Qu'est-ce que le RGPD et pourquoi votre ERP est concerné ?
Le RGPD (Règlement Général sur la Protection des Données) est le règlement européen qui encadre la collecte, le stockage et le traitement des données personnelles depuis mai 2018. Il s'applique à toute organisation, quelle que soit sa taille, qui traite des données de personnes physiques situées dans l'Union européenne.
Votre ERP est directement concerné parce qu'il centralise la quasi-totalité des données personnelles que votre entreprise manipule au quotidien : fiches clients avec noms, adresses et numéros de téléphone, coordonnées bancaires des fournisseurs, données RH de vos salariés, historique des échanges commerciaux. L'ERP est le cœur du système d'information, et c'est donc lui qui doit porter l'essentiel de votre conformité RGPD.
Points clés
- Toute PME utilisant un ERP est soumise au RGPD dès lors qu'elle traite des données de personnes physiques
- Les amendes peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros
- La CNIL a prononcé 125 millions d'euros d'amendes en France en 2023 (rapport annuel CNIL 2024)
- Un registre des traitements est obligatoire pour toutes les entreprises de plus de 250 salariés, et recommandé pour les autres
- Le droit à l'oubli doit être concilié avec les obligations légales de conservation comptable
- Odoo offre des mécanismes natifs de conformité que des modules complémentaires peuvent enrichir
- La préparation à un contrôle CNIL se fait en amont, pas dans l'urgence
Ce que le RGPD exige concrètement de votre entreprise
Le RGPD repose sur six principes fondamentaux que votre ERP doit vous aider à respecter. Le premier est la licéité : chaque traitement de données personnelles doit reposer sur une base légale (contrat, obligation légale, consentement, intérêt légitime). Le deuxième est la limitation des finalités : les données collectées pour une finalité précise ne peuvent pas être réutilisées pour un autre objectif sans information préalable. Le troisième est la minimisation : vous ne devez collecter que les données strictement nécessaires à la finalité déclarée.
Le quatrième principe est l'exactitude : les données doivent être tenues à jour et les informations inexactes doivent être corrigées ou supprimées. Le cinquième est la limitation de la conservation : les données ne doivent pas être conservées au-delà de la durée nécessaire à la finalité du traitement. Enfin, le sixième est la sécurité : des mesures techniques et organisationnelles appropriées doivent protéger les données contre les accès non autorisés, la perte ou la destruction.
Pour les PME, ces principes se traduisent par des obligations concrètes que nous détaillons dans les sections suivantes. Si vous souhaitez évaluer rapidement votre niveau de conformité actuel, notre App RGPD Compliance Suite intègre un tableau de bord qui identifie les points d'attention prioritaires.
Les droits des personnes : ce que votre ERP doit permettre
Le RGPD confère aux personnes dont vous traitez les données (clients, prospects, salariés, fournisseurs) un ensemble de droits que votre ERP doit vous permettre d'exercer dans des délais raisonnables.
Le droit d'accès permet à toute personne de vous demander quelles données vous détenez à son sujet, dans quelles finalités vous les traitez et à qui vous les transmettez. Vous disposez d'un mois pour répondre. Votre ERP doit donc vous permettre d'extraire facilement l'ensemble des données associées à un contact donné, tous modules confondus.
Le droit à la portabilité va plus loin : la personne peut demander à recevoir ses données dans un format structuré, lisible par machine (CSV, JSON). Ce droit implique que votre ERP dispose de fonctionnalités d'export appropriées.
Le droit à l'effacement (dit "droit à l'oubli") est le plus délicat à mettre en œuvre dans un ERP, car il entre en conflit avec les obligations légales de conservation. Vous ne pouvez pas supprimer une fiche client qui est liée à des factures, car le Code de commerce impose une conservation des documents comptables pendant dix ans. La solution est l'anonymisation : les données personnelles (nom, adresse, téléphone) sont remplacées par des valeurs génériques, tandis que les données comptables restent intactes.
Le droit d'opposition et le retrait du consentement nécessitent une gestion fine des préférences de chaque contact. Si un client a donné son consentement pour recevoir votre newsletter mais le retire, votre ERP doit pouvoir tracer ce retrait et l'appliquer immédiatement.
Check-list conformité RGPD pour votre ERP
Voici les dix actions concrètes à mettre en œuvre pour assurer la conformité RGPD de votre ERP.
-
Établir le registre des traitements. Documentez chaque traitement de données personnelles réalisé dans votre ERP : module concerné, catégories de données, finalité, base légale, durée de conservation et éventuels destinataires. Ce registre est obligatoire pour les entreprises de plus de 250 salariés et fortement recommandé pour les autres.
-
Cartographier les données personnelles dans votre ERP. Identifiez tous les champs contenant des données personnelles dans chaque module : fiches contacts, fiches salariés, notes internes, champs personnalisés. Cette cartographie est le préalable à toute action de mise en conformité.
-
Définir les durées de conservation. Pour chaque catégorie de données, fixez une durée de conservation conforme aux obligations légales et à vos besoins opérationnels. Les données comptables doivent être conservées dix ans, les données de prospection trois ans après le dernier contact actif, les données RH cinq ans après le départ du salarié.
-
Mettre en place les procédures de purge. Configurez des mécanismes de purge ou d'anonymisation automatique des données dont la durée de conservation est échue. Votre ERP doit pouvoir anonymiser les fiches contacts obsolètes sans casser les liens avec les documents comptables.
-
Configurer les droits d'accès. Assurez-vous que chaque utilisateur de l'ERP n'accède qu'aux données nécessaires à l'exercice de ses fonctions. Un commercial n'a pas besoin d'accéder aux données RH, un comptable n'a pas besoin de consulter les notes de suivi commercial.
