Protection des données au bureau : le RGPD au-delà du site web

TL;DR

La protection des données ne s'arrête pas à la politique de confidentialité de votre site web : le RGPD et la loi organique espagnole LOPDGDD s'appliquent également aux documents papier, aux écrans, aux visiteurs, aux caméras et aux conversations dans vos bureaux. Le règlement européen couvre aussi les documents papier lorsqu'ils font partie d'un fichier structuré (un classeur de dossiers clients ou des dossiers du personnel) et impose des mesures garantissant la confidentialité : archives sous clé, politique du bureau rangé et de l'écran verrouillé, destruction sécurisée, contrôle des accès, vidéosurveillance avec affichage informatif et personnel tenu au secret.

Des délais précis s'appliquent : les images de vidéosurveillance doivent être supprimées dans un délai maximal d'un mois, et une violation de données présentant un risque pour les personnes doit être notifiée à l'Agence espagnole de protection des données (AEPD) sans retard injustifié et, si possible, dans les 72 heures, même lorsqu'il s'agit de la perte d'un dossier papier. Nous examinons ci-dessous chaque aspect, avec une checklist, les erreurs fréquentes et les avantages d'un bureau privatif en matière de protection des données.

Le RGPD s'applique-t-il aux bureaux physiques et aux documents papier ?

Oui. L'article 2 du Règlement général sur la protection des données (RGPD) établit qu'il s'applique aux traitements automatisés, mais aussi aux traitements non automatisés de données contenues dans un fichier ou destinées à y figurer. Un fichier est défini comme tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés. Un classeur organisé par client ou des dossiers du personnel correspondent à cette définition. La protection des données ne concerne donc pas uniquement l'informatique.

Le principe le plus important dans les bureaux physiques est celui de l'« intégrité et confidentialité », prévu à l'article 5, paragraphe 1, point f), du RGPD : les données doivent être traitées de manière à garantir une sécurité appropriée, notamment contre tout traitement non autorisé ou illicite et contre leur perte, leur destruction ou leur détérioration accidentelle. L'article 32 impose des mesures techniques et organisationnelles adaptées aux risques. Dans ce contexte, une armoire de classement sans serrure placée dans un couloir constitue une mesure insuffisante, même si personne n'a accédé à un serveur informatique.

En Espagne, le RGPD est complété par la loi organique 3/2018 relative à la protection des données personnelles et à la garantie des droits numériques (LOPDGDD), qui réglemente notamment la vidéosurveillance, le devoir de confidentialité et les droits numériques des salariés. D'après notre expérience, le même schéma se répète : un site web irréprochable en matière de confidentialité, mais un dossier oublié dans une salle de réunion. Cet article est fourni à titre informatif et la réglementation relative à la protection des données peut évoluer. Pour votre situation particulière, consultez votre délégué à la protection des données ou votre conseiller juridique.

Quelles mesures appliquer aux documents papier et à leur destruction ?

La première mesure de protection des données consiste à savoir quels documents papier vous détenez et où ils se trouvent : dossiers clients, contrats, bulletins de paie, CV, factures contenant des données de personnes physiques ou rapports comportant des informations sensibles. Pour chaque catégorie, déterminez qui peut les consulter, où ils sont conservés et pendant combien de temps. Le RGPD impose de ne conserver les données que pendant la durée nécessaire, tandis que les obligations fiscales, commerciales ou sociales prévoient des délais minimaux que votre conseiller pourra vous confirmer. Les documents qui n'ont plus à être conservés doivent être détruits.

La deuxième mesure concerne la sécurité physique : armoires et caissons verrouillables, clés conservées en lieu sûr et archives entreposées dans des pièces fermées plutôt que dans des zones de passage. Les accès doivent être définis selon les fonctions : la personne chargée des factures n'a pas besoin de consulter les dossiers du personnel. Si vous transportez des documents entre plusieurs sites, utilisez des boîtes fermées et ne les laissez jamais sans surveillance. Dans notre guide consacré au déménagement des bureaux d'une entreprise, nous expliquons comment profiter d'un transfert pour numériser ou détruire les documents devenus inutiles.

