RGPD pour les petites entreprises : ce qui est vraiment obligatoire

Sommaire

• L'essentiel
• 1. Ce que le RGPD impose réellement à une TPE ou une micro-entreprise
• 2. Les principes fondamentaux du RGPD, traduits en langage clair
• 3. Le registre des traitements simplifié : ce qu'il faut vraiment documenter
• 4. Base légale, durée de conservation et droits des personnes
• 5. Faut-il un délégué à la protection des données (DPO) ?
• 6. Les obligations concrètes pour un site web
• 7. Sous-traitants et prestataires : ce qu'il faut encadrer contractuellement
• 8. Sanctions réelles : ce que risque une petite structure en cas de contrôle CNIL
• 9. Que faire en cas de violation de données (data breach)
• 10. Checklist de mise en conformité minimale et réaliste
• 11. Foire aux questions
• 12. Sources

1. Ce que le RGPD impose réellement à une TPE ou une micro-entreprise

Le Règlement général sur la protection des données (règlement UE 2016/679, dit RGPD) s'applique depuis le 25 mai 2018 à toute organisation, publique ou privée, quelle que soit sa taille, dès lors qu'elle traite des données à caractère personnel dans le cadre de son activité. Il n'existe aucun seuil d'effectif ou de chiffre d'affaires en dessous duquel une entreprise en serait exemptée : une micro-entreprise individuelle qui tient une liste de clients dans un tableur est, juridiquement, un « responsable de traitement » au même titre qu'une multinationale, avec des obligations proportionnées à la réalité de ses traitements.

Ce qui change concrètement pour une petite structure

Le RGPD prévoit explicitement un principe de proportionnalité et d'allègement pour les structures de petite taille : plusieurs obligations, notamment la tenue d'un registre des traitements, sont assouplies pour les organismes de moins de 250 salariés, sous certaines conditions détaillées plus loin dans ce guide. En pratique, cela signifie qu'une TPE ou une micro-entreprise n'a jamais à produire une documentation aussi lourde qu'un grand groupe, mais elle reste tenue de respecter les principes fondamentaux du texte : traiter les données de façon loyale et transparente, ne collecter que ce qui est nécessaire, les conserver pour une durée limitée, et les sécuriser raisonnablement.

Le triangle des obligations réalistes pour une petite structure

Pour une TPE ou une micro-entreprise, la conformité RGPD se résume, dans l'immense majorité des cas, à trois piliers concrets : documenter simplement ce qui est fait des données (registre simplifié), informer clairement les personnes concernées de cet usage (mentions d'information sur les formulaires, politique de confidentialité), et sécuriser raisonnablement ces données (accès limité, mots de passe corrects, sauvegardes, mise à jour des logiciels). Ce triangle couvre l'essentiel des attentes de la CNIL pour une petite structure qui ne traite pas de données particulièrement sensibles à grande échelle.

Ce que le RGPD n'exige pas d'une petite structure

Contrairement à une idée répandue, le RGPD n'impose pas systématiquement un DPO, ni un audit juridique coûteux, ni un logiciel de gestion de la conformité, ni le consentement explicite pour absolument tous les traitements (certains traitements reposent légitimement sur d'autres bases légales, comme l'exécution d'un contrat ou l'intérêt légitime de l'entreprise). Une bonne partie de l'anxiété entourant le RGPD chez les petits entrepreneurs vient d'une confusion entre ce qui est légalement exigé et ce que proposent, parfois de façon alarmiste, certains prestataires commerciaux de mise en conformité.

3. Le registre des traitements simplifié : ce qu'il faut vraiment documenter

Le registre des traitements est probablement l'obligation la plus mal comprise du RGPD chez les petites structures, souvent perçue comme un document juridique complexe alors qu'il s'agit, en pratique, d'un simple tableau.

L'obligation légale et son allègement pour les petites structures

L'article 30 du RGPD impose à tout responsable de traitement de tenir un registre décrivant ses activités de traitement de données. Le paragraphe 5 de ce même article prévoit une exemption partielle pour les organismes employant moins de 250 personnes, sauf si le traitement qu'ils effectuent n'est pas occasionnel, porte sur des catégories particulières de données (santé, opinions politiques, religieuses, orientation sexuelle, données biométriques ou génétiques) ou présente un risque pour les droits et libertés des personnes concernées. En pratique, la quasi-totalité des traitements courants d'une TPE — fichier clients, fichier fournisseurs, gestion de la paie s'il y a des salariés, prospection commerciale — sont considérés comme « non occasionnels » car ils se répètent dans la durée normale de l'activité. La CNIL recommande donc, dans les faits, à toutes les structures, y compris les plus petites, de tenir un registre au moins simplifié, même lorsque l'exemption légale stricte pourrait théoriquement s'appliquer à la marge.

