Vous gérez un fichier clients, vous envoyez des newsletters, vous avez des salariés, vous utilisez une caméra dans vos locaux ? Alors vous traitez des données personnelles, et le RGPD vous concerne pleinement. Pourtant, selon le Baromètre France Num 2025, seulement 41 % des TPE/PME tiennent un registre des activités de traitement, alors que cette obligation s’applique à toutes les entreprises sans exception de taille. Ce guide vous explique, sans jargon juridique, ce que le RGPD vous impose concrètement et comment vous y conformer étape par étape.
RGPD : définition et principes fondamentaux
Le RGPD, ou Règlement Général sur la Protection des Données, est le règlement européen n° 2016/679 du 27 avril 2016. Entré en application le 25 mai 2018 dans l’ensemble des États membres de l’Union européenne, il a remplacé la directive 95/46/CE datant de 1995. Contrairement à une directive, un règlement s’applique directement, sans transposition nationale. En France, il est complété par la loi Informatique et Libertés du 6 janvier 1978 (modifiée en 2018) et supervisé par la CNIL (Commission Nationale de l’Informatique et des Libertés).
Son objectif principal : renforcer les droits des personnes physiques sur leurs données personnelles, tout en harmonisant les règles au sein de l’UE pour créer un cadre juridique unique. Il introduit également le principe d’accountability, c’est-à-dire l’obligation de rendre des comptes et de prouver sa conformité.
Les 7 principes fondamentaux du RGPD (article 5)
L’article 5 du règlement pose les principes que toute organisation doit respecter lors du traitement de données personnelles :
Ces principes s’appliquent à vous, dirigeant de TPE/PME, dès lors que vous collectez le nom d’un client, l’adresse email d’un prospect ou les coordonnées bancaires d’un fournisseur.
Qui est concerné et quelles données sont protégées ?
Toutes les entreprises, sans exception de taille
Le critère n’est pas la taille de votre structure, mais le fait que vous traitez des données personnelles. Une micro-entreprise d’un seul salarié qui gère un fichier clients est soumise au RGPD au même titre qu’un grand groupe. Sont également concernés les associations, les professions libérales (médecins, avocats, comptables) et les sous-traitants qui traitent des données pour le compte d’un responsable de traitement.
Le RGPD s’applique aussi aux entreprises établies hors de l’UE dès lors qu’elles ciblent des résidents européens. L’amende de 150 millions d’euros infligée à SHEIN par la CNIL en 2025 illustre parfaitement ce principe : la marque chinoise déposait des traceurs publicitaires avant toute interaction de l’utilisateur, et sa localisation hors UE ne l’a pas protégée.
Qu’est-ce qu’une donnée personnelle ?
Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne physique : nom, prénom, adresse email, numéro de téléphone, adresse IP, données de localisation, numéro de client, photo, etc. La définition est large : une plaque d’immatriculation, un identifiant en ligne ou même une combinaison d’informations anodines prises isolément peut constituer une donnée personnelle.
Exemples concrets pour une TPE/PME :
Les données sensibles : une catégorie à part
L’article 9 du RGPD interdit en principe le traitement de certaines catégories de données dites « sensibles », qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques, les données biométriques, les données de santé, ou celles relatives à la vie sexuelle ou à l’orientation sexuelle.
Pour une TPE/PME, ces données sensibles peuvent apparaître dans des contextes inattendus : les arrêts maladie de vos salariés (données de santé), les informations recueillies lors d’un entretien d’embauche, ou encore les images d’un système de reconnaissance faciale à l’entrée de vos locaux. Leur traitement est soumis à des conditions strictement encadrées et requiert généralement le consentement explicite de la personne concernée.
Les 6 bases légales du traitement
Tout traitement de données personnelles doit reposer sur l’une des six bases légales prévues par l’article 6 du RGPD. La liste est limitative : si aucune ne s’applique, le traitement est interdit. Le choix de la base légale doit être effectué avant le début du traitement et documenté dans votre registre.
1. Le consentement (art. 6.1.a)
La personne a donné son accord de manière libre, spécifique, éclairée et univoque. Le consentement doit pouvoir être retiré aussi facilement qu’il a été donné. C’est la base à utiliser pour les newsletters, les cookies non essentiels, ou la prospection commerciale par email en B2C.
Exemple concret : Votre formulaire d’inscription à la newsletter doit comporter une case à cocher non pré-cochée, avec une mention claire sur l’utilisation des données.