La troisième mesure est la destruction sécurisée. Le guide de l'AEPD sur la protection des données dans les relations de travail donne un exemple très clair : jeter des documents non détruits dans les poubelles ordinaires constitue l'une des infractions les plus fréquentes en matière de protection des données, et l'entreprise en est responsable. Déchirer une feuille en quatre morceaux ne constitue pas une destruction sécurisée. Utilisez des destructeurs de documents à coupe croisée pour les petits volumes ou des conteneurs fermés pris en charge par un prestataire externe délivrant un certificat de destruction. La norme UNE-EN 15713 relative à la destruction sécurisée des documents confidentiels constitue une référence technique pour évaluer les prestataires.

N'oubliez pas les supports électroniques : disques durs d'ordinateurs mis hors service, clés USB ou disque interne d'un photocopieur que vous restituez. L'AEPD considère les données résiduelles présentes sur des appareils obsolètes comme des éléments susceptibles de constituer une violation de données. Et si vous confiez la destruction à un tiers, vous devez conclure un contrat de sous-traitance du traitement, comme nous le verrons plus loin.

Comment mettre en place une politique du bureau rangé et de l'écran verrouillé ?

La politique du bureau rangé (clean desk policy) est simple : lorsque vous vous absentez pendant un certain temps et à la fin de la journée, aucun document contenant des données personnelles ne doit rester sur votre bureau. Les papiers doivent être rangés dans un tiroir fermé à clé et les notes contenant des mots de passe doivent disparaître. Dans les espaces fréquentés par d'autres personnes (personnel de nettoyage, maintenance, visiteurs), c'est l'une des mesures de protection des données les moins coûteuses et les plus efficaces.

La politique de l'écran verrouillé (clear screen policy) en est l'équivalent numérique : verrouiller son ordinateur en quittant son poste, activer le verrouillage automatique après quelques minutes d'inactivité et fermer sa session en fin de journée. Orientez les écrans pour qu'ils ne soient pas visibles depuis les couloirs ou les salles d'attente, et utilisez des filtres de confidentialité sur les postes exposés. Soyez également vigilant lors du partage d'écran pendant les visioconférences : une notification affichant le nom d'un client constitue une négligence fréquente.

D'autres supports visibles sont souvent oubliés : tableaux blancs affichant des noms de clients que personne n'efface, panneaux d'affichage présentant des listes de salariés ou des plannings de congés visibles par les visiteurs. Le guide de l'AEPD consacré aux relations de travail comporte une section spécifique sur la publication de données personnelles sur les panneaux d'affichage, car il s'agit d'une source récurrente de problèmes de confidentialité.

La protection des données au bureau ne se joue pas uniquement sur les serveurs informatiques, mais aussi dans le bac de sortie de l'imprimante, sur le tableau blanc que personne n'efface et derrière la porte d'une salle de réunion laissée ouverte.

Pour que cette politique fonctionne, formalisez-la sur une page et expliquez-la lors de l'accueil des nouveaux collaborateurs. D'après notre expérience, la politique du bureau rangé est beaucoup mieux respectée lorsque chaque poste dispose d'un caisson verrouillable et qu'un destructeur de documents est facilement accessible : si ranger ou détruire un document demande trop d'efforts, il finit par rester sur le bureau.

Quelles obligations de protection des données concernent le contrôle des accès et les visiteurs ?

Le premier niveau de protection des données dans un bureau consiste à contrôler les personnes autorisées à entrer : clés ou badges personnels, accès différenciés selon les zones et désactivation immédiate des autorisations lorsqu'une personne quitte l'entreprise. Si vous gérez votre propre système de contrôle d'accès, n'oubliez pas que les registres d'entrées et de sorties contiennent des données personnelles de vos salariés et que vous devez les informer de la finalité de leur traitement.

