RGPD et startup : les décisions à prendre dès le MVP

Une startup peut ouvrir sa bêta avec peu d’utilisateurs et déjà collecter des données de santé, enregistrer des conversations ou transmettre des fichiers clients à plusieurs prestataires. Le stade de financement ne détermine pas les obligations. Les fonctions du produit, les personnes concernées et les flux réels sont les bons points de départ.

Voici une feuille de route pour le fondateur et l’équipe produit, avec un dossier de preuves utilisable lors d’une vente B2B ou d’une levée de fonds.

Le RGPD concerne aussi une bêta et un service B2B

Les critères sont ceux des Art. 2(1) et 3(1)–(2) du RGPD : nature des traitements, établissement dans l’Union ou, pour certains organismes extérieurs, offre ou suivi visant des personnes qui s’y trouvent. Il n’existe pas de franchise liée au chiffre d’affaires ou au nombre d’utilisateurs. La résidence européenne ne constitue pas, à elle seule, le critère universel d’application.

Les noms des utilisateurs professionnels, leurs adresses nominatives et les journaux permettant de les identifier restent des données personnelles. Un produit vendu à une entreprise ne sort pas du RGPD pour cette raison.

Avant le lancement : une fiche de décision par fonction

Le guide CNIL du développeur relie conception, architecture, sécurité, information, droits et conservation. Pour rendre cette démarche utilisable dans une petite équipe, joindre la fiche suivante aux décisions produit :

Exemple hypothétique : un outil de prise de notes de réunion ajoute un résumé automatique. La fiche doit couvrir l’enregistrement, la transcription, le fournisseur du modèle, les accès aux résumés et leur conservation. Le fait de disposer déjà d’un contrat pour la visioconférence ne répond pas à ces nouvelles questions.

Pour expérimenter un service externe, utiliser la fiche d’autorisation d’un pilote SaaS et commencer avec des données fictives lorsque des données réelles ne sont pas nécessaires.

Relier chaque usage à sa base légale

La CNIL sur les bases légales dans le développement recommande de faire ce choix avant l’implémentation. L’Art. 6(1)(b) couvre ce qui est nécessaire au contrat avec la personne, pas toute fonctionnalité que les conditions générales mentionnent. L’utilisation de données sensibles exige aussi une exception de l’Art. 9(2).

Séparer les décisions pour fournir le service, prévenir les abus, améliorer le produit et promouvoir une offre. Écrire « consentement ou intérêt légitime » dans une politique sans choisir la justification de l’usage ne résout pas la question.

Les traceurs relèvent également de l’Art. 82 de la loi Informatique et Libertés. Certains outils de mesure d’audience peuvent être exemptés de consentement sous les conditions précisées par la CNIL. Installer un bandeau ou activer un mode technique de consentement ne prouve pas que les flux respectent effectivement ces conditions.

Construire le registre et le dossier fournisseurs

La dérogation au registre pour les structures de moins de 250 salariés est limitée : les traitements non occasionnels, à risque ou portant sur les données visées aux Art. 9 et 10 restent concernés, Art. 30(5). La gestion régulière des comptes clients entre donc normalement dans le registre. Si la startup traite aussi des données pour ses clients, distinguer ses activités de responsable et de sous-traitant.

Pour chaque fournisseur, relever l’entité contractante, le service et l’offre utilisés. L’Art. 28(3) impose l’encadrement du traitement effectué pour votre compte ; tous les usages propres d’un fournisseur ne deviennent pas pour autant de la sous-traitance. Le questionnaire de sélection des sous-traitants structure les preuves utiles.

Examiner les transferts à partir des destinataires et des accès effectifs. Le cadre CNIL des transferts distingue adéquation et garanties de l’Art. 46. La marque américaine d’un outil ne démontre pas à elle seule chaque transfert ; une région européenne ne décrit pas nécessairement le support et les sous-traitants. L’analyse des garanties ne prend pas la même forme lorsqu’une décision d’adéquation couvre réellement le flux. Notre guide des transferts hors UE précise cette vérification.

DPO et AIPD : raisonner sur l’activité

Les Art. 37(1)(b)–(c), 37(6) et 38 du RGPD visent notamment les activités de base nécessitant un suivi régulier et systématique à grande échelle, ou certains traitements à grande échelle de données sensibles ou pénales. Un DPO peut être externe ; il doit disposer de moyens, d’indépendance et éviter les conflits d’intérêts. Ni une Série A ni le passage à cinquante salariés ne créent un seuil général de désignation.

Une AIPD précède les traitements susceptibles d’engendrer un risque élevé, Art. 35(1). Examiner les listes CNIL et les critères pertinents dès la conception : mineurs, santé, suivi, rapprochements, décisions importantes. Réaliser une analyse sur une fonction ne couvre pas automatiquement tout le produit.

Préparer l’exploitation et le dossier investisseurs

La protection par défaut, Art. 25(2), concerne aussi l’accès et les durées. Programmer les tâches de suppression, les révocations d’accès et les interventions de support. Aucun délai général de deux ans ne permet de décider du sort de tous les comptes inactifs.

Prévoir un interlocuteur pour les droits et un remplaçant pour les incidents. La CNIL distingue documentation et notification des violations : toute violation doit être documentée ; la notification à l’autorité dépend du risque et intervient sans retard injustifié, si possible dans les 72 heures après connaissance, Art. 33(1) et (5). Le sous-traitant alerte son client sans retard injustifié, Art. 33(2).

Pour une vérification préalable à un investissement, proposer un dossier organisé plutôt qu’une affirmation générale de conformité :

• cartographie et registres reflétant la dernière version du produit ;
• contrats applicables, liste des fournisseurs et décisions sur les transferts ;
• décisions AIPD et DPO avec leur justification ;
• preuves de gestion des accès, droits et incidents ;
• liste des écarts, mesures temporaires, budget, responsables et échéances.

Ce dossier ne garantit ni une valorisation ni une conclusion favorable d’audit. Il permet de discuter de faits vérifiables. Limiter aussi les données personnelles placées dans la salle documentaire : un investisseur n’a pas besoin, par principe, d’une copie nominative de tous les comptes utilisateurs.

Ce qu’il faut retenir

• Le risque et les fonctions du produit déterminent les priorités, dès la bêta.
• Séparer finalités, rôles, bases légales et flux au lieu de raisonner seulement par outil.
• DPO et AIPD dépendent de critères juridiques, sans seuil universel d’utilisateurs.
• Le dossier investisseurs doit présenter les preuves et les écarts réels.

FAQ

Trois documents suffisent-ils pour lancer un MVP ?

Non. Une politique, un registre et un bandeau ne remplacent ni une base légale valable ni la sécurité ou les garanties nécessaires. Le travail à réaliser dépend du traitement effectivement lancé.

Une startup doit-elle obligatoirement prendre un DPO externe ?

Non. Il faut d’abord analyser les cas de désignation obligatoire. Quand un DPO est désigné, le choix interne ou externe dépend notamment des compétences, moyens et conflits d’intérêts.

Un contrat fournisseur « RGPD » suffit-il pour utiliser son IA ?

Non. Il faut vérifier le service couvert, les instructions, les usages propres éventuels, les transferts et les possibilités de suppression. Une nouvelle fonction doit repasser par la décision produit avant d’accéder aux données.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.