Ce que doit contenir un registre simplifié

Pour une TPE ou une micro-entreprise, un registre efficace peut tenir sur un simple tableur, une ligne par traitement (fichier clients, newsletter, comptabilité, vidéosurveillance le cas échéant), avec les colonnes suivantes : la finalité du traitement (pourquoi ces données sont collectées), les catégories de données traitées (nom, e-mail, téléphone, adresse), les catégories de personnes concernées (clients, prospects, salariés), la base légale du traitement, la durée de conservation prévue, les destinataires éventuels des données (sous-traitants comme un hébergeur, une plateforme d'e-mailing), et les mesures de sécurité mises en place. La CNIL met à disposition gratuitement des modèles de registre simplifié, au format tableur, directement utilisables sans adaptation complexe.

Un exemple concret de ligne de registre

Ce registre n'a pas vocation à être figé : il doit être mis à jour à chaque nouveau traitement significatif (nouvel outil, nouvelle collecte de données), mais ne nécessite ni révision permanente ni validation par un tiers pour être valable.

6. Les obligations concrètes pour un site web

C'est souvent par le site web que la conformité RGPD devient tangible pour un entrepreneur, car c'est le point de contact le plus visible avec le public, et celui que la CNIL a le plus régulièrement ciblé lors de ses campagnes de contrôle ces dernières années.

Les mentions légales, une obligation distincte du RGPD mais tout aussi impérative

Indépendamment du RGPD, l'article 6-III de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN) impose à tout éditeur d'un site professionnel de faire figurer des mentions légales identifiant clairement l'entreprise : dénomination sociale ou nom du micro-entrepreneur, adresse, numéro SIRET, coordonnées de contact, et hébergeur du site avec ses propres coordonnées. Un site professionnel sans mentions légales, ou avec des mentions incomplètes, expose à un risque de sanction propre, distinct des sanctions RGPD.

Les cookies et traceurs : le vrai choix de refus, condition de conformité

La CNIL a précisé, dans ses lignes directrices et sa recommandation relatives aux cookies et autres traceurs, que le recueil du consentement préalable est obligatoire avant le dépôt de tout cookie non strictement nécessaire au fonctionnement du site (cookies publicitaires, cookies de mesure d'audience non exemptés, boutons de partage de réseaux sociaux traçants). Le point de vigilance central, régulièrement rappelé par la CNIL après une vague de mises en demeure visant de nombreux sites de toutes tailles, est que le bouton « tout refuser » doit être aussi simple et aussi visible que le bouton « tout accepter » : un bandeau qui rend le refus plus difficile d'accès que l'acceptation (nécessitant plusieurs clics supplémentaires ou une navigation dans des paramètres cachés) ne respecte pas les conditions d'un consentement valable. Certains outils de mesure d'audience strictement configurés pour rester anonymes et non intrusifs (au sens des critères précisés par la CNIL) peuvent être exemptés de consentement préalable, mais cette exemption reste étroite et ne s'applique pas par défaut aux outils d'analyse commerciaux les plus courants installés sans configuration spécifique.

Le formulaire de contact : une information courte mais obligatoire

Tout formulaire collectant des données personnelles (contact, devis, inscription) doit s'accompagner d'une information claire, conformément à l'article 13 du RGPD : qui collecte la donnée, pour quelle finalité, sur quelle base légale, pendant combien de temps elle sera conservée, et comment exercer ses droits. En pratique, un texte court sous le formulaire (« Les informations recueillies sont utilisées par [Nom de l'entreprise] pour répondre à votre demande. Elles sont conservées pendant [durée] et vous pouvez exercer vos droits en écrivant à [contact]. ») renvoyant vers une politique de confidentialité plus complète suffit largement pour une TPE.

