Une usine, ce ne sont pas que des machines. C’est aussi un fichier du personnel, des badgeuses, des cameras, des capteurs connectes et une chaine de sous-traitants. L’industrie pense souvent traiter peu de donnees personnelles. La realite est l’inverse, et le controle ne previent pas.
Quelles donnees personnelles traite un industriel ?
Le premier gisement est interne. Contrats de travail, paie, badges d’acces, pointage, formation et sante au travail concernent chaque salarie. Ces donnees sont sensibles par leur volume et leur usage.
Le second gisement est technique. Videosurveillance des sites, geolocalisation des engins, capteurs connectes et journaux d’acces produisent des donnees rattachees a des personnes identifiables.
Le troisieme est commercial. Contacts clients, prospects et interlocuteurs des fournisseurs alimentent le registre au meme titre que le reste.
La surveillance des salaries est-elle un risque de conformite ?
Oui, c’est le premier point de friction. Video, badges et geolocalisation sont admis, mais bornes par la proportionnalite, l’information prealable et la consultation du CSE. Une camera braquee sur un poste de travail sans justification est une faute.
Le cadre des cameras est precis. Revoir les regles de conformite de la videosurveillance evite l’erreur classique du champ trop large et de la conservation sans limite.
Les objets connectes changent-ils la donne ?
Nettement. Un capteur qui suit une cadence peut suivre une personne. Chaque flux IoT doit avoir une finalite definie, une duree de conservation et une securite adaptee. L’automatisation ne dispense jamais de base legale.
| Traitement | Point de vigilance |
|---|---|
| Badges et pointage | Duree de conservation courte, acces restreint |
| Videosurveillance | Champ proportionne, information, 30 jours |
| Capteurs IoT | Finalite, minimisation, securite |
| Sous-traitants | Contrat article 28, clauses de securite |
Un site industriel a besoin d’un registre a jour et d’un pilotage continu de ces traitements, pas d’un classeur oublie. Confier le pilotage de sa conformite a un DPO externalise transforme une obligation en tranquillite.
Comment securiser la chaine de sous-traitance ?
L’industrie externalise beaucoup : maintenance, infogerance, logistique, paie. Chaque prestataire qui touche des donnees doit etre lie par un contrat conforme. Comprendre les obligations du sous-traitant et le contrat DPA est indispensable.
Le reflexe utile est l’inventaire. Tenir un registre des traitements a jour permet de savoir qui accede a quoi et de le prouver en cas d’incident.
Comment se mettre en conformite dans l’industrie ?
La demarche n’a rien d’insurmontable et se mene par etapes. L’objectif est de savoir ce que l’on traite, pourquoi, et avec quelles garanties.
- Recenser tous les traitements, des ressources humaines aux capteurs, dans un registre unique.
- Verifier la proportionnalite de chaque dispositif de surveillance et informer les salaries.
- Fixer une duree de conservation par traitement et supprimer au-dela.
- Contractualiser chaque sous-traitant avec des clauses de securite.
- Former les equipes et designer un referent ou un DPO.
Cette trame vaut aussi preuve de diligence. En cas de controle, une demarche structuree pese davantage qu’une conformite affirmee sans document.
Quelles durees de conservation retenir ?
Chaque donnee a sa duree. Les images de videosurveillance se conservent en general un mois, les logs d’acces quelques mois, les donnees de paie plusieurs annees selon les obligations. Le principe reste la limitation dans le temps.
Une donnee gardee sans fin est une donnee de trop. Elle augmente le risque en cas de fuite sans apporter de valeur. La purge reguliere fait partie de la securite.
RGPD et cybersecurite industrielle vont de pair
Un site industriel est une cible. Rancongiciel, arret de production, vol de donnees de salaries : les consequences se comptent en jours d’activite perdus. La securite des donnees n’est donc pas un sujet a part, c’est une condition de continuite.
La directive NIS2 renforce d’ailleurs les obligations de nombreux acteurs industriels et de leur chaine d’approvisionnement. Elle impose une gouvernance, des mesures de securite et un signalement des incidents. Elle s’articule avec le RGPD, qui protege les donnees personnelles au sein de ce dispositif.
Concretement, un industriel gagne a traiter ensemble la conformite RGPD et la securite. Sauvegardes testees, gestion des acces, sensibilisation des equipes et plan de reaction aux incidents servent les deux objectifs. Un DPO qui dialogue avec la fonction securite fait le lien entre protection des donnees et resilience de l’usine, la ou beaucoup traitent ces sujets en silos.
FAQ
Une entreprise industrielle doit-elle nommer un DPO ?
Pas toujours de facon obligatoire, mais c’est vivement recommande. Des qu’un industriel traite des donnees de salaries, exploite de la videosurveillance et une chaine de sous-traitants, un pilotage structure devient necessaire. Le DPO, souvent externalise, tient le registre, controle la proportionnalite et sert de point de contact avec la CNIL.
Les donnees machines sont-elles concernees par le RGPD ?
Seulement si elles se rattachent a une personne identifiable. Un capteur mesurant une temperature n’est pas concerne. En revanche, un dispositif qui suit la cadence d’un operateur traite des donnees personnelles. La frontiere se juge au cas par cas, selon la possibilite d’identifier la personne derriere la mesure.
Faut-il consulter le CSE pour installer des cameras ?
Oui. La mise en place d’un dispositif de surveillance des salaries suppose l’information et la consultation du comite social et economique, ainsi que l’information individuelle des personnes. Sauter cette etape fragilise le dispositif et expose l’entreprise, meme si la finalite de securite est legitime.
Que risque un industriel en cas de fuite de donnees ?
Une fuite touchant des donnees de salaries ou de clients doit etre notifiee a la CNIL sous 72 heures, et aux personnes si le risque est eleve. S’y ajoutent l’arret d’activite et l’atteinte a la reputation. La prevention par la securite et la sauvegarde reste bien moins couteuse que la gestion de crise.
