RGPD et stockage cloud : ce que l'auto-entrepreneur doit savoir
Le RGPD (Reglement General sur la Protection des Donnees) s'applique aux auto-entrepreneurs des lors qu'ils traitent des donnees personnelles de clients ou de prospects. Le stockage cloud est directement concerne. Voici ce que vous devez savoir.
Le RGPD s'applique-t-il a votre activite ?
Des que vous stockez des donnees personnelles (nom, email, adresse, numero de telephone) de vos clients ou prospects, le RGPD s'applique. Il n'y a pas de seuil minimum : meme une base de 10 contacts est concernee.
En tant que responsable de traitement, vous devez vous assurer que les sous-traitants que vous utilisez (dont vos services de stockage cloud) offrent des garanties suffisantes de securite et de confidentialite.
Choisir un prestataire cloud conforme
Les grands prestataires (Google, Microsoft, Dropbox) sont conformes au RGPD et proposent des accords de traitement des donnees (DPA) que vous pouvez signer. Ces accords definissent les responsabilites de chaque partie.
Privilegiez des prestataires qui hebergent vos donnees en Europe (Union europeenne ou EEE). Les transferts vers les Etats-Unis sont possibles mais necessitent des garanties supplementaires (Standard Contractual Clauses).
- Verifiez que votre prestataire propose un DPA (Data Processing Agreement)
- Privilegiez l'hebergement en Europe
- Evitez de stocker des donnees sensibles (sante, finance) sans mesures supplementaires
- Documentez vos choix dans votre registre de traitement
Vos obligations pratiques
Vous devez tenir un registre des traitements qui liste les categories de donnees que vous traitez, les finalites, la duree de conservation et les sous-traitants utilises. C'est une obligation formelle pour toute organisation qui traite des donnees personnelles.
Supprimez les donnees que vous n'avez plus besoin de conserver. Garder des bases de contacts obsoletes est un risque juridique et une mauvaise pratique.
Notre verdict
Choisissez des services cloud qui proposent un DPA et privilegiez l'hebergement europeen. Tenez un registre de traitement simple et supprimez les donnees que vous n'utilisez plus. Ces quelques mesures couvrent la majorite des obligations RGPD d'un auto-entrepreneur.
Questions fréquentes
Google Drive est-il conforme au RGPD ?
Google propose un DPA standard pour Google Workspace. Le plan Drive gratuit n'inclut pas de DPA formel. Pour une conformite RGPD formelle, utilisez Google Workspace (payant).
Dois-je declarer mon utilisation du cloud a la CNIL ?
Non, la declaration systematique a la CNIL a ete supprimee par le RGPD. Vous devez en revanche tenir un registre de traitement interne et etre en mesure de le presenter en cas de controle.
Que risque-t-on en cas de non-conformite RGPD ?
La CNIL peut infliger des amendes jusqu'a 20 millions d'euros ou 4 % du chiffre d'affaires mondial. En pratique, les petites structures sont rarement sanctionnees si elles font preuve de bonne foi et mettent en place des mesures de base.