RGPD : 5 vérifications avant d’envoyer des données personnelles

Un scan de pièce d’identité, un dossier RH, une liste de clients : dès qu’un fichier contient des données permettant d’identifier une personne, son envoi est un traitement de données personnelles au sens du RGPD — et l’outil utilisé en devient un maillon. Voici les cinq vérifications à faire avant de cliquer sur « envoyer ».

Êtes-vous concerné ? (spoiler : oui)

Le RGPD ne s’applique pas qu’aux grandes plateformes : le cabinet comptable qui reçoit des bulletins de paie, le photographe qui livre des portraits, la PME qui transmet un dossier RH — tous traitent des données personnelles. La responsabilité ne se délègue pas à l’outil, mais le choix de l’outil engage.

1. Où sont hébergées les données

Première question à poser à votre service de transfert : où les fichiers sont-ils stockés ? Un hébergement dans l’Espace Économique Européen simplifie radicalement la conformité ; un transfert hors EEE exige des garanties supplémentaires (décision d’adéquation, clauses contractuelles types). TransferNow héberge en Europe, avec choix de la région selon l’offre.

2. Le cadre contractuel (DPA)

Si vous agissez pour une personne morale, le service de transfert est votre sous-traitant au sens de l’article 28 : un accord de traitement des données (DPA) doit encadrer la relation. Vérifiez qu’il existe et qu’il est accessible — c’est un document que votre DPO demandera. Le nôtre est public, lié depuis notre politique de confidentialité.

3. La durée de conservation

Le RGPD impose de ne pas conserver les données plus longtemps que nécessaire. Traduit en transfert de fichiers : un lien qui expire est un atout de conformité. Privilégiez une durée adaptée au besoin réel — 7 jours suffisent souvent — et un service qui permet de désactiver le lien dès que la transmission est faite.

4. La traçabilité

En cas de question — d’un client, d’une autorité — vous devez pouvoir dire qui a eu accès aux données. La notification nominative à chaque téléchargement fournit cette trace sans procédure supplémentaire : qui a récupéré le fichier, et quand.

5. La minimisation

Le principe le plus simple et le plus oublié : n’envoyez que ce qui est nécessaire. Le dossier complet « au cas où » multiplie l’exposition. Avant chaque envoi sensible, une question : ce destinataire a-t-il besoin de tous ces fichiers ?

Ces cinq points ne remplacent pas un conseil juridique — mais ils couvrent ce qu’un DPO vérifiera en premier. Pour le volet technique, notre checklist sécurité complète celle-ci.