Ce que ça veut dire pour votre entreprise
Le responsable de traitement est celui qui décide pourquoi et comment les données sont traitées. Pour une TPE, c'est simple : c'est votre entreprise, et en pratique son dirigeant. Vous décidez de tenir un fichier clients, d'installer une caméra, d'envoyer une newsletter : vous êtes responsable de ces traitements, même si un prestataire les exécute pour vous.
C'est le point que beaucoup de dirigeants découvrent tard : externaliser n'exonère pas. Si votre agence web, votre logiciel de caisse ou votre expert-comptable manipulent vos données clients, ils le font pour votre compte. La responsabilité de la conformité reste chez vous, avec l'obligation d'encadrer ces sous-traitants.
Ce que dit la loi
L'article 4.7 du RGPD définit le responsable de traitement ; l'article 5.2 pose le principe d'« accountability » : vous devez être conforme et pouvoir le démontrer. C'est toute la logique du registre, des mentions d'information et du plan d'actions : constituer la preuve documentée de votre démarche.
Par où commencer
- Assumez le rôle : désignez en interne qui porte le sujet RGPD (pas besoin d'un DPO officiel dans la plupart des TPE).
- Documentez vos décisions : le registre est votre preuve d'accountability.
- Encadrez vos prestataires : vérifiez qu'un contrat ou des CGU couvrent la protection des données (article 28).