RGPD pour TPE et PME : les obligations minimales à respecter
Beaucoup de dirigeants de petites structures pensent encore que le RGPD ne concerne que les grands groupes. C'est une erreur qui coûte cher. Le Règlement général sur la protection des données s'applique à toute organisation qui traite des données personnelles, quelle que soit sa taille. Une boulangerie qui gère un fichier client, un cabinet qui conserve des CV, une PME qui exploite un site de vente en ligne : tous sont soumis aux mêmes principes. Le RGPD pour les TPE et PME n'est pas une version allégée du texte, c'est le même règlement, appliqué à l'échelle de structures qui disposent rarement d'un juriste dédié.
La bonne nouvelle, c'est que la conformité PME repose sur un socle d'obligations minimales parfaitement atteignables sans budget démesuré. La CNIL a conçu des outils gratuits pensés spécifiquement pour les TPE et PME. Encore faut-il savoir par où commencer et distinguer ce qui relève véritablement de l'obligation des simples bonnes pratiques facultatives.
Cet article détaille les obligations minimales du RGPD pour les TPE et PME, la méthode de mise en conformité recommandée par la CNIL, et les risques encourus en cas de manquement. Une démarche structurée de mise en conformité ne protège pas seulement l'entreprise contre la sanction : elle constitue un véritable argument de confiance auprès des clients, des salariés et des partenaires.
Le RGPD s'applique-t-il vraiment aux TPE et PME ?
Le RGPD ne prévoit aucune exemption fondée sur la taille de l'entreprise. Dès qu'une structure collecte, enregistre, conserve ou utilise des données personnelles, nom, adresse, e-mail, numéro de téléphone ou données de connexion, elle entre dans le champ du règlement. Le RGPD pour les TPE et PME s'applique donc à la quasi-totalité des entreprises, y compris l'artisan qui gère un fichier de prospects sur un tableur ou le commerçant qui exploite un programme de fidélité.
Une idée reçue tenace concerne l'article 30 du RGPD, qui dispenserait les entreprises de moins de 250 salariés de tenir un registre des activités de traitement. Cette dispense est en réalité bien plus restreinte qu'on ne le croit. Elle ne vaut que pour les traitements occasionnels, qui ne portent pas sur des données sensibles et ne présentent pas de risque pour les personnes concernées. Or la gestion de la paie, du fichier client ou des données des salariés constitue un traitement régulier. En pratique, la quasi-totalité des TPE et PME doit donc tenir ce registre.
Les données sensibles, telles que les opinions politiques ou religieuses, les données de santé ou les données biométriques, obéissent à un régime renforcé et sont en principe interdites de traitement, sauf exception encadrée. Une PME du secteur médical, paramédical ou social se trouve donc soumise à des exigences plus strictes que la moyenne, notamment en matière de sécurité et de traçabilité.
Le RGPD repose enfin sur un principe de responsabilité (accountability) : l'entreprise n'a pas seulement l'obligation de respecter le règlement, elle doit aussi être en mesure de le démontrer à tout moment. Pour une TPE ou une PME, cela signifie conserver une trace écrite de ses choix, registre, procédures, mentions d'information et contrats de sous-traitance, afin de pouvoir répondre à un contrôle de la CNIL. Cette logique de preuve distingue le RGPD des anciennes formalités déclaratives, aujourd'hui supprimées.
| Situation | Le RGPD s'applique-t-il ? |
|---|---|
| Fichier clients ou prospects | Oui, traitement régulier pleinement soumis au RGPD |
| Gestion de la paie et des salariés | Oui, dès le premier salarié |
| Vidéosurveillance des locaux | Oui, avec information et durée de conservation limitée |
| Entreprise de moins de 250 salariés | Aucune dispense générale : registre obligatoire pour les traitements réguliers |
Les obligations minimales du RGPD pour les TPE et PME
Le RGPD pour les TPE et PME se résume, pour l'essentiel, à un ensemble d'obligations minimales qui structurent la conformité PME. La première d'entre elles est la tenue du registre des activités de traitement. Ce document recense, pour chaque traitement, sa finalité, les catégories de données concernées, les destinataires, la durée de conservation et les mesures de sécurité. La CNIL met à disposition un modèle gratuit, élaboré avec Bpifrance, directement utilisable par une petite structure.