Pour les visiteurs, le défi consiste à identifier les personnes qui entrent sans recueillir plus de données que nécessaire. Demandez uniquement les informations indispensables à la sécurité, indiquez au visiteur qui traite ses données et comment exercer ses droits, puis fixez une durée de conservation raisonnable. Évitez le registre de visiteurs ouvert sur le comptoir d'accueil, où chacun peut lire le nom et le numéro de document d'identité des personnes précédentes : un registre numérique ou une fiche individuelle remplit la même fonction.

À l'intérieur, les visiteurs ne doivent pas circuler seuls dans les zones contenant des documents ou des écrans. Ils doivent être accueillis, accompagnés jusqu'à la salle de réunion puis raccompagnés à leur départ. Éloigner la salle d'attente des postes où les collaborateurs traitent des appels téléphoniques relève de la conception des espaces, et pas seulement du règlement intérieur. Dans un centre d'affaires, l'accueil gère ces déplacements tandis que chaque entreprise conserve ses propres espaces fermés, ce qui simplifie la protection des données.

Que prévoit la loi concernant la vidéosurveillance et l'affichage informatif dans les bureaux ?

L'article 22 de la LOPDGDD autorise le traitement d'images provenant de caméras afin de protéger les personnes, les biens et les installations, en limitant la captation de la voie publique au strict nécessaire. Les images doivent être supprimées dans un délai maximal d'un mois à compter de leur enregistrement, sauf lorsqu'elles doivent être conservées pour prouver des actes portant atteinte à l'intégrité des personnes, des biens ou des installations. Dans ce cas, elles doivent être mises à la disposition de l'autorité compétente dans un délai maximal de 72 heures à compter du moment où l'existence de l'enregistrement est connue.

L'obligation d'information est remplie au moyen d'un panneau signalant une zone placée sous vidéosurveillance, installé à un endroit suffisamment visible et indiquant, au minimum, l'existence du traitement, l'identité du responsable du traitement et la possibilité d'exercer les droits prévus aux articles 15 à 22 du RGPD. Le guide de l'AEPD sur l'utilisation des caméras vidéo, publié en février 2025, propose un modèle de panneau et rappelle que ce traitement doit figurer dans le registre des activités de traitement.

Si les caméras servent également à contrôler l'activité professionnelle, l'article 89 de la LOPDGDD impose d'informer préalablement les salariés et leurs représentants, de manière expresse, claire et concise. Les caméras et les enregistrements sonores ne sont jamais autorisés dans les vestiaires, les toilettes, les réfectoires ou les autres espaces de repos. L'enregistrement du son n'est permis qu'en présence de risques importants pour la sécurité et dans le respect du principe de proportionnalité.

Dans la pratique, vérifiez que les caméras sont orientées vers les accès et les zones à risque, et non vers les postes de travail ou les écrans ; que les moniteurs de surveillance ne sont pas visibles par tous ; et que seules les personnes autorisées peuvent consulter les enregistrements. Si la surveillance est assurée par une entreprise de sécurité, un contrat de sous-traitance du traitement est nécessaire. Dans un immeuble où les caméras sont gérées par le propriétaire ou l'exploitant du centre, c'est l'entité qui les gère qui est responsable du traitement des données correspondant, et non votre entreprise.

Comment protéger la confidentialité dans les salles de réunion, avec les imprimantes et dans la gestion du courrier ?

Les salles de réunion sont les lieux où les informations sensibles circulent le plus souvent à voix haute : négociations, entretiens, licenciements ou situation financière d'un client. La protection des données commence ici par le choix d'une salle fermée, offrant une bonne isolation acoustique et dépourvue de parois vitrées transparentes donnant sur les zones de passage lorsque des documents confidentiels sont projetés. À la fin de la réunion, il faut récupérer les documents, effacer le tableau blanc et déconnecter l'écran. Si la réunion est hybride, vérifiez également ce que captent la caméra et le microphone. Notre article sur les réunions hybrides et leurs équipements propose des conseils pour configurer la salle.

