Rgpd: près d’une Pme belge sur 4 toujours à la case départ

C’est en tout cas ce qu’il ressort d’une enquête d’Acerta, le prestataire de services RH, qui s’est intéressé au degré de sensibilisation et à la transition des Pme belges après l’entrée en vigueur de ce nouveau règlement européen relatif aux données à caractère personnel.

Est-ce franchement utile?

Une bonne nouvelle d’abord: 89% des dirigeants de Pme interrogés considèrent que leur entreprise ou profession est concernée par le règlement européen sur la protection des données personnelles. La sensibilisation à cette nouvelle législation est donc élevée, mais elle se fait toutefois bon gré mal gré. Si 38% des Pme disent comprendre la nécessité du respect des données privées dans un cadre de ressources humaines, elles précisent tout de même que les mesures contraignantes du Rgpd ne sont pas nécessaires pour y parvenir. Plus d’un tiers (36%) d’entre elles indiquent par ailleurs que ce règlement est certainement utile dans le chef des grandes entreprises, mais qu’il n’est pas une norme réaliste pour les Pme.

Le Rgpd est un règlement européen complexe et en constante évolution, qui va progressivement être traduit à l’échelle belge via diverses adaptations législatives.

Pourquoi faire simple quand on peut faire compliqué

«Le haut degré de sensibilisation des Pme belges au Rgpd nous a positivement surpris», commente Michaël Zahlen, consultant chez Acerta. «En revanche, il en va autrement de l’application en continu de ce règlement à tous les niveaux. En effet, dans le cadre du Rgpd, ce n’est pas vraiment la taille de l’entreprise qui compte, mais plutôt le type de données qui sont traitées. Ainsi, l’application du règlement sera beaucoup plus complexe pour une entreprise de 3 personnes qui distribue un mailing à ses clients et propose un système de cartes de fidélité, que pour une entreprise de 30 personnes avec peu de données personnelles à traiter. Il faut néanmoins souligner que toutes les Pme sans exception traitent des données personnelles et sont donc concernées puisqu’à partir du moment où on traite les données d’un employé, on traite des données personnelles. Mais je rejoins totalement les Pme pour dire que la complexité du règlement rend son application assez contraignante.»

Une compréhension lacunaire

L’enquête d’Acerta réalisée auprès de 661 Pme belges (de 1 à 100 employés) fait également ressortir la méconnaissance des entreprises concernant certains points du règlement. Si l’autorisation expresse préalable pour le traitement des données personnelles et la tenue d’un registre de traitement sont des concepts assez connus (avec respectivement 74% et 65% des Pme déclarant les connaître), d’autres mesures essentielles, comme le droit à l’oubli (45%) et la désignation obligatoire d’un Data Protection Officer dans l’entreprise (42%) semblent avoir été bien moins intégrées. Un constat qui n’étonne que modérément Michaël Zahlen: «même si le concept de protection des données personnelles va dans le bon sens, le Rgpd, représente pour bon nombre de Pme une charge administrative importante. La plupart (57%) ont donc essayé de s’adapter par elles-mêmes. Après tout, pourquoi pas? Si ce n’est que se faire accompagner par un conseiller spécialisé représente malgré tout un gain de temps, et donc d’argent, mais seules 28% des Pme interrogées ont fait appel à un consultant ou à un comptable. Pourtant,  il ressort de nos contacts avec les entreprises que beaucoup ont une compréhension superficielle du Rgpd, alors qu’il s’agit d’un règlement européen complexe et en constante évolution, qui va progressivement être traduit à l’échelle belge via diverses adaptations législatives.»

Pme demandent informations de toute urgence

27% des Pme sondées n’ont toutefois encore rien entrepris pour se mettre à jour. Un chiffre qui pose question. A la question «Pour quelles raisons n'avez-vous rien fait pour vous mettre en règle avec la loi?», pas moins de 48% des répondants ont indiqué qu’ils ne savaient pas comment faire, et 39% disent qu’ils manquent de temps.

Un immobilisme compréhensible, mais qui peut coûter cher.  «La loi belge du 30 juillet 2018 exécutant le Rgpd a été publiée le 5 septembre dernier au Moniteur. Elle remplace la loi vie privée de 1992. Or, on ne le sait que trop peu, mais cette loi élargit le spectre des sanctions et prévoit aussi des amendes pénales. Concrètement, cela veut dire qu’un différend lié au Rgpd peut entraîner des poursuites devant un tribunal avec de lourdes amendes à la clé», rappelle Michaël Zahlen.

Une raison parmi d’autres pour rappeler aux Pme que, en dépit du fait qu’elles ont certainement 1.000 autres choses plus importantes à faire, il est impératif qu’elles prennent les dispositions nécessaires pour se conformer à la loi, à tous les niveaux.