RGPD en PME : par où commencer sa mise en conformité

Le RGPD s’applique à toute PME qui traite des données personnelles, sans seuil d’effectif ni exception de taille. Trois obligations structurent la démarche : recenser vos traitements dans un registre, justifier une base légale pour chacun, savoir répondre aux personnes qui exercent leurs droits. Le reste découle de ces trois-là.

L’idée que le régulateur ne regarderait que les grands groupes ne résiste plus aux chiffres. Dans son bilan des sanctions 2025, la CNIL fait état de 259 décisions sur l’année : 83 sanctions, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements. Sur ces 83 sanctions, 67 relèvent de la procédure simplifiée, celle qui traite les dossiers courants avec un montant plafonné à 20 000 euros par décision. Cette voie vise des structures de votre taille.

La question n’est pas votre effectif, c’est votre activité

Le règlement européen 2016/679, applicable depuis le 25 mai 2018, ignore la notion de petite entreprise. Il s’attache au rôle : dès qu’un organisme détermine les finalités et les moyens d’un traitement de données personnelles, il devient responsable de traitement, qu’il compte trois salariés ou trois mille.

Une PME persuadée de ne rien traiter en traite pourtant tous les jours. Bulletin de paie, badge d’accès, caméra du dépôt, candidatures reçues, carnet d’adresses commercial : chacun de ces éléments est un traitement au sens du texte.

• Les fichiers du personnel, de la paie aux entretiens annuels
• Le fichier clients et prospects, y compris sous forme de simple tableur
• Les journaux de connexion, badges et images de vidéosurveillance
• Les candidatures spontanées et les CV gardés « au cas où »
• Les contacts nominatifs chez vos fournisseurs et partenaires

Le support ne change rien à l’affaire. La CNIL rappelle que le règlement couvre également les fichiers papier structurés : un classeur de dossiers du personnel rangé par nom obéit aux mêmes règles qu’une base de données. La loi Informatique et Libertés du 6 janvier 1978, refondue pour s’articuler avec le règlement, complète ce socle en droit français et fixe les pouvoirs de contrôle de la CNIL.

Un réflexe reste à corriger : la conformité ne se sous-traite pas à un logiciel. Un éditeur vous fournit un outil conforme, jamais une conformité clé en main.

Le registre des traitements, premier document réclamé en contrôle

L’article 30 du règlement impose la tenue d’un registre des activités de traitement. Le texte prévoit une dérogation pour les organismes de moins de 250 salariés, sauf lorsque le traitement risque de porter atteinte aux droits des personnes, qu’il n’est pas occasionnel, ou qu’il concerne des données sensibles ou relatives à des condamnations pénales.

Lisez cette formulation de près. Une paie mensuelle n’a rien d’occasionnel. Un fichier clients alimenté toute l’année non plus. La dérogation tombe dès le premier traitement régulier, ce qui la rend inopérante pour la quasi-totalité des PME. La CNIL recommande d’ailleurs le registre des traitements à tout organisme, quelle que soit sa taille, et met à disposition un modèle simplifié pensé pour les petites structures.

Ce qu’une ligne de registre doit dire

• La finalité poursuivie, en langage clair : « gérer la paie », pas « ressources humaines »
• Les catégories de personnes concernées et les catégories de données traitées
• La base légale retenue pour ce traitement précis
• Les destinataires, internes comme externes, sous-traitants compris
• La durée de conservation, chiffrée, et le sort des données à l’échéance
• Les transferts éventuels hors Union européenne et leur encadrement juridique

Ce document n’est pas une formalité à déposer quelque part : c’est votre inventaire de travail. Il fait remonter les doublons, les exports oubliés sur un poste, les durées jamais fixées, les accès accordés à des prestataires partis depuis longtemps. Rien ne se corrige avant d’avoir été recensé. Ces durées gagnent à s’aligner sur votre politique d’archivage des documents, calée sur les mêmes échéances légales.

Chaque traitement repose sur une base légale, et une seule

L’article 6 du RGPD énumère six fondements possibles. Aucun traitement ne se passe de l’un d’eux, et vous devez en choisir un par finalité, avant la collecte, sans changer d’avis en cours de route pour arranger un dossier.

