RGPD

Le Règlement général sur la protection des données s’applique dans toute l’Union européenne depuis 2018. Il concerne toute organisation qui utilise des données personnelles, quelle que soit sa taille, dès lors qu’elle est établie dans l’Union ou qu’elle s’adresse à des personnes qui s’y trouvent. En France, c’est la CNIL qui veille à son respect.

Chaque utilisation de données personnelles, ce que le RGPD appelle un traitement, doit respecter quelques grands principes :

• un objectif précis, défini à l’avance ;
• le minimum nécessaire : on ne collecte que ce qui sert cet objectif ;
• une durée de conservation fixée, au-delà de laquelle on supprime ;
• la sécurité : seules les bonnes personnes accèdent aux données ;
• les droits des personnes : consulter leurs données, les faire corriger ou effacer.

Un outil interne n’y échappe pas. Un suivi des congés ou un fichier de prospection créé avec l’IA est un traitement comme un autre. Le RGPD demande d’ailleurs de penser à la protection des données dès la conception, et non après coup. Ses questions trouvent donc leur place dès le prompt : quelles informations garder, qui les voit, quand les effacer.

Le piège : réduire le RGPD aux bandeaux de cookies des sites web. Il concerne d’abord les fichiers du quotidien, à commencer par ceux des RH et des ventes.

Exemple. Pour son futur outil de suivi des candidatures, Samuel, chargé de recrutement, liste les seules informations utiles et prévoit d’effacer les dossiers des candidats non retenus après un délai fixé à l’avance.