Connaissances documents
Gestion documentaire et RGPD : les points à respecter
GED et protection des données : lieu d’hébergement, sous-traitance, contrôle des accès et tension entre obligation d’effacement et durées de conservation.
Un système de gestion électronique des documents traite presque inévitablement des données personnelles : noms sur les factures, adresses dans les contrats, données salariales dans les dossiers du personnel. Les obligations du RGPD s’appliquent donc. Il vous faut un traitement sécurisé, des accès contrôlés, un contrat avec le fournisseur et un concept qui distingue clairement les obligations de conservation et d’effacement.
Pourquoi la GED relève automatiquement de la protection des données
Le RGPD ne distingue pas une « base de données » d’un « classement documentaire ». Une lettre numérisée portant le nom de son expéditeur constitue une donnée personnelle au même titre qu’une entrée de CRM. Quiconque stocke les documents de manière centralisée, les rend interrogeables et les partage dans l’équipe traite ces données et doit le faire de manière responsable. Cela ne plaide pas contre une GED, bien au contraire : un classement central et encadré est beaucoup plus facile à exploiter conformément au RGPD que des dossiers dispersés, des copies locales et des boîtes mail privées.
Les cinq principaux points à vérifier lors du choix
- Lieu d’hébergement et droit applicable : où se trouvent physiquement les données et quel droit s’applique au fournisseur ? Un hébergement en Allemagne ou dans l’Union européenne vous évite d’examiner les transferts vers des pays tiers.
- Contrat de sous-traitance : le fournisseur stocke des documents pour votre compte et agit donc généralement comme sous-traitant. Sans ce contrat, la base contractuelle fait défaut.
- Contrôle des accès : tous les membres de l’équipe n’ont pas besoin de tout voir. Vérifiez les rôles et les règles de visibilité ; les dossiers du personnel et les factures reçues ne relèvent pas des mêmes personnes.
- Chiffrement et connexion sécurisée : transmission chiffrée et accès protégés, par exemple à l’aide de codes à usage unique plutôt que de mots de passe partagés.
- Traçabilité : il doit être possible de comprendre ce qui est arrivé aux documents. Cela aide aussi en cas de demande d’accès d’une personne concernée.
La tension entre effacer et conserver
Le RGPD exige l’effacement des données personnelles lorsque leur finalité disparaît. Le droit fiscal et commercial impose parallèlement de conserver les justificatifs pendant plusieurs années. La solution tient au fait que les obligations légales de conservation constituent une base juridique propre : les documents fiscalement pertinents restent dans les archives jusqu’à l’expiration de leur durée. L’obligation d’effacement s’applique ensuite. Une bonne GED accompagne précisément ce cycle de vie : une conservation définie plutôt que des pièces qui « traînent encore ». L’article Archivage à valeur probante explique le fonctionnement de l’archivage inaltérable.
La mise en œuvre dans webRichtung documents
webRichtung documents réunit classement, importation par e-mail, traitement par lots et recherche d’archives dans un même domaine documentaire. Vous pouvez ainsi appliquer et contrôler vos règles organisationnelles de réception, de conservation et d’accès en un lieu central au lieu de répartir les documents entre des dossiers locaux. La documentation fournit des détails d’utilisation.
Commencer concrètement
Faites d’abord un bref état des lieux : quels types de documents contiennent des données personnelles, par exemple justificatifs, contrats ou dossiers du personnel ? Qui a besoin d’accéder à quoi ? Quelles durées de conservation s’appliquent à chaque type ? Ces trois réponses vous permettent d’évaluer une GED de manière structurée et de documenter proprement son introduction en cas de question de l’autorité de contrôle. Définissez aussi la manière dont les accès prennent fin lorsqu’une personne quitte l’équipe. Ce cadre central plaide en faveur d’un système d’exploitation commun plutôt que de dossiers copiés localement dont personne ne peut plus retracer l’emplacement.
Cet article fournit des informations générales et ne remplace aucun conseil juridique ou fiscal.
Questions fréquentes
Pourquoi une GED relève-t-elle du RGPD ?
Les factures, contrats et correspondances contiennent les données personnelles de clients, de fournisseurs et de collaborateurs. Dès qu’une GED enregistre et traite ces documents, les obligations du RGPD s’appliquent.
Quels critères faut-il examiner lors du choix d’une GED ?
Le lieu d’hébergement et le droit applicable, un contrat de sous-traitance au sens du RGPD, un contrôle d’accès fondé sur les rôles, la transmission chiffrée et une journalisation traçable des accès.
Comment concilier l’obligation d’effacement et les durées de conservation ?
Les obligations légales de conservation prévalent sur l’effacement : les justificatifs fiscalement pertinents doivent être conservés même s’ils contiennent des données personnelles. L’obligation d’effacement s’applique à l’expiration de la durée.
Ai-je besoin d’un contrat de sous-traitance avec mon fournisseur de GED ?
En règle générale, oui. Lorsque le fournisseur stocke pour votre compte des documents contenant des données personnelles, il agit comme sous-traitant et le RGPD exige un contrat de sous-traitance.
Un centre de données allemand est-il obligatoire ?
Non, le RGPD n’impose aucun lieu précis. Un hébergement en Allemagne ou dans l’Union européenne simplifie toutefois considérablement l’analyse juridique, puisqu’il n’est pas nécessaire d’examiner un transfert vers un pays tiers.