Le RGPD ne se limite pas aux bases de données informatiques : il s’applique également aux archives papier, comme le rappelle expressément la CNIL, qui précise qu’un traitement de données personnelles n’est pas nécessairement informatisé. Ce point reste pourtant l’un des plus négligés par les entreprises, qui concentrent souvent leurs efforts de conformité sur le numérique en oubliant que des cartons de dossiers RH ou clients, mal conservés ou mal détruits, exposent exactement aux mêmes risques.
Le risque financier : des amendes qui peuvent atteindre 4 % du chiffre d’affaires mondial
La CNIL peut prononcer des amendes administratives allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’entreprise, le montant le plus élevé des deux étant retenu. Cette sanction maximale reste réservée aux manquements les plus graves ; pour les cas moins sévères, la CNIL dispose d’une procédure de sanction simplifiée, plus rapide, qui permet de traiter des dossiers portant sur des montants d’amende généralement plus modérés, notamment lorsque le manquement porte sur des durées de conservation non respectées ou une absence de traçabilité des archives. Dans les deux cas, le non-respect des durées de conservation prévues par le RGPD (par exemple trois ans pour les données d’un prospect resté sans réponse, ou cinq ans pour certains documents de paie) constitue un motif de sanction fréquemment identifié lors des contrôles.
Le risque opérationnel et pénal : au-delà de l’amende financière
Une non-conformité avérée peut également déboucher sur une interdiction administrative de traitement prononcée par la CNIL, ce qui peut, selon l’ampleur du traitement concerné, aller jusqu’à paralyser une partie de l’activité de l’entreprise si celle-ci repose sur l’exploitation de données personnelles. Sur le plan pénal, le Code pénal prévoit des sanctions distinctes pour les dirigeants en cas de manquements graves aux obligations de sécurité et de confidentialité des données, pouvant atteindre 5 ans d’emprisonnement et 300 000 euros d’amende pour la personne physique responsable du traitement.
Ce risque opérationnel se prépare largement en amont, notamment par une gestion rigoureuse de l’archivage papier : sécurisation physique des locaux de stockage, tri régulier selon les durées légales de conservation, et traçabilité des accès aux dossiers sensibles. Une entreprise qui structure cette gestion documentaire réduit mécaniquement son exposition aux contrôles défavorables, qu’il s’agisse d’un contrôle CNIL ou d’un audit interne à la suite d’une demande d’accès d’une personne concernée.
Le risque réputationnel et commercial, souvent sous-estimé
Les sanctions prononcées par la CNIL sont, dans de nombreux cas, rendues publiques, ce qui expose l’entreprise concernée à une perte de confiance de ses clients et partenaires, indépendamment même du montant de l’amende. Ce risque réputationnel s’accompagne d’un risque commercial direct : de plus en plus d’appels d’offres, notamment dans les marchés publics ou auprès de grands donneurs d’ordre, exigent désormais des garanties de conformité RGPD chez leurs sous-traitants, ce qui peut conduire à l’exclusion d’une entreprise non conforme, sans même attendre une sanction formelle.
Cette exigence tend à se généraliser à mesure que les entreprises elles-mêmes sont tenues responsables de la conformité de leur chaîne de sous-traitance, ce qui fait de la conformité documentaire un critère de sélection à part entière lors des consultations commerciales.
Une gestion structurée des archives, première ligne de défense
Face à l’ensemble de ces risques, un archivage structuré, avec des durées de conservation respectées, une sécurisation physique adaptée et une traçabilité des accès, reste le point de départ le plus concret pour limiter l’exposition d’une entreprise. Il est recommandé de faire réaliser un état des lieux de ses pratiques d’archivage papier par un professionnel spécialisé, afin d’identifier les écarts de conformité avant qu’un contrôle ou une demande d’accès ne les révèle.