de droits des clients de la PME.

Le GDPR a également un impact commercial : les clients et partenaires B2B posent de plus en plus des questionnaires de sécurité et de conformité avant de signer. Une PME qui peut démontrer sa conformité dispose d’un avantage concurrentiel réel, notamment pour signer avec des grands comptes ou des acteurs du secteur public.

Exemples concrets

Une agence de recrutement de 15 personnes utilise un ATS (logiciel de suivi des candidatures) SaaS pour gérer ses bases de CV. Elle doit s’assurer que l’éditeur héberge les données en Europe et dispose d’un DPA. L’outil doit aussi proposer une suppression automatique des candidatures après un délai défini — la CNIL recommande 2 ans maximum pour les CV non retenus.

Un cabinet comptable qui adopte un outil de signature électronique SaaS doit vérifier que les documents signés et les données d’identité associées respectent à la fois le GDPR et les exigences du Code de commerce. Ces deux référentiels peuvent entrer en tension : le Code de commerce impose parfois des durées de conservation longues pour des raisons probatoires. Le GDPR promeut au contraire la minimisation — une analyse spécifique s’impose.

Termes liés

  • RGPD : l’acronyme français du même règlement, avec les spécificités du droit français et les recommandations de la CNIL. Voir la définition RGPD.

  • SaaS : la majorité des logiciels SaaS B2B traitent des données personnelles et doivent être conformes au GDPR. Voir la définition SaaS.

  • Cloud computing : l’hébergement cloud est au cœur des enjeux de localisation des données que le GDPR impose de maîtriser. Voir la définition Cloud computing.