Le RGPD s'applique-t-il à votre entreprise ?
Oui. Depuis le 25 mai 2018, le Règlement Général sur la Protection des Données s'applique à toute entreprise qui collecte ou traite des données personnelles de résidents européens. Que vous soyez micro-entrepreneur, gérant de SARL ou président de SAS, dès que vous stockez un nom, un e-mail, un numéro de téléphone ou une adresse IP, le RGPD vous concerne.
En 2026, la CNIL a prononcé plus de 450 sanctions depuis l'entrée en vigueur du texte, pour un total cumulé dépassant 700 millions d'euros d'amendes en France. Les PME et TPE ne sont pas épargnées : en 2025, 38 % des contrôles de la CNIL visaient des structures de moins de 250 salariés.
Le hic : beaucoup de petites entreprises pensent que le RGPD ne concerne que les géants du numérique. C'est faux. Un artisan qui tient un fichier clients Excel, un restaurateur qui collecte des e-mails pour sa newsletter, un consultant qui stocke des données de prospects dans un CRM — tous sont soumis aux mêmes obligations.
Les 6 principes fondamentaux du RGPD
Le règlement repose sur six principes que vous devez intégrer dans vos pratiques :
1. Licéité, loyauté, transparence. Vous ne pouvez collecter des données que si vous avez une base légale (consentement, contrat, obligation légale, intérêt légitime). Vous devez informer clairement les personnes de l'usage de leurs données.
2. Limitation des finalités. Les données collectées ne servent qu'au but annoncé. Vous récoltez des e-mails pour envoyer des factures ? Vous ne pouvez pas les utiliser pour de la prospection commerciale sans consentement séparé.
3. Minimisation. Ne collectez que les données strictement nécessaires. Un formulaire de contact n'a pas besoin de la date de naissance ni du numéro de sécurité sociale du prospect.
4. Exactitude. Les données doivent être tenues à jour. Mettez en place un processus de vérification et permettez aux personnes de corriger leurs informations.
5. Limitation de conservation. Les données ne sont conservées que le temps nécessaire à la finalité déclarée. Un fichier de prospects non sollicités depuis 3 ans doit être purgé.
6. Intégrité et confidentialité. Vous devez protéger les données contre les accès non autorisés, les fuites et les pertes. Mots de passe robustes, chiffrement, sauvegardes : les mesures techniques et organisationnelles sont obligatoires.
Étape 1 — Cartographier vos traitements de données
Avant de corriger quoi que ce soit, il faut savoir ce que vous collectez. La cartographie (ou « registre des traitements ») est le document central de votre conformité RGPD. Il recense chaque traitement de données personnelles dans votre entreprise.
Pour chaque traitement, notez :
- La finalité : pourquoi collectez-vous cette donnée ?
- Les catégories de données : nom, e-mail, téléphone, données bancaires…
- Les personnes concernées : clients, prospects, salariés, fournisseurs
- Les destinataires : qui accède aux données (salariés, prestataires, sous-traitants) ?
- La durée de conservation : combien de temps gardez-vous les données ?
- Les mesures de sécurité : comment protégez-vous les données ?
Bon à savoir : le registre des traitements est obligatoire pour les entreprises de plus de 250 salariés, mais la CNIL le recommande à toutes les structures. En pratique, c'est le meilleur outil pour piloter votre conformité. La CNIL propose un modèle gratuit téléchargeable sur son site.
Étape 2 — Mettre en place les bases légales
Chaque traitement de données doit reposer sur l'une des six bases légales prévues par le RGPD. Les trois plus utilisées par les TPE/PME :
Le consentement. La personne accepte explicitement le traitement. Typique pour l'inscription à une newsletter ou l'envoi de communications marketing. Le consentement doit être libre, éclairé, spécifique et univoque. Un consentement pré-coché ne vaut rien.
L'exécution d'un contrat. Vous avez besoin des données pour fournir le service commandé. L'adresse de livraison d'un client e-commerce, les coordonnées bancaires pour le paiement — pas besoin de consentement supplémentaire.
L'intérêt légitime. Votre intérêt commercial justifie le traitement, à condition qu'il ne porte pas atteinte aux droits des personnes. La prospection B2B par e-mail à des professionnels sur leur adresse professionnelle peut relever de l'intérêt légitime.
Résultat : pour chaque ligne de votre registre des traitements, identifiez la base légale applicable. Si aucune ne tient, le traitement est illicite et doit être supprimé.
Étape 3 — Informer les personnes
Le RGPD impose une information claire et accessible à chaque collecte de données. Cette information prend généralement la forme d'une politique de confidentialité sur votre site web et de mentions d'information sur vos formulaires.
Que doit contenir cette politique ? L'identité du responsable de traitement (votre entreprise), les finalités de chaque traitement, les bases légales, les destinataires, les durées de conservation, les droits des personnes (accès, rectification, suppression, portabilité, opposition) et les coordonnées pour exercer ces droits.
Le hic : copier-coller une politique de confidentialité générique trouvée sur internet ne suffit pas. Le document doit refléter vos pratiques réelles. Une politique qui mentionne des traitements que vous ne faites pas, ou qui omet ceux que vous faites, est une source de risque en cas de contrôle.
