En vigueur depuis 2018 · Applicable à toutes les tailles d'entreprise

RGPD : Toutes les entreprises sont concernées.
La plupart ne s'y préparent pas.

Le Règlement Général sur la Protection des Données s'applique à toute organisation qui traite des données personnelles — y compris la vôtre. Voici ce que ça implique concrètement, ce que SysZen couvre pour vous, et ce qui reste à votre charge.

Vérifier ma conformité →

Ce que dit le texte

Les obligations qui vous concernent directement

Le RGPD repose sur quelques principes clés. En voici les trois piliers qui impactent le plus les structures de moins de 50 personnes.

🔐

Sécurité des traitements

Art. 32 Art. 25

Chiffrement des données personnelles au repos et en transit
Authentification forte (MFA) pour accéder aux ressources contenant des données personnelles
Gestion stricte des droits d'accès — principe du moindre privilège
Journalisation des accès et des modifications sur les données sensibles
Capacité à détecter, contenir et notifier une violation dans les délais légaux

🚨

Notification des violations

Art. 33 Art. 34

En cas de violation, notifier la CNIL dans les 72 heures — délai qui commence dès la découverte de l'incident
Informer les personnes concernées si la violation présente un risque élevé pour leurs droits
Tenir un registre interne de toutes les violations, y compris celles non notifiées
La notification incomplète ou tardive est elle-même sanctionnable, indépendamment de l'incident

📋

Documentation & gouvernance

Art. 30 Art. 35 Art. 13-14

Tenir à jour un registre des activités de traitement (qui traite quoi, pourquoi, combien de temps)
Réaliser une DPIA pour les traitements à risque élevé
Informer les personnes sur la collecte de leurs données (mentions légales, politique de confidentialité)
Désigner un DPO si votre activité l'exige — obligatoire dans certains secteurs

Texte officiel : Règlement européen — CNIL.fr

Ce que SysZen couvre

La couche technique du RGPD, prise en charge

L'essentiel des obligations de l'Art. 32 repose sur des mesures techniques. SysZen les déploie et les maintient — pour que votre niveau de sécurité soit conforme sans que vous ayez à vous en préoccuper au quotidien.

ZenCore

Sécurité technique des traitements

Art. 32 Art. 25

Déploiement de l'authentification forte (MFA) sur toutes vos ressources Microsoft 365
Gestion des droits d'accès : chaque utilisateur n'accède qu'aux données nécessaires à sa mission
Chiffrement au repos et en transit — natif dans l'environnement Microsoft 365 administré par SysZen
Journalisation des accès et des modifications sur vos fichiers et messageries
Surveillance continue de la configuration de sécurité de votre SI
Plan de réponse à incident inclus — pour contenir une violation dans la fenêtre des 72h

ZenWatch

Détection des violations avant la CNIL

Art. 33 Art. 34

Surveillance continue des fuites de données exposant vos adresses email professionnelles
Alerte immédiate dès qu'un identifiant lié à votre domaine est détecté dans une base compromise
Vous disposez de la fenêtre légale des 72h pour qualifier l'incident et notifier la CNIL en connaissance de cause
Rapport d'incident structuré pour accompagner et documenter votre démarche de notification
Historique des alertes conservé — constitue un registre interne des violations (exigence Art. 33-5)

ZenTrust

Protection des données en transit

Art. 32 Art. 5(f)

Partage de documents contenant des données personnelles via liens chiffrés à usage unique
Signature électronique conforme eIDAS avec traçabilité complète des signataires
Coffre-fort numérique pour les documents sensibles — contrats, données RH, dossiers clients
Journalisation des consultations : qui a accédé à quoi, quand, depuis quelle adresse

Hors périmètre SysZen

Ce qui reste à votre charge

SysZen couvre la couche technique. Voici les obligations documentaires et organisationnelles qui relèvent directement de votre responsabilité — ou de celle de votre DPO.

Obligations non couvertes par SysZen

La tenue du registre des activités de traitement — document interne obligatoire listant vos traitements, leurs finalités et durées de conservation
La rédaction et mise à jour de vos mentions légales, CGU et politique de confidentialité
La gestion des demandes de droits : accès, rectification, effacement, portabilité, opposition
La réalisation des DPIA pour vos traitements à risque élevé (données de santé, surveillance, profilage)
La signature des contrats de sous-traitance (DPA) avec vos prestataires accédant à des données personnelles
La désignation et la mission d'un DPO si votre traitement l'exige
La formation et sensibilisation de vos collaborateurs au RGPD et aux bonnes pratiques
La notification formelle à la CNIL et aux personnes concernées en cas de violation avérée

💡 Nos outils peuvent vous aider à structurer certains de ces éléments : la PSSI personnalisée intègre les mesures techniques exigées par l'Art. 32 et peut servir de base documentaire pour vos obligations de gouvernance. Le diagnostic de conformité vous permet d'identifier vos écarts RGPD en quelques questions.

Sans conformité

Ce que vous risquez concrètement

La CNIL a durci ses contrôles depuis 2022. Les PME ne sont plus épargnées — plusieurs structures de moins de 50 collaborateurs ont été sanctionnées ces deux dernières années.

💶

Jusqu'à 20 M€

ou 4 % du chiffre d'affaires mondial

La CNIL peut prononcer des amendes administratives significatives, y compris pour les PME. Les astreintes journalières s'accumulent jusqu'à mise en conformité — même après règlement de l'amende initiale. Le plafond le plus élevé s'applique.

📢

Publication systématique

des mises en demeure et sanctions

Les décisions de la CNIL sont publiées par défaut sur son site. Vos clients, partenaires, candidats à l'embauche et concurrents peuvent y accéder. L'impact réputationnel d'une publication dépasse souvent le montant de l'amende elle-même.

⚖️

Responsabilité personnelle

du dirigeant en cas de violation grave

En cas de manquement grave ou de récidive, la responsabilité du dirigeant peut être engagée — pas seulement celle de l'entreprise. L'article L.226-17 du Code pénal prévoit des sanctions pénales pour les atteintes délibérées aux données personnelles.