2. L’exécution d’un contrat (art. 6.1.b)
Le traitement est nécessaire à l’exécution d’un contrat auquel la personne est partie. C’est la base naturelle pour la gestion de votre relation client, la facturation, la livraison, ou la gestion de la paie de vos salariés.
Exemple concret : Vous collectez l’adresse de livraison de votre client pour lui envoyer sa commande. Pas besoin de consentement supplémentaire.
3. L’obligation légale (art. 6.1.c)
Le traitement est imposé par une loi ou une réglementation. C’est la base utilisée pour la conservation des bulletins de salaire, des factures (10 ans en matière comptable), ou les déclarations fiscales et sociales.
Exemple concret : Vous conservez les fiches de paie de vos salariés pendant 5 ans minimum, conformément au Code du travail.
4. La sauvegarde des intérêts vitaux (art. 6.1.d)
Cas d’usage exceptionnel, limité aux situations d’urgence médicale où la personne est dans l’incapacité de consentir.
5. La mission d’intérêt public (art. 6.1.e)
Réservée aux autorités publiques et organismes chargés d’une mission de service public. Ne s’applique pas aux entreprises privées classiques.
6. L’intérêt légitime (art. 6.1.f)
Le responsable de traitement poursuit un intérêt légitime, à condition que les droits et libertés fondamentaux de la personne ne prévalent pas. Cette base est flexible mais exige un « triple test » documenté : l’intérêt est-il légitime ? Le traitement est-il nécessaire ? Les droits de la personne ne prévalent-ils pas ?
Exemples concrets validés par la CNIL : la prospection commerciale B2B auprès de clients existants, la prévention de la fraude, la sécurité informatique, la vidéosurveillance proportionnée des locaux.
Attention : la CNIL a sanctionné plusieurs entreprises pour avoir invoqué l’intérêt légitime à tort, notamment pour justifier une surveillance permanente des salariés ou des campagnes de prospection à partir de fichiers achetés à des data brokers.
Les droits des personnes
Le RGPD confère aux individus huit droits fondamentaux sur leurs données personnelles (chapitre III du règlement). En tant que responsable de traitement, vous devez être en mesure de les respecter et d’y répondre dans un délai d’un mois à compter de la réception de la demande.
Droit d’accès (art. 15) : toute personne peut demander confirmation que vous traitez ses données et en obtenir une copie. Réponse obligatoire dans le délai d’un mois.
Droit de rectification (art. 16) : la personne peut exiger la correction de données inexactes ou incomplètes. Mettez à jour votre fichier clients dès qu’un client vous signale un changement d’adresse.
Droit à l’effacement (« droit à l’oubli », art. 17) : la personne peut demander la suppression de ses données dans certaines conditions (retrait du consentement, données plus nécessaires, traitement illicite). Ce droit n’est pas absolu : il ne s’applique pas si vous avez une obligation légale de conservation.
Droit à la portabilité (art. 20) : la personne peut récupérer ses données dans un format structuré et lisible par machine pour les transmettre à un autre prestataire. Ce droit s’applique uniquement aux traitements fondés sur le consentement ou le contrat.
Droit à la limitation (art. 18) : la personne peut demander le gel temporaire du traitement de ses données, par exemple pendant la vérification de leur exactitude.
Droit d’opposition (art. 21) : la personne peut s’opposer à un traitement, notamment à des fins de prospection commerciale. Ce droit est absolu en matière de prospection : vous devez cesser immédiatement.
Droit lié aux décisions automatisées (art. 22) : la personne ne peut pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé (scoring, profilage) produisant des effets juridiques significatifs, sans intervention humaine.
Droit à l’information (art. 13-14) : toute personne doit être informée de la collecte et de l’utilisation de ses données, au moment de la collecte.
Comment gérer ces demandes en pratique ? Désignez une adresse email dédiée (ex. : rgpd@votreentreprise.fr), consignez chaque demande avec sa date de réception, et documentez votre réponse. La CNIL a sanctionné en 2026 des TPE et des cabinets médicaux non pas pour le manquement initial, mais parce qu’ils n’avaient jamais répondu aux demandes des personnes concernées. Le silence constitue un manquement autonome.
Vos obligations concrètes : registre des traitements, information, sécurité, sous-traitants
Le registre des activités de traitement (art. 30)
C’est votre document central de conformité. Toutes les entreprises, quelle que soit leur taille, ont l’obligation de tenir ce registre. L’idée reçue selon laquelle les entreprises de moins de 250 salariés en sont dispensées est fausse : la dérogation ne porte que sur quelques cas très spécifiques de traitements occasionnels et sans risque, pas sur l’obligation générale.
