Quelles données peuvent sortir de votre entreprise

Quand un dirigeant nous demande si ses données « partent aux États-Unis », il pose une question de confiance déguisée en question technique. Voici la réponse technique, puis la règle pratique que nous laissons à nos clients pour qu’ils tranchent seuls.

Le point de départ : rien ne sort par accident

Un agent que nous installons ne se connecte pas à internet en général. Il se connecte à des endroits précis, décidés avec vous : votre boîte mail, votre tableur de prix, votre agenda, votre espace de fichiers. Ce qu’il envoie à un modèle de langage, c’est le contenu de la tâche en cours, pas le contenu de votre entreprise.

La différence est concrète. Un agent qui rédige un devis envoie la description du chantier et les lignes de votre grille tarifaire concernées. Il n’envoie pas votre grille entière, ni votre fichier clients, ni vos trois dernières années de facturation.

Les trois catégories qui suffisent à décider

Nous n’enseignons pas le règlement général sur la protection des données en formation. Nous enseignons trois catégories, parce que trois catégories, une équipe les retient et les applique le lundi suivant.

La troisième ligne est celle qui compte. Ce n’est pas une précaution juridique : ce sont des informations dont la sortie vous coûterait cher, quel que soit le cadre contractuel. Un prix d’achat fournisseur qui circule, c’est votre marge sur la table. Une pièce de litige, c’est votre position de négociation.

Ce que le RGPD demande vraiment de vous

Deux choses, et elles sont moins effrayantes qu’on ne le dit.

Savoir ce que vous traitez. C’est le registre des traitements. Pour une entreprise de dix personnes, c’est un tableau d’une page : quelle donnée, pour quoi faire, où elle va, combien de temps elle reste. Nous le remplissons avec vous pour la partie qui nous concerne, et nous vous le remettons par écrit.

Encadrer vos sous-traitants. Quand un prestataire traite des données pour vous, il vous faut un contrat qui dit ce qu’il a le droit d’en faire. C’est le contrat de sous-traitance, et il est livré avec l’agent, pas six mois plus tard.

Une précision qui rassure la plupart des dirigeants : dans cette relation, c’est vous le responsable de traitement et nous le sous-traitant. Cela veut dire que nous n’avons pas le droit d’utiliser vos données pour autre chose que ce que vous nous demandez, et que cela s’écrit noir sur blanc.

Les questions que vous devriez poser à n’importe quel prestataire

Celles-ci valent pour nous comme pour n’importe qui d’autre. Si les réponses sont floues, c’est une réponse en soi.

Quelles données précises partent, pour chaque tâche ? La bonne réponse est une liste, pas une catégorie. « Les informations nécessaires » n’est pas une réponse.

Chez qui vont-elles ? Le nom du fournisseur de modèle, le pays d’hébergement, et la mention de l’existence ou non d’un contrat de sous-traitance signé.

Combien de temps sont-elles conservées, et par qui ? Y compris chez le fournisseur du modèle : les conditions varient selon l’offre souscrite, et un compte professionnel n’a pas les mêmes règles qu’un compte gratuit.

Servent-elles à entraîner un modèle ? La réponse doit être non, et elle doit être écrite dans le contrat, pas affirmée au téléphone.

Que se passe-t-il si j’arrête ? Où sont vos données, comment les récupérez-vous, et qu’est-ce qui est effacé.

Ce que nous laissons chez nos clients

À l’issue d’une formation ou d’une installation, vous repartez avec une règle interne d’une page. Pas un document juridique : une feuille que vous pouvez afficher, écrite dans vos mots, avec vos exemples à vous.

Elle dit ce qui peut être copié dans un outil extérieur, ce qui ne le peut pas, et à qui demander en cas de doute. C’est le document le plus utile que nous produisons, parce que c’est le seul que vos équipes consultent réellement, et parce qu’il vaut aussi pour les outils que vos équipes utilisent sans vous.

Car c’est la vraie question, celle qui devrait vous inquiéter davantage que nos agents : quelqu’un dans votre entreprise a probablement déjà collé un document dans un outil gratuit, ce mois-ci, sans le dire à personne. Une règle écrite d’une page règle ce problème-là mieux qu’une interdiction générale que personne ne respecte.

Pour aller plus loin

Les limites techniques de ces outils, et la méthode de relecture qui va avec, font l’objet d’un autre article. Et si votre sujet est plutôt l’effet sur vos équipes, nous avons écrit ce que nous répondons sur le remplacement des salariés.