Pour les formulaires papier (devis, contrats, fiches clients), ajoutez une mention d'information en bas de page. Pour les CGV en ligne, intégrez un lien vers la politique de confidentialité.
Étape 4 — Sécuriser les données
La sécurité est le volet technique du RGPD. L'article 32 du règlement impose des « mesures techniques et organisationnelles appropriées ». En langage clair pour une TPE, cela signifie :
- Mots de passe robustes : 12 caractères minimum, uniques pour chaque service, stockés dans un gestionnaire de mots de passe (Bitwarden, 1Password)
- Mises à jour : système d'exploitation, navigateurs et logiciels toujours à jour pour corriger les failles de sécurité
- Sauvegardes régulières : copie des données sur un support externe ou dans le cloud, testée au moins une fois par trimestre
- Chiffrement : les données sensibles (fichiers clients, données bancaires) doivent être chiffrées sur les disques durs et lors des transferts (HTTPS, VPN)
- Contrôle des accès : chaque salarié n'accède qu'aux données nécessaires à sa fonction. Pas de compte administrateur partagé
- Antivirus et pare-feu : protection de base contre les malwares et les intrusions
En cas de violation de données (piratage, fuite, perte), vous devez notifier la CNIL sous 72 heures et informer les personnes concernées si le risque est élevé. Préparez un plan d'intervention avant que l'incident ne survienne.
Étape 5 — Respecter les droits des personnes
Le RGPD confère huit droits aux personnes dont vous traitez les données. Les plus courants en pratique :
Droit d'accès. Toute personne peut demander une copie de ses données personnelles. Vous devez répondre sous un mois.
Droit de rectification. Si les données sont inexactes, la personne peut demander leur correction.
Droit à l'effacement (droit à l'oubli). La personne peut demander la suppression de ses données, sauf si une obligation légale impose leur conservation (factures, contrats, données comptables).
Droit d'opposition. La personne peut s'opposer à la prospection commerciale à tout moment. L'opposition doit être prise en compte immédiatement.
Mettez en place un processus interne pour traiter ces demandes : adresse e-mail dédiée (dpo@votreentreprise.fr ou rgpd@votreentreprise.fr), personne référente identifiée, délai de traitement suivi. La CNIL vérifie que les demandes sont traitées dans les délais lors de ses contrôles.
Faut-il nommer un DPO ?
Le Délégué à la Protection des Données (DPO) est obligatoire pour les organismes publics, les entreprises dont l'activité de base implique un suivi régulier et systématique à grande échelle, et celles qui traitent des données sensibles à grande échelle (santé, opinions politiques, données biométriques).
Pour une TPE ou une PME classique, le DPO n'est pas obligatoire. Mais rien n'empêche d'en désigner un volontairement — en interne (un salarié formé) ou en externe (un prestataire spécialisé, 200 à 500 €/mois pour une TPE).
Bon à savoir : même sans DPO, vous devez désigner un référent RGPD au sein de l'entreprise. Cette personne pilote la conformité, répond aux demandes des personnes et assure la veille réglementaire. Votre expert-comptable ou votre avocat peut vous orienter vers un prestataire DPO externe si nécessaire.
Les sanctions en cas de non-conformité
Le RGPD prévoit des sanctions graduées. La CNIL peut prononcer :
- Un avertissement avec mise en demeure de se mettre en conformité sous un délai fixé
- Une amende administrative jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial (le montant le plus élevé)
- Une injonction de cesser le traitement non conforme
En pratique, les amendes contre les TPE/PME restent modérées (quelques milliers à dizaines de milliers d'euros), mais la publication de la sanction sur le site de la CNIL cause un préjudice d'image considérable. Un prospect qui tape le nom de votre entreprise et tombe sur une sanction CNIL ira voir ailleurs.
Le hic : au-delà des sanctions CNIL, les personnes concernées peuvent demander des dommages et intérêts devant les tribunaux civils. Les actions en justice pour atteinte aux données personnelles se multiplient depuis 2023.
Outils et ressources pour se mettre en conformité
Vous n'avez pas besoin d'un cabinet d'avocats pour vous mettre en conformité si votre structure est simple. Voici les ressources les plus utiles :
- CNIL.fr : guides pratiques, modèles de registre, tutoriels vidéo, outil PIA (analyse d'impact) — tout est gratuit
- Axeptio / Didomi / Tarteaucitron : solutions de gestion du consentement (bandeau cookies) conformes CNIL
- ProDPO / DPO Consulting : DPO externalisé pour TPE/PME, à partir de 200 €/mois
- Générateurs de politique de confidentialité : des outils en ligne comme Iubenda ou Termly produisent des documents personnalisés, mais faites-les relire par un professionnel
Le budget conformité RGPD pour une TPE se situe entre 500 et 3 000 € la première année (audit, rédaction des documents, mise en place technique), puis 200 à 500 €/an pour la maintenance. C'est un investissement modeste comparé au risque d'une sanction.
En cas de doute sur vos obligations, consultez votre expert-comptable ou un avocat spécialisé en droit du numérique. La conformité RGPD n'est pas un projet ponctuel : c'est une hygiène permanente qui protège votre entreprise et vos clients.
