Blog

Dans bien des comités de direction, la conformité passe en fin de réunion, quelque part entre le renouvellement des assurances et le budget des fournitures. On la range dans la case des contraintes : un dossier à boucler, une ligne de dépenses à contenir. Cette façon de voir coûte pourtant plus cher que la conformité elle-même.

Le coût qu’on ne voit pas

Au Bénin, le Code du numérique encadre la collecte et l’utilisation des données personnelles, sous le contrôle de l’Autorité de protection des données personnelles (APDP). Une entreprise qui n’a jamais regardé ce qu’elle collecte, où elle le stocke et qui peut y accéder s’expose à des mises en demeure et à des sanctions. Elle s’expose surtout au temps perdu après un incident : cellule de crise improvisée, clients à rassurer, équipes mobilisées pendant des semaines.

Prenons une PME de Cotonou qui gère ses commandes et ses relances par WhatsApp Business. Numéros, adresses de livraison, historique d’achats : tout circule sur les téléphones personnels de trois commerciaux. L’un d’eux démissionne et part avec son appareil. Rien d’exceptionnel, c’est un mardi ordinaire. Sans règles d’accès ni consignes claires, l’entreprise est incapable de dire quelles données ont quitté ses murs. Avec trois mesures simples (un compte professionnel centralisé, une procédure de départ, une information claire des clients), le problème ne se pose tout simplement pas.

La conformité ouvre des portes

Les grands donneurs d’ordre, les banques, les organisations internationales et les partenaires européens posent désormais les mêmes questions avant de signer. Où sont hébergées les données ? Qui est le délégué à la protection des données ? Existe-t-il un contrat de sous-traitance en bonne et due forme ? L’entreprise qui répond sur-le-champ, documents à l’appui, gagne des semaines. Celle qui improvise perd parfois le marché.

Le sujet est très concret pour les prestataires qui traitent des données pour le compte de leurs clients : hébergeurs, éditeurs de logiciels, agences, centres d’appels. On leur demande un accord de sous-traitance, des garanties de sécurité, une traçabilité des accès. Les entreprises béninoises qui travaillent avec des partenaires européens le constatent vite : l’exigence du RGPD voyage avec les contrats. Être prêt devient alors un avantage commercial, au même titre qu’un bon prix ou un délai tenu.

Des données mieux tenues, une entreprise mieux pilotée

Une mise en conformité commence par une cartographie : quelles données, pour quelle finalité, pendant combien de temps. L’exercice semble austère. Dans les faits, il fait remonter des fichiers clients en triple exemplaire, des tableurs oubliés dans des messageries, des données conservées dix ans sans raison valable. Faire le ménage, c’est réduire les coûts de stockage, fiabiliser les bases de prospection, répondre plus vite à un client qui demande l’accès à ses informations et diminuer la surface d’attaque en cas d’intrusion.

L’effet secondaire est souvent le plus précieux : le dirigeant comprend enfin son propre système d’information. Celui qui sait où se trouve sa donnée décide plus vite et se trompe moins.

La confiance, un actif qui se compte

Mobile money, commerce en ligne, santé, assurance, éducation, au Bénin, de plus en plus de services reposent sur des informations que les gens confient en espérant qu’on en prendra soin. Un client qui sait comment son numéro est utilisé, et qui peut s’y opposer, achète plus volontiers. Un client qui apprend par un tiers que ses données ont fuité s’en va, et il le raconte. Aucune campagne publicitaire ne répare cela à court terme.

Le délégué à la protection des données joue ici un rôle sous-estimé. Bien positionné, il ne freine pas les projets : il les sécurise en amont, au moment où corriger ne coûte presque rien. Penser la protection des données dès la conception d’un nouveau service revient bien moins cher qu’une refonte après le lancement.

Par où commencer

1. Faire l’état des lieux : Cartographier les données, les outils utilisés et les prestataires qui y ont accès.
2. Prioriser : Traiter d’abord ce qui bloque un contrat ou expose des données sensibles.
3. Désigner un responsable et documenter :  Un délégué interne ou externe, un registre à jour, des contrats de sous-traitance, des procédures que les équipes comprennent vraiment.

Une démarche proportionnée suffit. Une PME n’a pas besoin du dispositif d’une banque : elle a besoin d’un dispositif adapté à ses données, à ses clients et à ses ambitions.

Chez 360 Conseils, nous accompagnons les dirigeants dans cette approche : un diagnostic juridique, une lecture économique et des mesures que les équipes appliquent réellement au quotidien. Car une conformité qui dort dans un tiroir ne protège personne et ne rapporte rien.

La question à poser à votre prochain comité de direction n’est donc pas « combien coûte la conformité ? », mais « combien nous coûte le fait de ne pas être prêts ? »

Charlaine DEGBEY,

Juriste spécialisée en droit du numérique