Les appels téléphoniques méritent la même attention : parler à un client dans un couloir ou à la cafétéria expose ses informations aux personnes présentes à proximité. L'AEPD cite la divulgation verbale non autorisée parmi les incidents pouvant constituer une violation de confidentialité : il n'est pas nécessaire de perdre un fichier pour rencontrer un problème. Pour les réunions ponctuelles avec des tiers, l'une de nos salles de réunion à Madrid peut être réservée à l'heure, afin de recevoir des clients sans exposer votre bureau ni les autres personnes présentes.

Les imprimantes et les photocopieurs représentent une autre source classique de risques : un bulletin de paie oublié dans le bac de sortie partagé constitue une exposition directe de données personnelles. Les mesures sont connues : impression sécurisée libérée par code ou badge, récupération immédiate des documents et effacement du disque dur interne lors de la mise hors service de l'appareil. Si vous externalisez la reprographie, par exemple avec nos services auxiliaires, précisez quels documents contiennent des données personnelles et ce qu'il convient de faire des impressions ratées.

La correspondance complète cet ensemble de mesures. L'AEPD mentionne la perte ou l'ouverture non autorisée de courrier postal parmi les incidents typiques de violation de données. Définissez qui reçoit et ouvre le courrier et comment il est distribué : les enveloppes doivent rester fermées et ne jamais être laissées sur un comptoir ouvert. Si un tiers réceptionne votre courrier, comme un service de domiciliation, assurez-vous qu'il l'enregistre, le conserve en sécurité et vous avertit de chaque réception, sans l'ouvrir sauf instruction de votre part.

Qu'est-ce qui change avec le télétravail et le hot desking dans les espaces flexibles ?

Le télétravail étend la protection des données au-delà des bureaux. La loi espagnole 10/2021 relative au travail à distance considère le télétravail comme régulier lorsqu'il représente au moins 30 % du temps de travail sur une période de référence de trois mois. Dans ces cas, l'accord de travail à distance doit inclure les instructions de l'entreprise concernant la protection des données et la sécurité de l'information, que le salarié est tenu de respecter. Imprimer des dossiers à domicile ou travailler dans un train avec un écran visible par les autres voyageurs sont des risques que ces instructions doivent anticiper.

Le hot desking, ou utilisation de postes de travail partagés et non attribués, pose un autre problème : personne ne dispose de son propre tiroir. La politique du bureau rangé devient indispensable, avec des casiers verrouillables et un système d'impression sécurisée. Dans un espace de coworking, des personnes appartenant à différentes entreprises travaillent également côte à côte, et des conversations ou des informations affichées à l'écran peuvent être perçues par des tiers. Si vous envisagez un modèle mixte, notre article consacré au travail hybride explique comment l'organiser.

Le type d'espace fait ici une réelle différence en matière de protection des données :

Type d'espace	Principal risque pour la confidentialité	Mesures essentielles	Adapté à
Poste partagé ou hot desk	Conversations et écrans accessibles aux personnes d'autres entreprises ; absence de rangement personnel	Politique stricte du bureau rangé, filtres de confidentialité, casier verrouillable, appels dans des cabines ou des salles	Activités sans données sensibles ou utilisation ponctuelle
Bureau privatif fermé	Négligences internes (porte ouverte, documents laissés sur le bureau)	Clé personnelle, archives sous clé, politique interne du bureau rangé	Cabinets professionnels, sociétés de conseil et équipes traitant quotidiennement des données clients
Bureau virtuel	Correspondance prise en charge par un tiers	Enregistrement, conservation sécurisée et notification du courrier ; instructions claires sur l'ouverture et la réexpédition	Entreprises n'ayant pas besoin d'un espace physique au quotidien
Télétravail à domicile	Environnement non contrôlé par l'entreprise	Instructions de protection des données dans l'accord, absence d'impression à domicile, verrouillage de l'ordinateur	Équipes hybrides disposant d'une politique claire

