Chapitre 05 — Le numérique et la transformation de l'entreprise

• Absence d'information des droits des personnes (principe de transparence) → mettre en place une politique de confidentialité claire et accessible, informant les patients de leurs droits (accès, rectification, effacement).
• Conservation sans durée limitée (principe de limitation de la conservation) → définir une durée de conservation proportionnée à la finalité du traitement, avec purge automatique des données obsolètes.
• Données de santé traitées sans sécurisation suffisante (principe de sécurité/intégrité) → renforcer le chiffrement et les contrôles d'accès à ces données sensibles (catégorie particulière au sens du RGPD).

Option 1 (plafond fixe) = 20 000 000 €

Option 2 (4 % du CA mondial) = 4 % × 4 800 000 = 192 000 €

Amende applicable = max(20 000 000 ; 192 000) = 20 000 000 €

Le RGPD retient toujours le montant le plus élevé des deux plafonds : ici, le plafond fixe de 20 M€ s'applique, très supérieur au plafond proportionnel au CA.

Le code source d'un logiciel est protégé par le droit d'auteur (propriété littéraire et artistique), dès sa création, sans formalité de dépôt. DataVitale peut donc agir en contrefaçon contre le développeur ayant copié son code source sans autorisation, et réclamer réparation du préjudice subi, éventuellement complétée par une action pour violation d'une clause de confidentialité si le développeur était lié par un tel engagement contractuel.

L'article 1366 du Code civil reconnaît la valeur probante de l'écrit électronique à condition que la personne dont il émane puisse être dûment identifiée et qu'il soit établi et conservé dans des conditions garantissant son intégrité. Le règlement eIDAS distingue plusieurs niveaux de signature électronique (simple, avancée, qualifiée), la signature qualifiée bénéficiant d'une présomption de fiabilité équivalente à la signature manuscrite.

DataVitale doit engager sans délai une mise en conformité RGPD (information des droits, durée de conservation, sécurisation des données de santé) afin d'éviter une sanction pouvant atteindre 20 M€, et agir en contrefaçon contre le développeur ayant copié son code source pour protéger son actif immatériel stratégique. Au-delà du risque financier et juridique, ces manquements exposent l'entreprise à un risque réputationnel majeur, s'agissant de données de santé particulièrement sensibles pour la confiance des patients.

L'ERP (Enterprise Resource Planning) intègre et centralise la gestion des ressources de l'entreprise (stocks, ventes, comptabilité) dans un système unique. Le CRM (Customer Relationship Management) gère la relation client (historique d'achats, programmes de fidélisation, service après-vente). La BI (Business Intelligence) exploite les données issues de l'ERP et du CRM pour produire des tableaux de bord et indicateurs (KPI) facilitant la prise de décision.

Le déploiement de l'ERP/CRM tend vers une standardisation des procédés (Mintzberg) qui centralise les décisions au niveau du siège, réduisant l'autonomie des directeurs de magasin habitués à un ajustement mutuel local. Une organisation hybride pourrait combiner un cadre standardisé pour les processus critiques (approvisionnement, reporting financier) tout en laissant une marge de supervision directe locale pour les décisions commerciales de proximité (animation, promotions locales), afin de concilier cohérence globale et réactivité terrain.

Le CRM permet une meilleure connaissance du comportement client (historique d'achats, préférences), ce qui améliore le ciblage des actions commerciales, augmente le taux de fidélisation et la valeur vie client, et réduit les coûts d'acquisition en orientant les ressources marketing vers les segments les plus rentables. L'impact économique se mesure par l'évolution du panier moyen et du taux de réachat avant/après déploiement.

En cas de violation de données à caractère personnel, le RGPD impose à RetailConnect de notifier la CNIL dans un délai de 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Si le risque est élevé pour les 18 000 clients concernés, l'entreprise doit également les informer individuellement dans les meilleurs délais. Le non-respect de ces obligations expose à une sanction pouvant atteindre 10 M€ ou 2 % du CA mondial (voire davantage selon la nature du manquement).

Le plan d'action doit combiner trois volets : (1) performance — exploiter pleinement la BI pour mesurer les gains du CRM et ajuster les process ERP ; (2) conformité — notifier sans délai la CNIL et les clients concernés par l'incident, et renforcer la sécurisation des données ; (3) conduite du changement — associer les directeurs de magasin à la définition des marges d'autonomie locale restantes, pour transformer la résistance au changement en adhésion.