Huit ans après son entrée en application, le RGPD reste pour beaucoup de PME un chantier ouvert « qu'on finira un jour ». Pourtant, une mise en conformité solide tient moins à la quantité de documents qu'à quelques décisions bien prises et bien tracées. Voici une démarche en étapes, applicable que vous dirigiez un cabinet d'expertise, une entreprise de BTP ou une boutique en ligne.
Commencer par une cartographie honnête
Réunissez une heure les responsables de chaque service (commercial, RH, comptabilité, informatique) et posez trois questions : quelles données personnelles traitez-vous, dans quels outils, et qui y a accès ? Le résultat est souvent instructif : un fichier Excel de prospects partagé par toute l'équipe commerciale, des CV qui dorment dans une boîte mail, un vieil export de clients sur une clé USB.
Cette cartographie alimente directement le registre des activités de traitement. Même sous le seuil de 250 salariés, une PME doit le tenir pour tous ses traitements non occasionnels, ce qui couvre la paie, la gestion des clients ou le recrutement. La CNIL met à disposition un modèle simplifié pour les petites structures. Un registre de dix à quinze lignes bien remplies vaut mieux qu'un document de cinquante pages que personne n'ouvre.
Profitez-en pour vérifier un point d'actualité : depuis le 1er septembre 2026, toutes les entreprises doivent être en mesure de recevoir des factures électroniques, et les PME devront aussi les émettre à partir du 1er septembre 2027. La CNIL rappelle que le RGPD s'applique dès qu'une facture contient des informations sur une personne physique, par exemple un client entrepreneur individuel domicilié chez lui. Votre nouvelle plateforme de facturation a donc sa place dans la cartographie.
Choisir la bonne base légale pour chaque traitement
Chaque traitement doit reposer sur l'une des six bases légales du RGPD. Pour une PME, quatre reviennent en permanence :
- le contrat, pour gérer les commandes, la livraison, le service après-vente ;
- l'obligation légale, pour la paie, la comptabilité ou les déclarations sociales ;
- l'intérêt légitime, pour la prospection de vos clients B2B ou la sécurité de vos locaux, à condition de mettre en balance vos intérêts et ceux des personnes ;
- le consentement, pour les cookies non essentiels ou la newsletter adressée à des particuliers.
L'erreur classique consiste à tout fonder sur le consentement. C'est fragile, car un consentement peut être retiré à tout moment. Notez la base retenue dans votre registre : elle conditionne l'information à délivrer et les droits que les personnes peuvent exercer.
Informer, contractualiser, sécuriser
L'information. Trois publics, trois supports. Vos clients et prospects via la politique de confidentialité du site et les formulaires. Vos salariés via une note d'information remise à l'embauche et affichée sur l'intranet. Vos candidats dans l'annonce ou l'accusé de réception de leur candidature. Sur le site, vérifiez votre bandeau cookies : refuser doit être aussi simple qu'accepter.
Les contrats. Votre éditeur de logiciel de paie, votre CRM en ligne, votre prestataire informatique ou votre hébergeur traitent des données pour votre compte. L'article 28 du RGPD impose un contrat qui encadre ce traitement : instructions, confidentialité, sécurité, sort des données en fin de contrat, aide en cas d'incident. Faites la liste de vos prestataires, retrouvez leurs accords de traitement et vérifiez où sont hébergées les données.
La sécurité. La CNIL a mis à jour en juin 2026 ses règles essentielles de sécurité, pensées pour les organisations sans service informatique étoffé : mots de passe d'au moins 12 caractères, gestionnaire de mots de passe, authentification multifacteur, mises à jour automatiques, sauvegardes selon la règle 3-2-1, séparation des usages personnels et professionnels, sensibilisation régulière des équipes et de la direction. Dans une PME, l'essentiel des incidents se joue sur ces fondamentaux.
Faut-il désigner un DPO ?
La désignation d'un délégué à la protection des données n'est obligatoire que dans trois cas : les organismes publics, les organismes dont l'activité de base les amène à réaliser un suivi régulier et systématique des personnes à grande échelle, et ceux qui traitent à grande échelle des données sensibles ou relatives aux condamnations pénales. Une PME de services classique n'est généralement pas concernée. Une PME dont le cœur de métier repose sur le traitement de données de santé à grande échelle, en revanche, doit se poser sérieusement la question.
Hors obligation, la CNIL encourage la désignation d'un DPO. À défaut, nommez au minimum un référent interne : quelqu'un qui tient le registre, reçoit les demandes et sait qui appeler en cas de problème. Ce rôle peut être confié à un dirigeant, à un responsable administratif ou à un prestataire externe mutualisé.
Organiser les demandes et les incidents
Les demandes d'exercice des droits arrivent rarement par le canal prévu : un ancien salarié qui réclame ses données par SMS, un client qui demande sa désinscription au commercial. Formez l'accueil et les managers à transmettre immédiatement ces demandes au référent. Le délai de réponse est d'un mois, prolongeable de deux mois pour une demande complexe à condition d'en informer la personne dans le premier mois.
Pour les violations de données (rançongiciel, piratage de messagerie, envoi d'un fichier au mauvais destinataire), la règle est la même pour toutes les entreprises : inscription dans un registre interne, notification à la CNIL sous 72 heures en cas de risque pour les personnes, information de celles-ci si le risque est élevé. Rédigez une procédure courte, testez-la une fois par an, par exemple lors d'un exercice de restauration de sauvegarde.
Garder la preuve de ce que vous faites
Le RGPD repose sur la responsabilisation : vous devez être capable de démontrer votre conformité. La CNIL sanctionne d'ailleurs des manquements très concrets, y compris par une procédure simplifiée réservée aux affaires les moins complexes, avec des amendes pouvant aller jusqu'à 20 000 euros : absence de registre, information insuffisante des clients ou des salariés, réponses tardives aux demandes, cookies impossibles à refuser.
Constituez un dossier de conformité simple et daté : le registre, les mentions d'information, la liste des sous-traitants et leurs contrats, la politique de durées de conservation (le référentiel de la CNIL sur la gestion commerciale retient par exemple trois ans à compter du dernier contact pour un prospect, et un référentiel RH publié en avril 2026 couvre les données du personnel), les traces de sensibilisation, le registre des violations. Fixez une revue annuelle à date fixe. C'est cette régularité, plus que la perfection du premier jet, qui distingue une conformité vivante d'un classeur oublié.
Sources
- Le registre des activités de traitement (CNIL)
- Facturation électronique : quels enjeux pour la protection des données personnelles ? (CNIL)
- Sécurité des données : les règles essentielles (CNIL)
- Le délégué à la protection des données, est-ce obligatoire ? (CNIL)
- Exercice des droits : dans quel délai doit-on me répondre ? (CNIL)
- Violations de données personnelles : les règles à suivre (CNIL)
- Onze nouvelles sanctions dans le cadre de la procédure simplifiée (CNIL)
- Gestion des ressources humaines : référentiel de durées de conservation (CNIL)