Dans nos centres d'Azca, de Gran Vía et de Velázquez, un bureau privatif est un espace fermé à usage exclusif, meublé et doté de sa propre clé numérique, à partir de 1 500 € HT par mois selon le centre et le nombre de postes, avec accueil et gestion du courrier inclus. Si vous n'avez pas besoin d'un espace quotidien, notre bureau virtuel enregistre et conserve votre courrier en sécurité et vous avertit de chaque réception, à partir de 40 € HT par mois (Basic), 90 € HT (Business) et 150 € HT (Premium), avec un engagement minimum de trois mois. Un espace fermé contribue à la confidentialité, mais ne remplace pas vos propres mesures : la serrure du bureau ne protège pas un dossier oublié dans une salle commune.

Quels documents l'entreprise doit-elle posséder : registre, contrats de sous-traitance et engagements de confidentialité ?

Le registre des activités de traitement, prévu à l'article 30 du RGPD et à l'article 31 de la LOPDGDD, constitue l'inventaire des données que vous traitez, des finalités, des destinataires, des durées de conservation et des mesures appliquées. Le RGPD n'exempte les organisations de moins de 250 personnes que lorsque le traitement est occasionnel, sans risque et ne concerne pas de catégories particulières de données. Comme presque toutes les entreprises traitent régulièrement des données (paie, facturation), il est prudent de tenir ce registre. Les traitements physiques doivent également y figurer : dossiers du personnel, visiteurs et vidéosurveillance.

Le deuxième document est le contrat conclu avec chaque sous-traitant du traitement, c'est-à-dire chaque prestataire accédant à des données personnelles pour votre compte : destruction de documents, sécurité, nettoyage, conseil ou réception du courrier et des appels. L'article 28 du RGPD définit le contenu minimal de ces contrats, notamment l'engagement de confidentialité des personnes autorisées à traiter les données.

Le troisième pilier est le devoir de confidentialité. L'article 5 de la LOPDGDD l'impose à toutes les personnes intervenant à une quelconque étape du traitement, en complément du secret professionnel, et prévoit qu'il subsiste même après la fin de leur relation avec l'entreprise. Il est habituel de formaliser cet engagement par écrit et de proposer une formation de base à la protection des données. L'AEPD recommande de former également le personnel de nettoyage.

Si vous traitez des données présentant un faible risque, l'AEPD met gratuitement à disposition l'outil Facilita RGPD, qui génère des clauses, des contrats de sous-traitance, le registre des activités et une annexe de mesures minimales. L'Agence précise toutefois que son utilisation ne garantit pas automatiquement la conformité. N'oubliez pas non plus que d'autres obligations sociales génèrent des données devant figurer dans cet inventaire, comme le suivi du temps de travail.

Que faire en cas de violation de données dans les bureaux ?

Le RGPD définit une violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte ou l'altération de données personnelles, ou leur divulgation ou leur accès non autorisés. Il ne fait aucune distinction entre les données numériques et les documents papier. Le guide de l'AEPD sur la gestion et la notification des violations de données cite parmi les incidents typiques les documents perdus, volés ou déposés dans un lieu non sécurisé, le courrier postal perdu ou ouvert et l'élimination incorrecte de données sur papier.

Si la violation présente un risque pour les droits et libertés des personnes, l'article 33 du RGPD impose de la notifier à l'autorité de contrôle sans retard injustifié et, si possible, au plus tard 72 heures après en avoir pris connaissance. Si la notification intervient plus tard, les raisons du retard doivent être expliquées. L'AEPD précise que ce délai comprend les week-ends et les jours fériés et que la notification s'effectue par le canal dédié aux violations de données sur son portail électronique. Si le risque est élevé, l'article 34 impose également d'en informer les personnes concernées.

