Le règlement général sur la protection des données (RGPD) s'applique à tout cabinet, quelle que soit sa taille. En tant que conseiller, vous êtes responsable de traitement des données de vos clients : c'est à vous de savoir où elles sont, qui y accède et combien de temps elles sont gardées.
Vos logiciels sont-ils des sous-traitants ?
Dès qu'un éditeur héberge ou traite pour vous les données de vos clients (CRM en ligne, agrégateur, logiciel de bilan accessible par internet), il devient votre sous-traitant. L'article 28 du RGPD impose alors un contrat qui précise notamment la nature du traitement, les mesures de sécurité, l'éventuel recours à d'autres sous-traitants et le sort des données en fin de contrat. Vérifiez que ce document existe pour chacun de vos outils.
Les questions à poser à votre éditeur
- Où les données sont-elles hébergées, et l'hébergeur est-il soumis à des lois hors de l'Union européenne ?
- Sont-elles chiffrées, et qui détient les clés ?
- Qui, chez l'éditeur, peut y accéder, et dans quels cas ?
- Comment récupérer vos données, et que deviennent-elles après une résiliation ?
- Que se passe-t-il en cas de fuite : délai d'information, procédure ?
Le registre des traitements
Tenez un registre qui décrit vos traitements : gestion de la relation client, conseil, souscriptions, prospection. Pour chacun, indiquez les données concernées, les finalités, les destinataires (partenaires, assureurs, réseau), les outils utilisés et les durées de conservation. La CNIL propose un modèle simple.
Combien de temps garder les données ?
Pas indéfiniment. Certaines durées découlent d'obligations légales : au titre de la lutte contre le blanchiment, les documents relatifs à l'identité des clients et aux opérations sont conservés cinq ans après la fin de la relation ou l'opération. Pour un prospect qui n'a pas donné suite, une durée courte s'impose. Fixez vos règles par écrit et appliquez-les, y compris dans vos sauvegardes.
La sécurité au quotidien
L'article 32 du RGPD demande des mesures adaptées au risque. Pour un cabinet, cela veut dire concrètement : des mots de passe solides et différents, un poste verrouillé, des fichiers clients chiffrés, des sauvegardes régulières et testées, et aucune donnée client qui circule en clair par mail ou sur une clé USB.
Avertissement : cet article donne des repères généraux, il ne remplace pas l'avis d'un juriste ou d'un délégué à la protection des données.
Le choix fait pour Halden
Halden fonctionne sur le poste du conseiller : les dossiers sont chiffrés en AES-256 par son mot de passe et sauvegardés, chiffrés, dans le dossier qu'il choisit. L'éditeur ne reçoit, n'héberge et ne traite aucune donnée de vos clients. Le détail est sur la page Sécurité.