Pour une TPE/PME, ce registre peut prendre la forme d’un simple tableau listant, pour chaque activité de traitement :
La CNIL met à disposition un modèle de registre simplifié adapté aux petites structures.
L’obligation d’information
Vous devez informer les personnes concernées au moment de la collecte de leurs données. Cette information peut figurer dans :
L’information doit être claire, accessible et rédigée en français. La CNIL a sanctionné une entreprise pour avoir fourni sa politique de confidentialité uniquement en anglais.
L’obligation de sécurité (art. 32)
Vous devez mettre en place des mesures techniques et organisationnelles appropriées pour protéger les données. Pour une TPE/PME, cela signifie concrètement :
L’encadrement des sous-traitants (art. 28)
Tout prestataire qui traite des données pour votre compte (hébergeur, logiciel de facturation, expert-comptable, agence marketing) est un sous-traitant au sens du RGPD. Vous devez conclure avec lui un contrat écrit comportant des clauses spécifiques sur la protection des données : finalités du traitement, mesures de sécurité, obligation de confidentialité, sort des données en fin de contrat.
Exemple concret : Si vous utilisez un logiciel CRM en mode SaaS pour gérer vos clients, vérifiez que l’éditeur propose un contrat de traitement des données (DPA) conforme au RGPD.
DPO, analyse d’impact (AIPD) : dans quels cas ?
Le Délégué à la Protection des Données (DPO)
La désignation d’un DPO est obligatoire dans trois cas précis (art. 37 RGPD) :
Pour la grande majorité des TPE/PME, le DPO n’est donc pas obligatoire. Cependant, il est fortement conseillé de désigner en interne un « référent RGPD », c’est-à-dire une personne responsable du suivi de la conformité, même sans titre officiel. Cette personne peut être vous-même, un salarié, ou un prestataire externe.
L’Analyse d’Impact relative à la Protection des Données (AIPD)
L’AIPD (ou DPIA en anglais) est obligatoire avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes (art. 35 RGPD). La CNIL a publié une liste de neuf catégories de traitements pour lesquels une AIPD est systématiquement requise.
Cas concrets où une TPE/PME peut être concernée :
Si vous n’êtes pas dans ces cas, l’AIPD n’est pas obligatoire. Mais une évaluation proportionnée des risques reste une bonne pratique.
La mise en conformité en 7 étapes pour une TPE/PME
Voici un plan d’action concret, sans jargon, pour vous mettre en conformité.
Étape 1 : Désigner un référent RGPD
Nommez une personne (vous-même ou un salarié) chargée de piloter la conformité. Cette personne sera le point de contact pour les demandes d’exercice des droits et les éventuels contrôles de la CNIL.
Étape 2 : Cartographier vos traitements et constituer votre registre
Listez toutes les activités pour lesquelles vous collectez des données : fichier clients, gestion des salariés, newsletter, formulaire de contact, vidéosurveillance, comptabilité. Pour chacune, renseignez les informations requises par l’article 30. Appuyez-vous sur le modèle simplifié de la CNIL disponible sur cnil.fr.
Étape 3 : Vérifier et documenter vos bases légales
Pour chaque traitement listé dans votre registre, identifiez la base légale applicable. Documentez ce choix. Si vous n’arrivez pas à identifier de base légale valide, vous devez cesser ce traitement.
Étape 4 : Mettre en place vos obligations d’information
Rédigez ou mettez à jour votre politique de confidentialité, vos mentions d’information sur vos formulaires, et les clauses RGPD dans vos contrats de travail. Installez un bandeau cookies conforme sur votre site web si vous utilisez des traceurs.
Étape 5 : Sécuriser vos données
Faites un audit rapide de vos pratiques de sécurité : mots de passe, accès aux fichiers, sauvegardes, mises à jour. Corrigez les failles identifiées. Formez vos collaborateurs aux bonnes pratiques.
Étape 6 : Encadrer vos sous-traitants
Listez tous vos prestataires qui traitent des données pour votre compte. Vérifiez que vous avez conclu avec chacun un contrat de traitement des données conforme à l’article 28 du RGPD.
Étape 7 : Mettre en place une procédure de gestion des droits et des violations
Créez une adresse email dédiée aux demandes RGPD. Tenez un journal des demandes reçues et des réponses apportées. Préparez une procédure de notification en cas de violation de données : vous avez 72 heures pour notifier la CNIL et, si le risque est élevé, informer les personnes concernées.