Il est préférable de disposer d'une procédure avant d'en avoir besoin. En cas de perte d'un dossier ou d'ouverture de courrier par une personne non autorisée, voici l'ordre pratique à suivre :

Contenir l'incident : récupérer le document si possible, changer les serrures ou les codes et bloquer les accès.
Alerter immédiatement en interne la personne responsable de la protection des données ou la direction.
Évaluer l'incident : identifier les données concernées, le nombre de personnes touchées et les conséquences possibles.
Déterminer si une notification à l'AEPD est nécessaire, en tenant compte du délai de 72 heures à partir de la prise de connaissance de l'incident.
Informer les personnes concernées si le risque est élevé.
Documenter l'incident même s'il n'est pas notifié, en consignant les faits, les conséquences et les mesures correctives, conformément à l'article 33, paragraphe 5, du RGPD.

Si l'incident est détecté par un sous-traitant, celui-ci doit vous en informer sans retard injustifié. D'après notre expérience, l'erreur la plus grave n'est pas nécessairement la violation elle-même, mais le fait de la découvrir trop tard parce que personne ne savait que la perte d'une enveloppe pouvait également constituer un problème de protection des données.

Quelles erreurs fréquentes constatons-nous et quelles sanctions peuvent-elles entraîner ?

Les erreurs de protection des données dans les bureaux sont rarement sophistiquées : documents jetés dans les poubelles ordinaires, armoires non verrouillées, registres de visiteurs ouverts, écrans orientés vers la salle d'attente, impressions oubliées, conversations dans des espaces ouverts et caméras sans affichage informatif. D'autres erreurs sont moins visibles : prestataires sans contrat de sous-traitance du traitement, clés non récupérées et équipements mis hors service sans effacement sécurisé.

La LOPDGDD qualifie de très grave la violation du devoir de confidentialité, avec un délai de prescription de trois ans. L'absence de mesures de sécurité appropriées, l'absence de registre obligatoire des activités de traitement ou le défaut de notification d'une violation sont considérés comme des infractions graves, prescrites au bout de deux ans. Les montants maximaux des amendes sont fixés par l'article 83 du RGPD :

Type de manquement	Exemple dans les bureaux	Amende maximale (article 83 du RGPD)	Qualification selon la LOPDGDD
Principes fondamentaux du traitement (article 5 du RGPD)	Dossiers accessibles à tous, documents jetés dans les poubelles ordinaires	Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu	Violation du devoir de confidentialité : très grave (prescription de 3 ans)
Obligations du responsable du traitement et du sous-traitant (articles 25 à 39 du RGPD)	Absence de mesures de sécurité, absence de registre des activités, violation non notifiée	Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu	Graves (prescription de 2 ans)

Il s'agit de plafonds maximaux et non des montants habituellement appliqués. Le RGPD impose de déterminer chaque amende en fonction de la gravité du manquement, de son caractère intentionnel ou négligent et des mesures de protection des données qui avaient été mises en place. Au-delà de l'amende, l'atteinte à la réputation auprès d'un client représente souvent le coût le plus élevé.

Quelle checklist suivre pour protéger les données dans les bureaux ?

Cette checklist de protection des données dans les bureaux physiques résume toutes les mesures précédentes. Désignez un responsable pour chaque domaine et révisez-la une fois par an ou à chaque changement de locaux.

Documentation et archives

Inventorier les documents papier contenant des données personnelles, avec les responsables et les durées de conservation.
Utiliser des armoires et des caissons verrouillables, conserver les clés en sécurité et limiter les accès selon les fonctions.
Prévoir un destructeur de documents à coupe croisée ou un conteneur fermé avec service certifié ; effacer de manière sécurisée les supports mis hors service.

Postes de travail, écrans et impressions

Formaliser par écrit une politique du bureau rangé et de l'écran verrouillé et l'expliquer lors de l'accueil des collaborateurs.
Activer le verrouillage automatique des ordinateurs, orienter les écrans à l'écart des zones de passage et installer des filtres de confidentialité lorsque cela est nécessaire.
Mettre en place l'impression sécurisée par code ou badge ; veiller à ce que les tableaux blancs et les panneaux d'affichage ne présentent pas de données personnelles.