La newsletter et la prospection par e-mail : le principe de l'opt-in

L'article L.34-5 du Code des postes et des communications électroniques, qui transpose en droit français la directive européenne « vie privée et communications électroniques », impose en principe le consentement préalable et explicite (« opt-in ») avant tout envoi de communication commerciale par e-mail à une personne physique. Une case pré-cochée, ou une inscription automatique à la newsletter lors d'un simple achat sans case à cocher distincte, ne constitue pas un consentement valable. Une exception notable existe pour la prospection concernant des produits ou services analogues à ceux déjà achetés par le client, à condition de lui offrir, dès la première collecte de son adresse et à chaque envoi ultérieur, un moyen simple et gratuit de s'y opposer (lien de désabonnement en bas de chaque e-mail).

La politique de confidentialité, document central du site

Une page dédiée, généralement accessible depuis le pied de page du site, doit rassembler l'ensemble des informations relatives aux traitements de données réalisés via le site : identité du responsable de traitement, finalités de chaque traitement, bases légales, durées de conservation, destinataires des données (y compris les sous-traitants techniques comme l'hébergeur ou l'outil d'e-mailing), et modalités d'exercice des droits. Ce document n'a pas besoin d'être long : il doit surtout être exact et à jour, reflétant réellement les pratiques du site plutôt qu'un texte générique copié d'un autre site sans vérification.

8. Sanctions réelles : ce que risque une petite structure en cas de contrôle CNIL

Les montants vertigineux régulièrement médiatisés (amendes de plusieurs dizaines ou centaines de millions d'euros contre de grandes plateformes technologiques) créent une impression trompeuse du risque réel encouru par une TPE. La réalité de l'action de la CNIL vis-à-vis des petites structures est très différente, et plus proportionnée qu'on ne l'imagine souvent.

Le cadre légal des sanctions, et ce qu'il signifie en pratique

L'article 83 du RGPD fixe des plafonds théoriques élevés : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves (non-respect des principes fondamentaux, des droits des personnes ou des règles de transfert international), et jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires pour les manquements considérés comme moins graves (défaut de tenue du registre, absence d'accord avec un sous-traitant). Ces plafonds sont conçus pour dissuader les grandes entreprises technologiques à l'échelle mondiale ; ils ne reflètent en rien le niveau de sanction réellement appliqué à une micro-entreprise ou une TPE en cas de manquement, l'article 83 du RGPD imposant lui-même que toute sanction soit proportionnée, effective et dissuasive au regard de la nature du manquement, de sa gravité, de sa durée, du nombre de personnes affectées et du degré de coopération de l'organisme contrôlé.

La procédure de sanction simplifiée, l'outil réellement utilisé contre les petites structures

Depuis un décret du 23 mars 2022, la CNIL dispose d'une procédure de sanction simplifiée, permettant à un seul membre de sa formation restreinte, plutôt qu'à la formation collégiale complète, de prononcer une sanction pour des dossiers relativement simples à instruire. Cette procédure prévoit un plafond de 20 000 euros par sanction, un montant sans commune mesure avec les plafonds théoriques évoqués plus haut, et constitue en pratique le principal outil utilisé par la CNIL contre les petites structures (professions libérales, commerces, petites sociétés de services) pour des manquements courants : absence de réponse à une demande de droit d'accès, durée de conservation excessive, vidéosurveillance disproportionnée sur le lieu de travail, absence d'accord de sous-traitance, ou bandeau cookies non conforme.

L'approche graduée et pédagogique privilégiée par la CNIL

Dans ses rapports d'activité et sa communication publique, la CNIL rappelle constamment que la sanction financière n'est ni le seul ni même le principal outil de sa politique de contrôle : la grande majorité des procédures ouvertes à la suite d'une plainte ou d'un contrôle se concluent par une mise en demeure, c'est-à-dire une injonction de corriger la situation dans un délai donné (souvent quelques semaines à quelques mois), sans sanction financière si l'organisme se met effectivement en conformité dans ce délai. Ce n'est qu'en cas de manquement grave, de mauvaise foi caractérisée, de récidive après une première mise en demeure restée sans effet, ou de risque significatif pour les personnes concernées, que la CNIL engage une procédure de sanction proprement dite. Pour une TPE de bonne foi qui corrige rapidement un manquement signalé, le risque financier réel reste donc, dans l'immense majorité des cas documentés, très inférieur aux plafonds théoriques du règlement.