-
Activer les traces d'audit (audit trail). Chaque modification de donnée personnelle doit être tracée : qui a modifié quoi, quand et pourquoi. Cette traçabilité est essentielle en cas de contrôle de la CNIL.
-
Préparer les procédures d'exercice des droits. Documentez la procédure à suivre lorsqu'un contact exerce son droit d'accès, de portabilité ou d'effacement. Désignez un référent interne chargé de traiter ces demandes dans le délai légal d'un mois.
-
Sécuriser les accès à l'ERP. Mots de passe robustes, authentification à deux facteurs si disponible, chiffrement des connexions (HTTPS), politique de gestion des sessions. Selon le rapport annuel de l'ANSSI (2024), 60 % des incidents de sécurité dans les PME sont liés à des défauts d'authentification.
-
Gérer le consentement de manière granulaire. Si vous utilisez les données de contacts à des fins de prospection commerciale ou marketing, vous devez recueillir leur consentement explicite et pouvoir le prouver. Votre ERP doit tracer la date, le canal et le contenu du consentement pour chaque contact.
-
Former les utilisateurs. La conformité RGPD n'est pas qu'une affaire de logiciel. Chaque utilisateur de l'ERP doit comprendre les principes du RGPD, savoir identifier les données personnelles et connaître les bons réflexes en cas de demande d'exercice de droit ou de suspicion de violation.
Que se passe-t-il en cas de contrôle de la CNIL ?
La Commission Nationale de l'Informatique et des Libertés (CNIL) dispose du pouvoir de contrôler toute organisation traitant des données personnelles. Les contrôles peuvent être déclenchés par une plainte, un signalement ou une initiative propre de la CNIL dans le cadre de ses priorités thématiques annuelles.
Un contrôle sur place se déroule généralement sur une journée. Les agents de la CNIL se présentent dans vos locaux, munies d'une lettre de mission. Ils peuvent demander à consulter votre registre des traitements, vos procédures d'exercice des droits, vos mesures de sécurité, vos contrats avec les sous-traitants et tout document relatif à votre conformité RGPD. Ils peuvent également accéder directement à votre système d'information, y compris votre ERP, pour vérifier la cohérence entre vos déclarations et la réalité.
Les points les plus fréquemment vérifiés lors d'un contrôle sont l'existence et la complétude du registre des traitements, la gestion du consentement pour les traitements de prospection, les durées de conservation effectivement appliquées (pas seulement documentées), les mesures de sécurité techniques (chiffrement, accès, sauvegardes) et la gestion des demandes d'exercice de droits reçues.
Si des manquements sont constatés, la CNIL peut prononcer un rappel à l'ordre, une mise en demeure de mise en conformité dans un délai fixé, ou directement une amende administrative. Selon le rapport d'activité de la CNIL (2024), les PME représentent une proportion croissante des organismes contrôles, et l'autorité a fait de la prospection commerciale non consentie et des durées de conservation excessives ses priorités de contrôle.
Les risques et les amendes : au-delà du financier
Les sanctions financières du RGPD sont dissuasives par conception. Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour une PME réalisant 5 millions d'euros de chiffre d'affaires, l'amende maximale théorique est de 200 000 euros.
En pratique, les amendes prononcées contre les PME sont nettement plus modestes, souvent comprises entre 5 000 et 50 000 euros. Mais le risque financier n'est pas le seul à considérer. Un contrôle CNIL défavorable peut engendrer une publication de la décision (atteinte à la réputation), une obligation de mise en conformité coûteuse dans des délais contraints, et une perte de confiance de vos clients et partenaires commerciaux.
Il existe aussi un risque opérationnel. En cas de violation de données (fuite, accès non autorisé, perte), vous devez notifier la CNIL dans un délai de 72 heures et, si le risque est élevé pour les personnes concernées, les en informer directement. Si votre ERP ne dispose pas de mécanismes de détection et de traçabilité, vous serez incapable de respecter ces délais et d'identifier l'ampleur de la violation.
Comment Odoo vous aide à être conforme
Odoo intègre nativement plusieurs mécanismes qui contribuent à la conformité RGPD. La gestion des droits d'accès par groupes et rôles permet de restreindre l'accès aux données sensibles. L'audit trail (journal des modifications) trace les changements apportés aux enregistrements. Les fonctionnalités d'export CSV et Excel facilitent la réponse aux demandes de portabilité.
Cependant, ces mécanismes natifs ne couvrent pas l'ensemble des exigences du RGPD. C'est pourquoi Roekish a développé la RGPD Compliance Suite, un module Odoo qui complète les fonctionnalités natives avec un registre des traitements automatisé et maintenu à jour, une gestion granulaire du consentement avec traçabilité complète, un mécanisme de droit à l'oubli en un clic qui anonymise les données personnelles sans casser les références comptables, un export RGPD complet au format JSON et CSV pour répondre aux demandes de portabilité, et un tableau de bord conformité qui donne une vue synthétique de votre situation.
Notre recommandation
La conformité RGPD est une démarche continue, intégrée au fonctionnement quotidien de votre ERP. C'est une opportunité de professionnaliser votre gestion des données et de renforcer la confiance de vos clients. Roekish accompagne les PME dans la mise en conformité RGPD de leur ERP Odoo, depuis l'audit initial jusqu'à la formation des équipes, avec des outils concrets comme notre App RGPD Compliance Suite. Commencez par un diagnostic de votre situation actuelle pour identifier les actions prioritaires et construire une feuille de route réaliste.