RGPD pour start-up : construire un produit conforme dès le premier jour

Pourquoi le RGPD concerne une start-up dès le lancement

Le Règlement général sur la protection des données (RGPD) s’applique dès qu’une start-up traite des données à caractère personnel concernant des personnes situées dans l’Union européenne. Il ne faut donc pas attendre d’avoir plusieurs milliers d’utilisateurs, une équipe juridique ou une levée de fonds pour agir.

Une adresse e-mail, une adresse IP, un identifiant client, une donnée de géolocalisation ou encore un identifiant publicitaire peuvent constituer des données personnelles. Le traitement commence souvent avant même la mise sur le marché : création d’un compte de test, collecte de prospects, analyse de l’usage du produit ou installation d’outils de suivi.

La CNIL rappelle que la conformité doit être pensée selon une logique de responsabilité (« accountability »). La start-up doit être capable de démontrer les mesures prises, et pas seulement affirmer qu’elle respecte le RGPD.

Cartographier les données et définir les responsabilités

La première étape consiste à établir une cartographie des traitements. Pour chaque fonctionnalité, il faut identifier les données collectées, leur finalité, les personnes concernées, la durée de conservation, les destinataires et les mesures de sécurité prévues.

Cette analyse permet notamment de distinguer :

• la start-up, qui est généralement responsable du traitement lorsqu’elle décide pourquoi et comment les données sont utilisées ;
• les prestataires techniques, comme l’hébergeur, le service d’envoi d’e-mails ou l’outil de support, qui peuvent agir comme sous-traitants ;
• les partenaires qui déterminent eux-mêmes leurs finalités et peuvent être responsables de leurs propres traitements.

Les contrats avec les sous-traitants doivent respecter l’article 28 du RGPD. Ils doivent notamment encadrer les instructions, la confidentialité, la sécurité, l’assistance en cas de demande d’exercice des droits et la gestion des sous-traitants ultérieurs.

La start-up doit également tenir un registre des activités de traitement. Les entreprises de moins de 250 salariés bénéficient d’une exemption limitée : elle ne s’applique pas lorsque les traitements sont réguliers, présentent un risque pour les personnes ou portent sur des données sensibles.

Choisir une base légale et informer les utilisateurs

Chaque traitement doit reposer sur une base légale : exécution d’un contrat, obligation légale, intérêt légitime, consentement ou, dans certains cas, sauvegarde des intérêts vitaux et mission d’intérêt public. Le choix doit correspondre à la réalité du traitement ; le consentement ne doit pas être utilisé par facilité lorsque l’exécution du contrat est la base pertinente.

Au lancement du produit, la start-up doit prévoir une politique de confidentialité accessible, lisible et adaptée au parcours utilisateur. Elle doit expliquer notamment :

• l’identité du responsable du traitement ;
• les finalités et bases légales ;
• les catégories de données collectées ;
• les destinataires et éventuels transferts hors de l’Espace économique européen ;
• les durées de conservation ;
• les droits des personnes et la manière de les exercer ;
• la possibilité de saisir la CNIL.

Pour la prospection commerciale, les règles varient selon le canal et le destinataire. Les cookies et traceurs non nécessaires nécessitent en principe un consentement préalable. La doctrine de la CNIL sur les cookies précise notamment que poursuivre la navigation ne constitue pas un consentement valable.

Intégrer la protection des données dans le produit

Le RGPD impose une protection des données dès la conception et par défaut. Cette approche, appelée privacy by design et privacy by default, doit être intégrée au cycle produit, et non ajoutée après le développement.

Concrètement, une start-up peut :

• ne demander que les informations réellement nécessaires ;
• désactiver par défaut les options de partage ou de profil public ;
• séparer les données d’identification des données d’analyse lorsque cela est possible ;
• prévoir une suppression et une exportation simples depuis le compte ;
• documenter les choix de conservation et d’anonymisation ;
• limiter les accès internes selon le principe du besoin d’en connaître.

Une analyse d’impact relative à la protection des données (AIPD) est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés. C’est notamment le cas de certaines surveillances systématiques, du traitement à grande échelle de données sensibles ou de l’utilisation de technologies particulièrement intrusives. La liste publiée par la CNIL aide à déterminer si une AIPD est nécessaire.

Sécuriser les données et préparer les incidents

La sécurité doit être proportionnée aux risques, à la nature des données et à l’état de l’art. Pour un produit numérique, le socle comprend généralement le chiffrement des flux, le hachage robuste des mots de passe, l’authentification multifacteur pour les comptes sensibles, la journalisation des accès, les sauvegardes, la gestion des habilitations et les mises à jour régulières.

Il faut aussi préparer une procédure de violation de données. Lorsqu’une violation présente un risque pour les droits et libertés, elle doit être notifiée à la CNIL dans les 72 heures après que le responsable en a pris connaissance. Si le risque est élevé, les personnes concernées doivent également être informées dans les meilleurs délais. Une procédure efficace précise qui détecte l’incident, qui décide, quelles preuves sont conservées et comment les prestataires alertent la start-up.

Organiser les droits, la gouvernance et les preuves

Les utilisateurs peuvent exercer leurs droits d’accès, de rectification, d’effacement, de limitation, d’opposition et, lorsque les conditions sont réunies, de portabilité. La réponse doit intervenir en principe dans un délai d’un mois, avec une prolongation possible de deux mois pour les demandes complexes, sous réserve d’en informer la personne.

La start-up doit donc prévoir une adresse ou un formulaire dédié, une procédure de vérification d’identité proportionnée et un suivi des demandes. La désignation d’un DPO n’est pas systématiquement obligatoire pour une jeune entreprise. Elle le devient dans les cas prévus par l’article 37 du RGPD, notamment lorsque les activités principales impliquent un suivi régulier et systématique des personnes à grande échelle ou un traitement à grande échelle de données sensibles.

La conformité doit enfin être documentée : registre, contrats, politique de confidentialité, preuves de consentement, analyses de risques, procédures internes et décisions d’architecture. Cette documentation constitue un véritable actif lors d’un audit, d’un partenariat ou d’une levée de fonds.

FAQ : RGPD et lancement d’un produit de start-up

Une start-up doit-elle nommer un DPO dès sa création ?

Non. La nomination dépend de la nature, de l’ampleur et de la régularité des traitements, notamment lorsqu’ils impliquent une surveillance systématique à grande échelle ou des données sensibles à grande échelle. Elle peut néanmoins désigner volontairement un référent ou un DPO.

Faut-il déclarer son fichier à la CNIL ?

Non, les formalités générales de déclaration préalable ont été supprimées par le RGPD. La start-up doit toutefois respecter ses obligations, tenir sa documentation et réaliser les formalités spécifiques qui peuvent s’appliquer à certains traitements ou secteurs.

Peut-on utiliser des outils américains dans un produit RGPD ?

Oui, mais il faut analyser les transferts de données, le rôle du prestataire, les garanties applicables et les risques associés. La décision d’adéquation relative au Data Privacy Framework UE-États-Unis concerne les organisations américaines qui y sont certifiées ; elle ne dispense pas d’une analyse globale du traitement.

Quel est le bon moment pour traiter le RGPD ?

Avant la collecte des premières données réelles. Une revue RGPD au stade du cadrage produit permet de corriger une architecture, un parcours de consentement ou un contrat fournisseur beaucoup plus facilement qu’après le lancement.