Faire un état des lieux simple
Commencez par lister les données personnelles traitées : clients, prospects, salariés, fournisseurs, candidats, utilisateurs d'un service en ligne. Notez où ces données sont stockées, qui y accède et combien de temps elles sont conservées.
Relier conformité et sécurité
Un registre RGPD sans mesures techniques reste fragile. Les comptes doivent être maîtrisés, les sauvegardes testées, les postes protégés et les départs de collaborateurs traités rapidement. Ces pratiques réduisent aussi les risques d'incident.
Priorités fréquentes pour une PME
- Activer le MFA sur les comptes de messagerie et d'administration.
- Tester la restauration des sauvegardes importantes.
- Réduire les comptes partagés et les droits excessifs.
- Mettre à jour les postes et les logiciels exposés.
- Préparer une procédure courte en cas de suspicion d'incident.
Ne pas mélanger technique et conseil juridique
Un accompagnement informatique peut aider à structurer les accès, les sauvegardes, la documentation et les mesures de sécurité. Les questions juridiques spécifiques, les analyses complexes ou les arbitrages sensibles doivent être validés par un DPO ou un conseil compétent.
Construire un plan d'action
Le plan d'action doit rester lisible : cinq à dix priorités, un responsable, une échéance, une raison et un niveau d'impact. Cette méthode permet de progresser même avec un budget limité.
Pour aller plus loin, consultez la page cybersécurité et RGPD à Toulouse.