• L’obligation légale : paie, déclarations sociales, registre du personnel
• L’exécution du contrat : gestion d’une commande, d’une livraison, d’un abonnement
• L’intérêt légitime : sécurité des locaux, gestion des impayés, prospection entre professionnels
• Le consentement : newsletter, cookies non essentiels, témoignages clients
• La sauvegarde des intérêts vitaux et la mission d’intérêt public, marginales en entreprise

Le consentement est le fondement le plus fragile, parce qu’il doit être libre, spécifique, éclairé, univoque et aussi facile à retirer qu’à donner. Une case précochée ne vaut rien. Un consentement groupé pour cinq finalités différentes non plus.

L’intérêt légitime demande de son côté un raisonnement écrit : votre intérêt, la nécessité du traitement, l’équilibre avec les droits des personnes. Cette mise en balance se documente, ne serait-ce qu’en quelques lignes dans le registre, parce qu’un contrôleur vous demandera de la produire.

Prospection commerciale : où passe exactement la frontière

Vers un particulier, l’article L34-5 du Code des postes et des communications électroniques impose un consentement préalable pour toute prospection par courriel, sauf si la personne est déjà cliente et que le message porte sur un produit analogue. Vers un professionnel sur son adresse professionnelle, l’intérêt légitime suffit, à deux conditions : l’informer au moment de la collecte et lui offrir un moyen simple de s’opposer dès le premier message. L’objet doit rester en rapport avec sa fonction.

Cette distinction structure toute votre base de contacts. Une PME qui monte des scénarios de marketing automation segmente ses listes selon la base légale d’origine, jamais selon le seul critère commercial. Mélanger les deux populations dans une même campagne fait basculer l’ensemble dans le régime le plus strict.

Répondre aux personnes dans le mois

Les articles 15 à 22 du règlement ouvrent une série de droits à toute personne dont vous détenez les données : accès, rectification, effacement, limitation, portabilité, opposition, sans oublier le droit de ne pas faire l’objet d’une décision entièrement automatisée. Vos salariés en bénéficient au même titre que vos clients.

L’article 12 fixe le tempo : réponse dans un délai d’un mois à compter de la demande, prolongeable de deux mois en cas de complexité, à condition d’en informer la personne dans le premier mois. La démarche est gratuite. Une demande manifestement infondée ou excessive peut être refusée, mais la charge de la preuve pèse sur vous.

Trois réflexes évitent la majeure partie des incidents. Publiez un canal d’entrée unique et visible, adresse dédiée ou formulaire, au lieu de laisser les demandes arriver sur cinq boîtes différentes. Vérifiez l’identité du demandeur sans réclamer plus que nécessaire. Tracez chaque demande avec sa date d’arrivée, puisque le droit d’accès se compte en jours.

Le droit à l’effacement connaît des limites que beaucoup ignorent. Une facture ne s’efface pas à la demande d’un client : le Code de commerce impose de la conserver, et l’obligation légale prime. Expliquez alors ce qui reste conservé, sur quel fondement et pour combien de temps, au lieu de promettre une suppression impossible à tenir.

Vos prestataires traitent vos données, vous en répondez

Votre logiciel de paie, votre hébergeur, votre agence de recrutement, votre plateforme d’emailing agissent pour votre compte : ce sont des sous-traitants au sens de l’article 28. Le règlement exige un contrat de sous-traitance écrit, dont le contenu minimal est énuméré par ce même article.

• L’objet, la durée, la nature et la finalité du traitement confié
• Le type de données et les catégories de personnes concernées
• L’obligation d’agir sur instruction documentée du responsable de traitement
• La confidentialité imposée aux personnes autorisées à traiter les données
• L’assistance à fournir pour les droits des personnes et les violations
• Le sort des données en fin de contrat : restitution ou suppression
• L’autorisation préalable avant tout recours à un sous-traitant ultérieur

Le dernier point mérite votre attention. Votre prestataire s’appuie très probablement sur d’autres prestataires, hébergement et sauvegarde en tête, et cette chaîne reste invisible tant que vous ne la demandez pas. Réclamez la liste et la localisation des serveurs : un transfert vers un pays tiers exige un encadrement spécifique, clauses contractuelles types de la Commission européenne le plus souvent.