Chaque traitement doit ensuite reposer sur une base légale : le consentement, l'exécution d'un contrat, une obligation légale ou l'intérêt légitime de l'entreprise. Sans base légale valable, le traitement est illicite. Les personnes concernées doivent par ailleurs être informées de façon claire, au moyen de mentions sur les formulaires, d'une politique de confidentialité sur le site et de clauses dans les contrats.
La sécurité des données constitue le troisième pilier. Pour une PME, cela signifie des mots de passe robustes, une authentification à double facteur pour les accès distants, le chiffrement des sauvegardes et une restriction des accès aux seules personnes qui en ont besoin. Enfin, l'entreprise doit être en mesure de respecter les droits des personnes, accès, rectification, effacement, opposition, dans un délai d'un mois, et d'encadrer ses sous-traitants par contrat, notamment son hébergeur et ses logiciels en cloud.
| Obligation | Ce que la TPE ou PME doit faire concrètement |
|---|---|
| Registre des traitements | Recenser chaque traitement (finalité, données, durée, destinataires) à partir du modèle CNIL |
| Base légale | Justifier chaque traitement : consentement, contrat, obligation légale ou intérêt légitime |
| Information des personnes | Afficher des mentions claires et une politique de confidentialité accessible |
| Minimisation et durée | Ne collecter que le nécessaire et fixer une durée de conservation par traitement |
| Sécurité | Mots de passe forts, MFA, chiffrement des sauvegardes, accès restreints |
| Droits des personnes | Répondre aux demandes d'accès, de rectification et d'effacement sous un mois |
| Sous-traitants | Encadrer par contrat hébergeur, prestataires et logiciels cloud |
Un cas particulier concerne les cookies et traceurs du site internet. Toute TPE ou PME qui utilise des outils de mesure d'audience, de publicité ou de réseaux sociaux doit recueillir le consentement préalable des visiteurs au moyen d'un bandeau conforme, offrant un refus aussi simple que l'acceptation. Cette exigence, régulièrement contrôlée par la CNIL, fait partie intégrante des obligations du RGPD et conditionne la validité de nombreux traitements liés au marketing digital.
La durée de conservation illustre bien la logique du RGPD pour les TPE et PME : les données d'un prospect n'ont pas vocation à être conservées indéfiniment, celles d'un client se conservent le temps de la relation commerciale augmenté des délais légaux, et un CV non retenu ne devrait pas être gardé au-delà de deux ans sans information de la personne. Documenter ces durées dans le registre évite l'accumulation de données dormantes, souvent pointée lors des contrôles.
Reste la question du délégué à la protection des données (DPO). Contrairement à une crainte répandue, sa désignation n'est pas obligatoire pour la majorité des TPE et PME. Elle ne s'impose que dans des cas précis : suivi régulier et à grande échelle des personnes, traitement à grande échelle de données sensibles, ou organisme public. Dans les autres cas, la désignation d'un simple référent interne à la protection des données suffit et reste vivement recommandée pour piloter la mise en conformité.
Réussir sa mise en conformité RGPD : la méthode CNIL en pratique
La mise en conformité d'une petite entreprise n'a rien d'insurmontable lorsqu'elle suit une méthode. La CNIL propose une démarche en quatre étapes qui structure efficacement le RGPD pour les TPE et PME. La première étape consiste à cartographier les traitements : identifier chaque flux de données personnelles dans l'entreprise, du recrutement à la facturation. La deuxième étape aboutit à la constitution du registre, véritable colonne vertébrale de la conformité.
La troisième étape, souvent négligée, consiste à faire le tri : vérifier que les données collectées sont réellement nécessaires, qu'aucune donnée sensible n'est traitée sans droit, que seules les personnes habilitées y accèdent et qu'aucune information n'est conservée au-delà du délai utile. La quatrième étape réunit le respect des droits des personnes et la sécurisation technique et organisationnelle des données. La mise à jour des mentions légales et de la politique de confidentialité sur le site passe souvent par une révision du contenu ; un audit SEO et éditorial de conformité aide à repérer les pages et mentions à actualiser.
Les petites structures ne sont pas seules face à ces exigences. La CNIL met à disposition un guide pratique conçu avec Bpifrance, un modèle de registre, un logiciel libre d'analyse d'impact et un MOOC gratuit pour se former au RGPD. Ces ressources rendent la mise en conformité accessible même sans compétence juridique interne, à condition d'y consacrer un temps régulier plutôt que de tout traiter dans l'urgence d'un contrôle.
