RGPD en PME : par où commencer quand on n’a ni juriste ni DPO
Une TPE ou une PME traite chaque jour des données personnelles : fichier clients, paie, devis, candidatures, caméras du magasin. Le RGPD s’applique à ces traitements, même en l’absence de service juridique. La démarche de mise en conformité ne suppose ni budget élevé ni outil complexe. Elle repose sur une méthode progressive, que la CNIL documente précisément pour les TPE et PME, et qui commence par l’inventaire de vos données.
Ce qu’il faut retenir
- Le RGPD s’applique à tous les professionnels, quels que soient leur taille et leur secteur, y compris aux fichiers papier.
- Le registre des activités de traitement est la première pièce que la CNIL demande lors d’un contrôle.
- Une violation de données présentant un risque se notifie à la CNIL dans les 72 heures.
- En procédure simplifiée, la CNIL peut prononcer une amende jusqu’à 20 000 €.
Le RGPD s’applique-t-il vraiment à votre PME ?
Oui, sans exemption de taille. Le règlement général sur la protection des données vise toute entreprise qui collecte des données personnelles (nom, e-mail, téléphone, image, voix) de personnes situées sur le territoire européen. Les fichiers papier sont concernés au même titre que les traitements informatisés.
L’application est en revanche modulée selon les risques. Pour une TPE dont le métier principal n’est pas le traitement de données, la CNIL précise que l’analyse d’impact et la désignation d’un délégué à la protection des données (DPO) restent rares. Les obligations se renforcent pour les structures qui traitent des données sensibles ou qui suivent des personnes de manière régulière et systématique à grande échelle. Les coordonnées professionnelles d’une entreprise, en principe, ne relèvent pas du RGPD.
Les 5 étapes pour mettre en place le RGPD simplement
Ces étapes suivent l’ordre recommandé pour une TPE ou une PME sans juriste. Chacune produit un document réutilisable lors d’un contrôle de la CNIL.
Étape 1 : identifier et cartographier vos données personnelles
Listez chaque catégorie de personnes concernées : clients, prospects, fournisseurs, collaborateurs, candidats. Pour chacune, notez quelles données personnelles vous détenez, où elles sont stockées (logiciel, tableur, armoire), pourquoi vous les utilisez et sur quelle base légale : consentement, exécution d’un contrat, obligation légale ou intérêt légitime.
Appliquez dès ce stade le principe de minimisation : toute donnée sans utilité démontrable doit cesser d’être collectée.
Étape 2 : nommer un responsable RGPD dans votre structure
Le DPO est obligatoire pour les organismes publics, pour les structures dont l’activité implique un suivi régulier et systématique de personnes à grande échelle, et pour celles qui traitent des données sensibles à grande échelle. Hors de ces cas, désignez un référent interne chargé de piloter la conformité RGPD. Cette fonction peut aussi être externalisée auprès d’un prestataire compétent en systèmes d’information et en droit.
Étape 3 : constituer votre registre de traitement des données
Le registre recense, pour chaque traitement (paie, gestion des clients et prospects, fournisseurs, vidéosurveillance) : la finalité, les catégories de données, les personnes ayant accès, la durée de conservation, la base légale et les transferts éventuels. La CNIL met à disposition un modèle simplifié de registre adapté à la plupart des TPE et PME. Si vous êtes sous-traitant, vous tenez un registre distinct pour les traitements réalisés pour le compte de vos clients.
Étape 4 : sécuriser vos données et prévenir les violations
La CNIL définit un socle minimal de mesures de sécurité :
- sécuriser l’accès aux locaux et fermer les bureaux en fin de journée ;
- mettre à jour antivirus et logiciels ;
- choisir des mots de passe solides et verrouiller la session en cas d’absence ;
- créer des profils d’accès distincts selon les besoins de chaque utilisateur ;
- disposer d’une procédure de sauvegarde et de récupération des données.
En cas de violation présentant un risque pour les personnes, la notification à la CNIL intervient dans les 72 heures. Les personnes concernées sont informées si le risque pour leurs droits et libertés est élevé, et chaque incident est consigné dans un registre dédié.
Étape 5 : fixer des durées de conservation
Aucune donnée ne se conserve indéfiniment. Vérifiez d’abord si un texte impose une durée : le Code du travail fixe par exemple 5 ans pour les bulletins de paie. À défaut, le responsable du traitement détermine la durée en fonction de la finalité, en s’appuyant sur le guide de la CNIL dédié aux durées de conservation.
