Gouvernance des données et RGPD : le guide de la PME belge

Le RGPD fixe des obligations, la gouvernance des données les rend tenables au quotidien. Concrètement : le règlement t'oblige à savoir quelles données personnelles tu détiens, pourquoi, où elles sont et qui peut y accéder. La gouvernance, c'est l'organisation légère qui répond à ces questions en continu, sans transformer ta PME en administration. L'une sans l'autre ne tient pas : le RGPD sur le papier ne protège rien, et une gouvernance qui ignore le cadre légal te laisse exposé.

Ce guide ne réexplique pas ce qu'est la gouvernance des données (c'est le sujet de notre article sur une gouvernance légère en 3 piliers). Il répond à une autre question : comment une PME belge branche sa conformité RGPD sur cette gouvernance, sans DPO à plein temps ni budget de grand groupe.

RGPD et gouvernance : quel rapport, exactement

On confond souvent les deux, à tort. Le RGPD est une loi européenne : il dit ce que tu dois respecter quand tu traites des données personnelles. La gouvernance des données est une pratique interne : elle organise qui décide, qui accède, et comment la donnée est tenue à jour.

Le lien est simple. Presque chaque obligation RGPD suppose que tu saches déjà où sont tes données. Impossible de répondre à une demande d'effacement si tu ignores dans quels outils dort l'adresse d'un client. Impossible de fixer une durée de conservation sans avoir cartographié tes fichiers. La gouvernance n'est pas un supplément au RGPD, c'est ce qui le rend applicable.

En Belgique, c'est l'Autorité de protection des données (APD, à Bruxelles) qui contrôle et sanctionne. Elle attend d'une PME non pas la perfection d'une multinationale, mais une démarche sérieuse et documentée.

Ce que le RGPD impose concrètement à une PME

Laissons les grands principes de côté et regardons les obligations qui se traduisent en actions. Six comptent vraiment.

• Le registre des traitements. Tu dois lister tes traitements de données personnelles : lesquels, pour quelle finalité, quelles catégories de personnes, combien de temps. Une exemption existe en théorie pour les entreprises de moins de 250 salariés, mais elle saute dès que le traitement est régulier (paie, clients, prospection), ce qui est le cas partout. En pratique, ta PME doit tenir un registre.
• Une base légale par traitement. Chaque usage de donnée repose sur une justification : consentement, contrat, obligation légale, intérêt légitime. Pas de base, pas de traitement.
• Des durées de conservation. Tu ne gardes pas une donnée « au cas où ». Chaque catégorie a une durée définie, au terme de laquelle elle est supprimée ou archivée.
• Les droits des personnes. Accès, rectification, effacement, portabilité : tu dois pouvoir répondre à une demande dans un délai d'un mois. Ça suppose de retrouver la donnée, donc de savoir où elle est.
• La sécurité. Des mesures proportionnées : contrôle des accès, chiffrement quand c'est pertinent, sauvegardes. Un fichier client accessible à toute la boîte est une non-conformité classique.
• Les sous-traitants. Chaque outil tiers qui traite tes données (CRM, hébergeur, service d'emailing) doit être encadré par un contrat qui organise cette sous-traitance.

Aucune de ces obligations ne demande un cabinet d'avocats à cinq chiffres. Elles demandent de l'ordre.

Brancher la conformité sur une gouvernance légère

C'est là que la gouvernance fait le travail. Les trois piliers d'une gouvernance légère (catalogage, qualité, accès) portent presque toute la conformité RGPD, à condition de les regarder sous l'angle réglementaire.

Le catalogage de tes données, c'est déjà la matière première de ton registre des traitements : la même cartographie sert les deux. La qualité des données recoupe le principe d'exactitude du RGPD, qui t'oblige à garder des données justes et à jour. Et la gestion des accès répond directement à l'obligation de sécurité et au principe de minimisation, qui veut que chacun n'accède qu'à ce dont il a besoin.

Autrement dit, tu ne mènes pas deux chantiers. Tu mènes une seule démarche de gouvernance, et tu la documentes de façon à ce qu'elle réponde aussi à l'APD. Pour la mécanique de mise en place semaine par semaine, le mode d'emploi est dans notre article sur les 3 piliers d'une gouvernance légère.

Le réflexe nouveau : RGPD plus IA

Un point que beaucoup de PME oublient en 2026 : les outils d'IA que tu utilises traitent eux aussi des données personnelles. Un assistant qui lit tes mails, un chatbot qui répond à tes clients, un service qui analyse tes contrats : chacun est un traitement à inscrire dans ton registre, avec sa base légale et son encadrement de sous-traitance.

Deux gestes suffisent pour l'essentiel. D'abord, vérifier dans les conditions du fournisseur que tes données ne servent pas à entraîner ses modèles publics. Ensuite, interdire par une charte interne l'injection de données sensibles dans des IA grand public. Ce sujet ne fait que grandir : l'EU AI Act entre en vigueur complète d'ici août 2026 et ajoute ses propres obligations, détaillées dans notre guide sur ce que l'EU AI Act impose aux PME.

Les trois manquements RGPD les plus fréquents en PME

Sur le terrain, les mêmes trous reviennent, et ce ne sont jamais les plus sophistiqués.

Le premier, c'est le fichier client accessible à toute la boîte. Un tableur partagé où chacun voit tout, y compris le stagiaire et le commercial qui vient d'arriver. C'est une violation directe du principe de minimisation, et le genre de détail qui se remarque vite en cas de contrôle. Restreindre les accès prend une heure et ferme le risque.

Le deuxième, c'est l'absence de durée de conservation. Des CV de candidats gardés cinq ans, des données de prospects jamais purgées, des anciens clients qui dorment dans le CRM depuis une décennie. Garder « au cas où » n'est pas une base légale. Chaque catégorie de données doit avoir une durée définie et une suppression prévue.

Le troisième, c'est le sous-traitant non encadré. Tu utilises un outil d'emailing, un hébergeur, un CRM dans le cloud ? Chacun traite des données pour ton compte et doit être lié par un contrat qui organise cette sous-traitance. La plupart des éditeurs sérieux en proposent un, encore faut-il l'avoir signé et rangé.

Aucun de ces trois trous ne demande un projet. Chacun se règle en quelques heures, à condition de savoir qu'il existe.

Par où démarrer

Quatre chantiers, dans cet ordre, couvrent l'essentiel pour une PME belge.

• Le registre. Liste tes traitements et leur finalité. Un tableur structuré suffit pour commencer.
• Les durées. Fixe une durée de conservation par catégorie de données et prévois la suppression.
• La charte outils IA. Une page qui dit ce qu'on peut et ne peut pas injecter dans un outil IA tiers.
• Les accès. Vérifie qui accède à quoi et resserre là où tout le monde voit tout.

Aucun de ces chantiers ne demande un budget démesuré. Ils demandent une méthode et un peu de rigueur. Si tu veux qu'on cadre ta mise en conformité en partant de tes données réelles, c'est exactement ce qu'on fait : un accompagnement à la structuration et à la gouvernance. Réserve un appel découverte de 30 min, on te dit par où commencer sur ton cas.