Industrie & RGPD : des traitements souvent sous-estimés

De quoi parle RGPD ?

Le RGPD s’applique dès qu’il y a traitement de données personnelles, quel que soit le secteur. Dans l’industrie, ces traitements sont souvent liés à la gestion du personnel et à la sûreté des sites, deux domaines sensibles (surveillance des salariés).

Les données purement techniques de production, sans lien avec une personne, relèvent davantage du Data Act que du RGPD.

Le secteur « Industrie » est-il concerné ?

Tout industriel est concerné comme responsable de traitement, sans seuil. Les traitements de sûreté (vidéosurveillance, contrôle d’accès) et RH sont les plus sensibles et les plus contrôlés.

Les données de maintenance peuvent devenir personnelles lorsqu’elles sont rattachées à un technicien identifiable.

Obligations détaillées

Sanctions & risques

Amendes jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial. La surveillance des salariés (vidéo, géolocalisation) fait l’objet d’une attention particulière des autorités.

Un dispositif de surveillance disproportionné est un motif fréquent de sanction dans le secteur.

Erreurs fréquentes dans le secteur

• 1Vidéosurveillance disproportionnée. Placer des postes de travail sous surveillance permanente sans justification.
• 2Absence de registre. Ne pas documenter les traitements RH et de sûreté.
• 3Conservation excessive. Garder trop longtemps images et logs d’accès.
• 4Confusion des régimes. Traiter des données industrielles comme personnelles, ou l’inverse.

Cas pratique

Un site industriel déploie une vidéosurveillance étendue et conserve les images sans limite. Un contrôle relève l’absence de base légale claire, une surveillance disproportionnée des postes et une conservation excessive. La régularisation passe par la limitation des zones filmées, l’information des salariés et une durée de conservation définie.

Feuille de route de mise en conformité

1. 1

   Cartographier. Recenser les traitements RH, sûreté et maintenance.

2. 2

   Qualifier les bases légales. Vérifier la base et l’information pour la vidéosurveillance et les badges.

3. 3

   Définir les durées. Fixer des durées de conservation par finalité.

4. 4

   Sécuriser. Renforcer accès, chiffrement et journalisation.

5. 5

   Distinguer les régimes. Séparer données personnelles (RGPD) et industrielles (Data Act).

Questions fréquentes