Cette exigence donne une raison supplémentaire de rationaliser vos outils collaboratifs. Chaque service souscrit hors du circuit officiel est un sous-traitant sans contrat, donc un manquement documenté. Le sujet vaut aussi pour les usages d’intelligence artificielle en PME : verser un fichier clients dans un service en ligne pour le faire analyser constitue un transfert de données.

Fuite de données : la fenêtre de soixante-douze heures

L’article 33 impose de notifier toute violation de données personnelles à la CNIL dans les 72 heures suivant sa découverte, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Passé ce délai, la notification reste possible mais doit être motivée.

Le mot « violation » couvre plus large que le piratage : un courriel envoyé au mauvais destinataire avec un fichier de paie en pièce jointe, un ordinateur portable perdu, une corbeille vidée par erreur sans sauvegarde entrent tous dans la définition. Quand le risque est élevé, l’article 34 ajoute une information directe des personnes concernées.

Une obligation passe souvent inaperçue : documentez toutes les violations dans un registre interne, y compris celles que vous décidez de ne pas notifier, avec les faits, les effets et les mesures prises. Ce document sert précisément à justifier cette décision.

DPO, référent, feuille de route : qui porte le dossier

L’article 37 rend la désignation d’un délégué à la protection des données obligatoire dans trois hypothèses : organisme public, suivi régulier et systématique de personnes à grande échelle, traitement à grande échelle de données sensibles ou relatives à des condamnations pénales. L’effectif n’entre pas dans l’équation : une PME de quinze personnes bâtie sur le profilage peut y être tenue quand une entreprise de deux cents salariés ne l’est pas.

Hors de ces cas, la CNIL recommande un référent RGPD interne, sans les garanties statutaires du délégué mais avec un mandat clair et du temps réellement alloué. Une conformité qui ne figure sur la fiche de poste de personne s’arrête au premier trimestre chargé.

L’article 35 ajoute une analyse d’impact avant tout traitement susceptible d’engendrer un risque élevé, la CNIL publiant la liste des opérations qui y sont soumises. Un dispositif biométrique d’accès y figure, quand un fichier clients ordinaire n’a rien à y faire.

La séquence qui fonctionne dans une petite structure tient en quatre temps : désigner la personne responsable, construire le registre traitement par traitement, corriger les écarts les plus visibles, instaurer une revue annuelle. Le principe de minimisation guide chacune de ces étapes : moins de données collectées, moins de durées à justifier, moins de surface exposée en cas d’incident.

Les cinq écarts que les contrôles révèlent

• Un registre absent, ou rédigé une fois puis jamais remis à jour
• Des durées de conservation illimitées, avec des fichiers clients de 2011 encore actifs
• Une mention d’information réduite à une phrase sur le formulaire de contact
• Aucun contrat de sous-traitance signé avec l’hébergeur ou le prestataire de paie
• Des demandes d’exercice de droits laissées sans réponse au-delà du mois

Le bilan 2025 de la CNIL confirme la banalité de ces motifs : les dossiers de la procédure simplifiée portent sur des défauts de sécurité, des atteintes aux droits des personnes et des défauts de coopération, tandis que 21 organismes ont été sanctionnés au titre des cookies et traceurs et 16 pour une surveillance vidéo excessive de leurs salariés.

Un mot sur la coopération, sous-estimée par les petites structures. Un courrier de la CNIL laissé sans réponse aggrave le dossier, quand une réponse même imparfaite, accompagnée d’un calendrier de correction, oriente vers la mise en demeure plutôt que vers l’amende. Les 143 mises en demeure de 2025 restent le débouché le plus courant d’un contrôle.

Prochaine étape : ouvrez un tableur, listez vos dix traitements les plus évidents, une ligne chacun, et renseignez la finalité, la base légale et la durée de conservation. Les cases que vous ne saurez pas remplir dessinent exactement votre plan de travail des trois prochains mois.