Accès, visiteurs et caméras

Utiliser des clés ou des badges personnels et désactiver immédiatement les autorisations à la fin de la relation professionnelle.
Tenir un registre des visiteurs sans exposer les données d'autres personnes et fournir les informations requises.
Installer les caméras uniquement aux accès et dans les zones à risque, afficher les panneaux d'information, conserver les images pendant un mois au maximum et informer préalablement les salariés.

Salles de réunion, appels et correspondance

Organiser les réunions et les appels impliquant des données sensibles dans des espaces fermés.
Récupérer les documents et effacer les tableaux blancs en quittant chaque salle.
Définir une procédure de gestion du courrier et des colis, sans laisser d'enveloppes sur des comptoirs ouverts.

Documentation juridique et personnel

Maintenir à jour le registre des activités de traitement, y compris les traitements sur papier et la vidéosurveillance.
Conclure un contrat de sous-traitance du traitement avec chaque prestataire ayant accès aux données.
Faire signer un engagement de confidentialité, dispenser une formation de base (également au personnel externe) et inclure des instructions de protection des données dans les accords de télétravail.
Mettre en place une procédure de gestion des violations de données, avec un responsable, des délais et un registre des incidents.

Questions fréquentes sur la protection des données dans les bureaux

Le RGPD s'applique-t-il aux documents papier conservés au bureau ?

Oui, lorsque les données personnelles font partie d'un fichier ou sont destinées à y être intégrées, c'est-à-dire d'un ensemble structuré et accessible selon des critères déterminés, comme un classeur de dossiers clients ou des dossiers du personnel. Les mêmes principes que pour le traitement numérique s'appliquent alors, notamment l'obligation de garantir la confidentialité par des mesures appropriées.

Combien de temps peut-on conserver les enregistrements des caméras d'un bureau ?

La LOPDGDD fixe une durée maximale d'un mois à compter de l'enregistrement. Une exception concerne les images permettant de prouver des actes portant atteinte à l'intégrité des personnes, des biens ou des installations. Ces images doivent être conservées et mises à la disposition de l'autorité compétente dans un délai maximal de 72 heures à compter du moment où l'existence de l'enregistrement est connue.

Faut-il notifier à l'AEPD la perte de documents papier ?

Oui, si la perte présente un risque pour les droits et libertés des personnes concernées. Il s'agit alors d'une violation de données qui doit être notifiée à l'AEPD sans retard injustifié et, si possible, dans un délai maximal de 72 heures après en avoir pris connaissance, week-ends et jours fériés compris. Même lorsqu'une notification n'est pas nécessaire, l'incident doit être documenté en interne.

Toutes les entreprises doivent-elles tenir un registre des activités de traitement ?

Le RGPD n'exempte les organisations de moins de 250 personnes que lorsque le traitement est occasionnel, ne présente pas de risque et ne concerne pas de catégories particulières de données. Comme la plupart des entreprises traitent régulièrement des données relatives à leurs salariés ou à leurs clients, il est prudent de tenir ce registre. L'outil Facilita RGPD de l'AEPD aide à l'élaborer pour les traitements présentant un faible risque.

Le devoir de confidentialité prend-il fin lorsqu'un salarié quitte l'entreprise ?

Non. L'article 5 de la LOPDGDD prévoit que le devoir de confidentialité subsiste même après la fin de la relation avec le responsable du traitement ou le sous-traitant. C'est pourquoi il est recommandé de formaliser cette obligation par un engagement signé et de la rappeler au moment du départ.

Un bureau privatif est-il préférable à un poste partagé pour la protection des données ?

Pour les activités impliquant des données sensibles, un espace fermé à usage exclusif réduit le risque que des personnes extérieures voient des écrans, entendent des conversations ou accèdent à des documents. Il ne remplace pas vos propres mesures, comme la politique du bureau rangé ou les archives sous clé, mais facilite leur application. Chez Ibercenter, les bureaux privatifs sont proposés à partir de 1 500 € HT par mois, selon le centre et le nombre de postes.