RGPD

Comment ça marche

Règlement et non directive, le RGPD s'applique directement dans chaque État membre, sans loi de transposition. Le contrôle reste national : la CNIL en France, l'AEPD en Espagne, les autorités régionales en Allemagne, coordonnées au sein du CEPD.

L'article 5 porte les six principes qui encadrent tout : licéité, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité et confidentialité. L'article 6 fixe les bases légales. L'article 32 est celui que les équipes IT vivent au quotidien : sécurité adaptée au risque, avec pseudonymisation et chiffrement cités nommément, capacité à rétablir la disponibilité, test régulier des mesures.

Deux chronomètres démarrent après un incident. L'article 33 laisse 72 heures pour notifier la violation à l'autorité de contrôle, à compter de votre prise de connaissance. L'article 34 ajoute l'information des personnes concernées quand le risque est élevé, sauf si les données étaient chiffrées et restent donc incompréhensibles. Les sanctions de l'article 83 atteignent 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

Pourquoi c'est important pour une flotte

Un téléphone perdu avec une messagerie, des contacts synchronisés et un CRM en cache devient une violation dès l'instant où vous ne pouvez pas démontrer qu'il était protégé. La preuve, c'est une fiche d'appareil : stockage chiffré, code imposé, effacement envoyé et confirmé. Sans elle, votre DPO conseillera de notifier, sous 72 heures et sans éléments factuels.

Le BYOD pose la question la plus délicate. L'appareil appartient au salarié : ses photos et ses messages sont ses données personnelles, et un effacement complet est hors de question. La recommandation BYOD de la CNIL est nette : le contrôle de l'employeur doit rester limité aux données professionnelles. Un profil professionnel ou un conteneur d'applications gérées en fait un mécanisme technique, au lieu d'une phrase dans une charte.

Restent les transferts. Depuis l'arrêt Schrems II de juillet 2020, envoyer des données personnelles vers un service hébergé aux États-Unis oblige à documenter un outil de transfert et une analyse de risque. Des données qui restent dans l'Union évitent ce travail.

Comment Appaloosa le gère

Appaloosa agit comme sous-traitant au sens de l'article 28 et ne détient aucune certification. La plateforme ne vous rend pas conforme au RGPD : les obligations du responsable de traitement restent les vôtres. Elle apporte la moitié technique de l'article 32 côté mobile : chiffrement et code imposés, état de conformité par appareil, effacement sélectif limité aux données professionnelles, journaux indiquant quand chaque commande a été envoyée puis appliquée.

L'hébergement est une infrastructure située en France, qualifiée SecNumCloud par l'ANSSI (référentiel 3.2, qui couvre l'immunité aux lois extraeuropéennes), et les données clients ne sortent pas de l'Union européenne : vous n'avez donc aucun mécanisme de transfert à documenter. La minimisation fait partie du cadrage : la console collecte de l'inventaire et des signaux de conformité, pas de géolocalisation ni d'historique de navigation. Votre gestion des appareils mobiles sert alors de registre quand un DPO demande ce qui est arrivé à un appareil.