Conformité RGPD et DPO externalisé à Lyon
La conformité RGPD ne se résume pas à une politique de confidentialité recopiée d'un autre site. À Lyon comme ailleurs en France, nous aidons entreprises, associations et collectivités à savoir quelles données elles traitent, pourquoi et avec qui, puis à tenir ces règles dans la durée, avec un DPO externalisé si besoin.
Le RGPD s'applique depuis mai 2018, mais dans beaucoup d'entreprises, la mise en conformité s'est arrêtée à un bandeau cookies et à une mention en bas des formulaires. Pendant ce temps, les données circulent : fichier clients exporté dans un tableur partagé, CV conservés sans limite dans une boîte mail, logiciel de paie en ligne dont personne n'a lu le contrat. Quand un client demande à consulter ses données ou qu'un ordinateur portable disparaît, personne ne sait vraiment quoi faire.
Nous traduisons ces obligations en règles simples que vos équipes peuvent appliquer, en corrigeant d'abord les écarts les plus risqués : bases légales, durées de conservation, contrats, site internet. Si vous le souhaitez, un DPO externalisé prend ensuite le relais : il tient le registre, traite les demandes des personnes et sert d'interlocuteur à la CNIL. Votre entreprise reste responsable de ses traitements ; le DPO l'aide à tenir ses engagements.
Mise en conformité RGPD de l'entreprise : les chantiers
Chaque structure part d'un point différent. Nous commençons toujours par cartographier les données : logiciels, dossiers partagés, messageries, sauvegardes, outils en ligne adoptés par les équipes.
Registre des traitements
Paie, recrutement, gestion commerciale, vidéosurveillance, prospection : chaque traitement y figure avec sa finalité, ses destinataires et sa durée de conservation.
Sous-traitants
Revue des contrats de vos prestataires (hébergeur, CRM, paie, e-mailing) : clauses imposées par le RGPD, lieu d'hébergement, mesures de sécurité.
Analyse d'impact (AIPD)
Exigée avant de lancer un traitement à risque élevé : nous repérons ceux qui la nécessitent et la menons avec les services concernés.
Droits des personnes
Une procédure pour répondre aux demandes d'accès, de rectification ou d'effacement dans le délai légal, en principe un mois.
Violations de données
Une marche à suivre en cas de fuite ou de perte, avec notification à la CNIL en principe sous 72 heures lorsque la violation présente un risque pour les personnes.
Comment fonctionne un DPO externalisé
Le délégué à la protection des données peut être un salarié ou un prestataire extérieur. Externaliser la fonction évite de la confier à un collaborateur déjà débordé, ou placé en situation de conflit d'intérêts.
Désignation
Nous vous aidons à déclarer le DPO auprès de la CNIL et à faire connaître son rôle et ses coordonnées, en interne comme sur votre site.
Conseil au fil de l'eau
Nouvel outil, fichier de prospects acheté, caméra dans l'entrepôt : la question se pose avant le projet, pas après.
Registre, preuves et CNIL
Registre à jour, traces des décisions, suivi des actions, et un point de contact pour la CNIL en cas de plainte, de contrôle ou de violation de données.
Cookies, CMP et site internet en règle
Votre site est la partie la plus visible de votre conformité, et la plus facile à vérifier, pour un visiteur comme pour la CNIL.
Bandeau cookies et CMP
Une plateforme de gestion du consentement qui bloque les traceurs non essentiels tant que le visiteur n'a pas accepté, et où refuser est aussi simple qu'accepter.
Politique de confidentialité
Un texte qui décrit vos traitements réels, dans un langage compréhensible, plutôt qu'un modèle générique.
Mentions légales et formulaires
Identité de l'éditeur et de l'hébergeur, information au moment de la collecte, cases de consentement non précochées.
Comment se déroule la prestation
Premier échange
Nous faisons le point sur votre activité, vos outils et ce qui existe déjà : registre, mentions, contrats, éventuel DPO.
État des lieux
Entretiens avec les services qui manipulent des données (RH, commercial, comptabilité), en visio ou sur place, et revue des outils, du site et des contrats.
Mise en conformité
Une liste d'actions classées par risque, puis la rédaction des documents : registre, mentions, clauses, procédures.
Suivi dans la durée
Mises à jour au fil des nouveaux projets et des demandes reçues, en mission ponctuelle ou dans le cadre d'un DPO externalisé.
Où intervenons-nous ?
Depuis notre siège de Lyon 6e, nous travaillons avec les entreprises de toute la métropole et d'Auvergne-Rhône-Alpes : sur site quand la mission l'exige, à distance pour le reste, et partout en France pour les prestations qui se font en ligne.
Questions fréquentes
Le DPO est-il obligatoire dans une PME ?
Pas toujours. Il est obligatoire pour les autorités et organismes publics, et pour les organismes dont l'activité principale implique un suivi régulier et systématique de personnes à grande échelle, ou le traitement à grande échelle de données sensibles comme les données de santé. Dans les autres cas, il reste facultatif mais utile : un interlocuteur identifié simplifie la tenue du registre et les réponses aux demandes.
Combien coûte un DPO externalisé ?
Le tarif se fixe sur devis, après un échange sur votre organisation. Il dépend du nombre et de la sensibilité de vos traitements, du volume de demandes à traiter, du nombre de sites ou de sociétés, et du point de départ : une mise en conformité initiale demande plus de travail que le suivi d'un registre déjà propre. Nous pouvons aussi intervenir ponctuellement, sans désignation, sur un chantier précis.
Une petite entreprise doit-elle tenir un registre des traitements ?
Dans la pratique, oui. Le RGPD prévoit une dispense pour les structures de moins de 250 salariés, mais elle ne s'applique pas aux traitements réguliers comme la paie ou la gestion des clients et fournisseurs. Presque toutes les entreprises sont donc concernées. Le registre est aussi le document de base pour répondre à un contrôle ou au questionnaire d'un client.
Quand faut-il réaliser une AIPD ?
Une analyse d'impact relative à la protection des données s'impose quand un traitement est susceptible d'engendrer un risque élevé pour les personnes. La CNIL publie la liste des traitements pour lesquels elle est exigée, par exemple la surveillance constante de l'activité des salariés ou certains traitements de données de santé. Elle se réalise avant la mise en service : description du traitement, évaluation des risques, mesures pour les réduire.
RGPD et NIS 2 : quelle différence ?
Le RGPD protège les données personnelles et les droits des personnes, quelle que soit la taille de l'organisme. NIS 2 porte sur la sécurité des systèmes d'information des entités essentielles et importantes, toutes données confondues. Les deux régimes se cumulent : une même fuite pourra devoir être notifiée à la CNIL au titre du RGPD et, une fois la transposition française achevée, à l'ANSSI. Les mesures de sécurité servent les deux.
Prestations associées
Parlons de votre situation
Un premier échange sans engagement pour comprendre votre besoin, puis une proposition claire, chiffrée et sans jargon.