“RGPD” : deux mots qui font fuir la moitié des chefs d’entreprise et obsèdent l’autre moitié. La réalité pour une TPE de moins de 10 salariés avec une activité simple ? Moins compliqué qu’on ne le croit.
Voici ce que vous devez vraiment faire — et ce que vous pouvez laisser aux grands groupes.
Rappel : qu’est-ce que le RGPD protège ?
Le RGPD (Règlement Général sur la Protection des Données, en vigueur depuis 2018) protège les données personnelles : toute information permettant d’identifier une personne physique.
Exemples : nom, adresse email, numéro de téléphone, adresse IP, photo, données de localisation.
Si vous collectez un seul de ces éléments (formulaire de contact, liste clients, fichier salariés), vous êtes concerné.
Ce qui est vraiment obligatoire pour une TPE
1. Tenir un registre des traitements
C’est l’obligation de base. Vous devez savoir et documenter :
- Quelles données vous collectez
- Pourquoi (la “base légale”)
- Combien de temps vous les gardez
- Qui y a accès
En pratique : un tableur suffit. Un modèle officiel est disponible sur le site de la CNIL.
Exemple de traitement simple :
| Traitement | Données | Base légale | Durée |
|---|---|---|---|
| Gestion clients | Nom, email, tel, adresse | Exécution du contrat | 5 ans après fin relation |
| Formulaire contact | Nom, email, message | Intérêt légitime | 3 ans |
| Fichier salariés | Données RH complètes | Obligation légale | Durée contrat + 5 ans |
2. Afficher une politique de confidentialité sur votre site
Si vous avez un formulaire de contact, une newsletter, ou un formulaire de commande, vous devez informer les visiteurs de :
- Qui collecte leurs données (vous, avec votre SIRET)
- Pourquoi
- Combien de temps
- Comment exercer leurs droits
En pratique : une page “/politique-de-confidentialite” suffisamment détaillée. Inutile de faire 30 pages de jargon juridique — la CNIL préfère un texte clair et lisible.
3. Obtenir le consentement pour les cookies non essentiels
Si votre site utilise Google Analytics, des boutons de partage réseaux sociaux, ou des publicités : vous devez afficher un bandeau de consentement cookies avant de les activer.
Exception : si votre site n’utilise que des cookies techniques (session, panier, authentification) et une solution analytics respectueuse de la vie privée (Matomo en mode sans cookie, par exemple), vous pouvez vous en passer.
4. Répondre aux demandes de vos clients/prospects
Toute personne dont vous détenez des données peut vous demander :
- D’accéder à ses données
- De les corriger
- De les effacer
- De les recevoir dans un format portable
En pratique : vous avez 30 jours pour répondre à ces demandes. Une adresse email dédiée (support@votreentreprise.fr) et un processus simple suffisent.
5. Notifier la CNIL en cas de violation de données
Si vos données sont volées, perdues ou accessibles par erreur (ransomware, clé USB perdue, base de données piratée) : vous avez 72 heures pour notifier la CNIL sur leur portail.
Si la violation est susceptible d’affecter directement les personnes concernées (données de santé, données financières), vous devez également les prévenir.
Ce qui n’est pas obligatoire pour la plupart des TPE
Le DPO (Délégué à la Protection des Données)
Obligatoire uniquement pour :
- Les organismes publics
- Les entreprises traitant à grande échelle des données sensibles (santé, croyances, condamnations pénales)
- Les entreprises dont le cœur de métier est la surveillance systématique
Une TPE commerciale ou artisanale n’en a pas besoin.
L’analyse d’impact (AIPD / PIA)
Obligatoire uniquement si vous traitez des données à “risque élevé” : données de santé à grande échelle, surveillance systématique, profilage.
Un fichier clients d’artisan n’en a pas besoin.
La certification ISO 27001
Utile pour les prestataires IT et les entreprises qui veulent rassurer des clients exigeants, mais non obligatoire.
Les erreurs classiques des TPE
Garder des données “au cas où” : si vous n’avez pas de raison documentée de conserver des données, effacez-les. La règle de minimisation dit que vous ne collectez que ce dont vous avez besoin, aussi longtemps que vous en avez besoin.
Partager un fichier clients par email : si vous envoyez votre liste clients à un prestataire externe (imprimeur, commercial externe), un accord de traitement de données est nécessaire.
Ne pas sécuriser le fichier salariés : un fichier Excel avec les données RH de vos salariés sur un partage réseau accessible à tout le monde, c’est une violation en attente d’arriver.
Oublier les anciens prestataires : si vous changez de logiciel et que vos données sont encore chez l’ancien fournisseur, demandez leur effacement par écrit.
Par où commencer si vous partez de zéro ?
- Inventoriez vos traitements : où sont vos données clients ? Salariés ? Prospects ? Dans quel logiciel ? Sous quelle forme ?
- Créez le registre (tableur CNIL ou outil simple)
- Rédigez (ou mettez à jour) votre politique de confidentialité sur votre site
- Vérifiez vos consentements : newsletter, cookies, formulaires
- Formalisez un processus pour répondre aux demandes de droits
Comptez une demi-journée de travail pour une TPE avec une activité simple. Pas 6 mois de projet.
Et si vous avez un site web ?
C’est là que se concentrent souvent les lacunes : formulaire de contact sans mention RGPD, bandeau cookies absent, analytics non configuré correctement.
On intègre systématiquement les mentions légales, la politique de confidentialité et la gestion des cookies dans les sites qu’on crée. Si vous avez un site existant non conforme, un audit rapide permet de corriger l’essentiel.
Contactez-nous pour une vérification — on regarde votre situation et on vous indique les points à corriger en priorité.
Ce contenu est informatif et ne constitue pas un conseil juridique. Pour des situations complexes, consultez un avocat spécialisé en droit du numérique.