Violations de données et sanctions : ce que vous risquez vraiment
La notification des violations de données (art. 33-34)
En cas de violation de données (piratage, perte d’un ordinateur, envoi d’un email à la mauvaise personne, accès non autorisé à votre fichier clients), vous avez l’obligation de notifier la CNIL dans les 72 heures suivant la découverte de l’incident. Si la violation est susceptible d’engendrer un risque élevé pour les personnes concernées, vous devez également les en informer directement.
La notification se fait sur le portail de la CNIL (notifications.cnil.fr). Même si vous n’êtes pas certain de la gravité de l’incident, il vaut mieux notifier et documenter votre analyse.
Les sanctions : deux niveaux d’amendes
Le RGPD prévoit un régime de sanctions à deux niveaux :
Niveau 1 (art. 83.4) : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les manquements techniques (registre absent, notification tardive, AIPD non réalisée).
Niveau 2 (art. 83.5) : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les violations des droits fondamentaux, du consentement ou des transferts internationaux.
La réalité des sanctions pour les TPE/PME
Les grandes amendes font la une des journaux, mais la réalité statistique touche aussi les petites structures. En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de 486,8 millions d’euros, et plus de 60 % des sanctions visaient des PME. En 2026, sur les 23 premières sanctions prononcées en procédure simplifiée, la quasi-totalité ciblait des TPE, des cabinets médicaux et des cabinets d’avocats.
La procédure simplifiée, créée en 2022, permet à la CNIL de sanctionner rapidement les manquements courants avec des amendes allant jusqu’à 20 000 euros, sans audience publique. Pour un cabinet de cinq personnes, 10 000 euros représentent souvent la marge d’un trimestre entier.
Les manquements les plus fréquemment sanctionnés chez les TPE/PME :
Ce dernier point mérite une attention particulière : le silence face à la CNIL constitue un manquement autonome prévu par l’article 31 du RGPD, et c’est souvent lui qui transforme un dossier banal en sanction aggravée.
FAQ : vos questions sur le RGPD
Mon entreprise a moins de 10 salariés, suis-je vraiment concerné par le RGPD ?
Oui, sans exception. Le RGPD s’applique à toute organisation qui traite des données personnelles, quelle que soit sa taille. Dès lors que vous gérez un fichier clients, que vous avez des salariés ou que vous utilisez un formulaire de contact sur votre site web, vous êtes soumis au RGPD. La procédure simplifiée de la CNIL cible précisément les petites structures, et les décisions de 2026 concernent majoritairement des TPE et des professions libérales.
Dois-je obligatoirement nommer un DPO ?
Non, pour la grande majorité des TPE/PME. La désignation d’un DPO n’est obligatoire que pour les organismes publics, ceux qui traitent des données sensibles à grande échelle, ou ceux dont l’activité principale consiste à surveiller des personnes de façon systématique et à grande échelle. En revanche, il est vivement conseillé de désigner un référent RGPD interne, même informellement.
Combien de temps dois-je conserver les données de mes clients ?
Il n’existe pas de durée universelle : elle dépend de la finalité du traitement. Pour la gestion commerciale, la CNIL recommande de conserver les données des clients actifs pendant la durée de la relation commerciale, puis 3 ans à des fins de prospection après la fin de cette relation. Les factures doivent être conservées 10 ans pour des raisons comptables et fiscales. Les données des candidats non retenus ne doivent pas être conservées plus de 2 ans. Documentez ces durées dans votre registre.
Que faire si je reçois une demande d’effacement de la part d’un client ?
Vous devez y répondre dans un délai d’un mois. Si la demande est légitime (le client retire son consentement, les données ne sont plus nécessaires), vous devez supprimer ses données de vos fichiers actifs. Attention : si vous avez une obligation légale de conservation (ex. : factures à conserver 10 ans), vous pouvez refuser l’effacement pour cette partie des données, mais vous devez en informer clairement le client. Documentez systématiquement votre réponse.
Gérer la conformité RGPD implique de centraliser et sécuriser les données de vos clients, de vos prospects et de vos équipes. Djaboo, le logiciel CRM tout-en-un conçu pour les TPE/PME françaises, vous aide à organiser votre relation client, votre facturation et vos projets en un seul endroit sécurisé, avec des accès maîtrisés et une traçabilité des données facilitée. Pour en savoir plus, rendez-vous sur [djaboo.com](https://djaboo.com).
