Le RGPD (règlement général sur la protection des données) remplace depuis 2018 la loi Informatique et Liberté qui datait elle de 1978. Il vise non seulement à moderniser les principes de gestion des données personnelles, rendus nécessaires du fait de l’évolution constante des nouvelles technologies, mais aussi d’harmoniser les pratiques européennes. Les entreprises ont donc de nouveaux devoirs, et les logiciels qu’elles détiennent, dont les logiciels ERP (entreprise ressources planning) doivent se mettre en conformité avec le RGPD.

Le RGPD s’adresse à toutes les entreprises et organismes, publics ou privés, peu importe le secteur d’activité et la taille, qui collectent des données à caractère personnel, sur le territoire européen.

On entend par données à caractère personnel toutes les informations permettant d’identifier un individu : nom, email, numéro de téléphone, adresse postale mais aussi adresse IP, revenus, données de santé, centres d’intérêt…

Le RGPD prévoit toute une série de règles autour de la collecte, du traitement et de la conservation des données personnelles : 

• La collecte doit être réalisée de manière transparente : les utilisateurs dont les données ont été recueillies doivent le savoir et l’autoriser de façon explicite ;
• La collecte doit permettre d’atteindre un objectif bien précis. Elle ne peut pas être réalisée « au cas où » ;
• Les données recueillies doivent être conservées de manière sécurisée ;
• La durée de conservation des données doit être proportionnelle aux objectifs fixés. Il existe trois phases dans le cycle de vie de ces données : 
• Conservation en base active et facilement accessible à tout moment afin de réaliser l’objectif qui a conduit à la collecte des données ;
• Archivage intermédiaire et consultation ponctuelle : les données ont un intérêt administratif ou leur conservation répond à une obligation légale ;
• Archivage définitif : les données n’ont plus besoin d’être consultées mais elles sont conservées à des fins statistiques et peuvent d’ailleurs être rendues anonymes. 

L’utilisateur dont les données ont été collectées doit avoir accès aux informations qui le concerne et demander leur rectification ou suppression.

Afin de mettre son ERP en conformité avec le RGPD, outre le respect des règles mentionnées ci-dessus, il faut : 

• Tenir un registre des traitements. Il précise les catégories de données personnelles, les acteurs, les objectifs et les flux s’ils quittent l’Union européenne ;
• Désigner un responsable du fichier contenant les données collectées, en charge du respect du RGPD et de la sécurité juridique et informatique ;
• Former les utilisateurs concernés aux règles applicables ;
• Mettre en place, ou mettre à jour s’il existe déjà, un référentiel sécurité intégrant notamment la charte d’utilisation des systèmes d’information ou la politique d’habilitation ;
• S’assurer de la sécurité des données tant en ce qui concerne l’accès (gestion des droits, profils utilisateurs, niveaux d’accès) que la conservation en interne via des solutions sécurisées et cryptées ou dans un Datacenter si les données sont conservées en externe. Les contrats de sous-traitance informatique peuvent être revus à cette occasion ;
• Déclarer à la CNIL les fichiers comportant des données personnelles (sauf en cas de dispense de déclaration ou de déclaration simplifiée) ;

Prévenir la CNIL en cas de faille, réelle ou avérée, dans la sécurité des données.