Un point mérite une vigilance particulière : la notification des violations de données. En cas de fuite, de piratage ou de perte d'un support, l'entreprise doit notifier la CNIL dans un délai de 72 heures à compter de la découverte de l'incident, et informer les personnes concernées lorsque le risque est élevé. Une procédure interne, même simple, doit donc être anticipée.
Ignorer ces obligations n'est plus un pari tenable. En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de 486,8 millions d'euros, dont une large majorité via une procédure simplifiée qui cible en priorité les structures de petite taille, avec des amendes s'échelonnant de 5 000 à 250 000 euros. Le règlement prévoit deux niveaux d'amendes : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements aux obligations de base, et jusqu'à 20 millions d'euros ou 4 % pour les violations les plus graves. La conformité PME n'est donc pas une formalité, mais un enjeu de gestion des risques à part entière.
La mise en conformité ne doit pas être vécue comme une contrainte administrative isolée. La CNIL et l'Ordre des experts-comptables ont noué un partenariat durable pour accompagner les dirigeants de TPE et PME dans cette démarche, signe que la conformité PME s'inscrit désormais dans la gestion courante de l'entreprise. Au-delà du respect du RGPD, une organisation rigoureuse des données représente un avantage concurrentiel : elle rassure les clients, fluidifie les relations avec les partenaires et valorise l'image de l'entreprise sur son marché.
Questions fréquentes sur le RGPD des TPE et PME
Le RGPD remplace-t-il la loi Informatique et libertés ?
Non, il la complète. Le RGPD est un règlement européen d'application directe, tandis que la loi Informatique et libertés demeure le cadre national. En France, la Commission nationale de l'informatique et des libertés (CNIL) est l'autorité de contrôle chargée de veiller à la protection des données à caractère personnel. Toute TPE ou PME, en tant que responsable du traitement, doit respecter ces deux textes relatifs à la protection des données personnelles.
Qu'est-ce qu'une donnée à caractère personnel et un traitement ?
Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable, la personne concernée. Le traitement des données désigne toute opération portant sur ces données : collecte, enregistrement, conservation ou utilisation. Les traitements de données à caractère personnel doivent répondre à des finalités déterminées et ne porter que sur les données strictement nécessaires.
Quelle différence entre responsable du traitement et sous-traitant ?
Le responsable du traitement est celui qui détermine les finalités et les moyens du traitement des données personnelles. Le sous-traitant, tel qu'un hébergeur ou un éditeur de logiciel, traite les données pour son compte. Les deux sont soumis au règlement européen et doivent formaliser leurs obligations par contrat, notamment les mesures techniques et organisationnelles appropriées.
Quels droits le RGPD garantit-il aux personnes concernées ?
Le RGPD protège les droits et libertés des personnes physiques. Chaque personne concernée dispose d'un droit d'accès, de rectification, d'effacement, d'opposition et de portabilité sur leurs données. Une TPE ou PME doit répondre à ces demandes dans un délai d'un mois et garantir en permanence la protection des données personnelles qu'elle détient.
Combien de temps conserver les données et selon quelles règles ?
La conservation des données doit être limitée à la durée nécessaire aux finalités poursuivies. Les données traitées ne peuvent être conservées indéfiniment : au-delà du délai utile, elles doivent être supprimées ou archivées. Documenter ces durées dans le registre des traitements fait partie des mesures organisationnelles attendues.
Le RGPD encadre-t-il le profilage et les transferts de données ?
Oui. Le profilage, qui consiste à évaluer automatiquement une personne physique, est strictement encadré et suppose une information claire. Les transferts de données à caractère personnel hors de l'Union européenne ne sont possibles que vers des pays offrant des garanties appropriées. L'autorité de contrôle peut sanctionner tout manquement relatif à la protection des données.
Que faire en cas de violation de données personnelles ?
En cas de violation affectant des données à caractère personnel, le responsable du traitement doit notifier la Commission nationale de l'informatique et des libertés dans un délai de 72 heures, et informer les personnes concernées lorsque leurs droits et libertés sont menacés. Des mesures techniques et organisationnelles appropriées réduisent ce risque.
Cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Pour toute question relative à votre situation, il est recommandé de consulter un professionnel du droit qualifié.
Faire entendre votre expertise au bon endroit
Tribunes, partenariats éditoriaux, mises en avant ciblées : découvrez les formules qui permettent à votre voix de rencontrer notre lectorat.