Les bonnes pratiques RGPD adaptées aux PME
Une fois le socle documentaire constitué, la conformité se joue dans les gestes quotidiens.
Respecter la transparence et obtenir le consentement
Chaque formulaire, questionnaire ou page « vie privée » doit délivrer une information claire : finalité de la collecte, durée de conservation, droits des personnes et modalités d’exercice. Lorsque le traitement repose sur le consentement, celui-ci doit être libre, spécifique, éclairé et univoque, recueilli par une case à cocher non précochée, et vous devez pouvoir en apporter la preuve.
Gérer les droits des personnes (accès, rectification, suppression)
Clients, salariés et prestataires disposent d’un droit d’accès, de rectification, d’opposition, d’effacement et de portabilité. Formalisez une procédure de réponse : qui reçoit la demande, qui vérifie l’identité, qui répond. Plusieurs sanctions prononcées en 2024 visaient précisément un droit d’accès ou un droit à l’effacement ignoré.
Former vos équipes aux enjeux de protection des données
Les collaborateurs doivent connaître les règles de base : ne pas transmettre de données sensibles par e-mail, ne pas utiliser de supports non sécurisés, respecter les profils d’accès. Les données sensibles (santé, opinions, origine, données biométriques) restent interdites sauf exception, notamment le consentement exprès de la personne et la stricte pertinence au regard du traitement.
Adapter la démarche à votre secteur d’activité
Les priorités varient selon l’activité. Le tableau ci-dessous reprend les situations documentées par la CNIL et par les sanctions de 2024.
| Secteur | Point de vigilance | Action prioritaire |
|---|---|---|
| Commerce de proximité, boulangerie | Vidéosurveillance | Affichage d’information et collecte limitée |
| Hébergement web, services numériques | Droit à l’effacement | Procédure de suppression sur demande |
| Aide à domicile | Données de santé | Partage limité aux seuls intervenants de la prise en charge |
| Gestion de patrimoine | Données sensibles non pertinentes | Suppression des mentions excessives |
Les risques et sanctions en cas de non-conformité RGPD
Depuis juillet 2023, la CNIL dispose d’une procédure simplifiée pour les manquements de moindre gravité, avec un plafond de 20 000 € et sans publicité de la décision. En procédure ordinaire, l’amende peut atteindre 4 % du chiffre d’affaires annuel mondial. En 2023, la CNIL a reçu plus de 16 000 plaintes et prononcé plus de 89 millions d’euros d’amendes.
Exemples de sanctions prononcées en 2024 contre des TPE et PME : 5 000 € pour une boulangerie (information sur la vidéosurveillance, collecte excessive), 8 000 € pour un hébergeur de sites (droit à l’effacement, défaut de coopération), 12 000 € pour un casino-hôtel, 15 000 € pour une enseigne de magasins de sport. Les contrôles ont généralement lieu sans préavis ; une convocation intervient au moins 8 jours avant la date fixée.
Les ressources et accompagnements pour votre mise en conformité
La CNIL publie un guide de sensibilisation au RGPD pour les TPE et PME, coédité avec Bpifrance, une liste de vérification et des fiches pratiques. Depuis septembre 2024, le guide du CEPD destiné aux TPE et PME est disponible en français, au format web. Pour la sécurité, consultez le guide pratique sur la sécurité des données personnelles (édition 2024) et le guide de l’ANSSI et de la CPME. France Num, les CCI et les experts-comptables relaient aussi l’accompagnement de la CNIL.
Pour transformer ces étapes en plan d’action adapté à votre secteur, avec registre, procédures et suivi de la protection des données au même endroit, la solution Qontinua accompagne les TPE et PME dans leur conformité RGPD. Commencez par votre registre : il conditionne toutes les étapes suivantes.
Simplifiez la conformité RGPD de votre PME avec Qontinua
Avec Qontinua, rassemblez les principaux éléments de votre démarche RGPD dans un environnement unique : registre des traitements, données concernées, finalités, bases légales, durées de conservation, tiers et documents associés. Vous disposez ainsi d’un socle structuré pour faire évoluer votre conformité sans multiplier les fichiers de suivi.
Lorsqu’un point doit être corrigé, vous pouvez créer une action, désigner un responsable et fixer une échéance. Les incidents, documents et éléments de preuve restent également centralisés, ce qui facilite le suivi de la démarche et la préparation d’un éventuel contrôle.
Pour une TPE ou une PME, l’objectif est surtout de garder une démarche proportionnée et facile à maintenir : commencer par structurer son registre, puis faire progresser sa conformité au fil des besoins et des traitements de données.