Le risque pénal, souvent oublié

Au-delà des sanctions administratives de la CNIL, le Code pénal (articles 226-16 à 226-24) prévoit des sanctions pénales spécifiques pour certains manquements graves et intentionnels aux règles de protection des données : jusqu'à cinq ans d'emprisonnement et 300 000 euros d'amende pour une personne physique en cas de traitement de données sans respecter les formalités ou les droits des personnes, ce montant pouvant être multiplié pour une personne morale conformément aux règles générales du Code pénal sur la responsabilité pénale des personnes morales. Ces poursuites pénales restent rares en pratique et concernent essentiellement des manquements délibérés et graves (détournement de finalité manifeste, collecte clandestine, refus persistant de se conformer à une mise en demeure), non les erreurs de bonne foi corrigées rapidement.

Le vrai risque, souvent sous-estimé : la plainte d'un client ou d'un salarié

En pratique, la majorité des contrôles de la CNIL visant de petites structures ne résultent pas d'un contrôle aléatoire, mais d'une plainte déposée par une personne concernée — un client mécontent qui n'obtient pas de réponse à une demande de suppression de ses données, un ancien salarié qui conteste une vidéosurveillance excessive, un particulier qui continue de recevoir des e-mails commerciaux après s'être désabonné. Traiter sérieusement et rapidement toute demande d'exercice de droits, même informelle, reste la meilleure prévention contre l'ouverture d'un contrôle formel.

11. Foire aux questions

Une micro-entreprise individuelle sans salarié est-elle vraiment concernée par le RGPD ?

Oui, sans exception liée à la taille ou au statut juridique. Dès qu'un micro-entrepreneur collecte des données personnelles — un simple fichier de clients avec nom et e-mail suffit — il est responsable de traitement au sens du RGPD et doit respecter les obligations proportionnées à son activité : information des personnes, durée de conservation raisonnable, sécurité des données. L'ampleur des obligations concrètes reste toutefois très allégée par rapport à une grande entreprise.

Dois-je payer pour un logiciel ou un consultant pour être en conformité RGPD ?

Non, ce n'est jamais une obligation légale. La CNIL met gratuitement à disposition des modèles de registre, des guides pratiques et des mentions types sur son site. Pour une TPE avec des traitements de données simples, un tableur pour le registre et un texte d'information rédigé soi-même en s'appuyant sur les modèles de la CNIL suffisent largement. Un accompagnement payant peut être utile pour des situations plus complexes (données de santé, volumes importants, activité réglementée), mais n'est pas requis dans le cas général.

Puis-je continuer à envoyer des e-mails commerciaux à mes anciens clients sans leur redemander leur consentement ?

Oui, sous certaines conditions : l'exception de la « clientèle existante » prévue par l'article L.34-5 du Code des postes et des communications électroniques permet de prospecter par e-mail sans consentement préalable distinct, à condition que la prospection concerne des produits ou services analogues à ceux déjà achetés, et que la personne ait été informée, dès la première collecte de son adresse, de la possibilité de s'y opposer gratuitement et simplement à tout moment, ce lien de désabonnement devant figurer dans chaque envoi.

Un client me demande de supprimer toutes ses données. Suis-je obligé d'accepter immédiatement ?

Le droit à l'effacement (article 17 du RGPD) n'est pas absolu : il peut être refusé, en tout ou partie, lorsqu'une autre obligation légale impose de conserver certaines données (par exemple, les factures doivent être conservées pendant une durée légale imposée par le droit comptable et fiscal, indépendamment de la demande du client). Il faut alors répondre au client en expliquant clairement ce qui est supprimé et ce qui doit être conservé, et pourquoi, dans le délai d'un mois prévu par le règlement.

Que risque réellement une TPE qui n'a pas de registre des traitements du tout ?

En cas de contrôle ou de plainte, l'absence totale de registre est généralement traitée par la CNIL comme un manquement parmi d'autres, souvent d'abord sanctionné par une mise en demeure de le mettre en place dans un délai raisonnable plutôt que par une amende immédiate, sauf en cas de manquement plus grave associé (données sensibles mal protégées, refus de coopérer) ou de récidive après une première mise en demeure restée sans effet.

Mon site utilise Google Analytics ou un outil similaire : dois-je demander le consentement pour les cookies ?

Dans la grande majorité des configurations par défaut, oui : les outils de mesure d'audience commerciaux standards ne remplissent généralement pas les critères stricts d'exemption définis par la CNIL (anonymisation renforcée de l'adresse IP, absence de croisement avec d'autres traitements, finalité strictement limitée à la mesure d'audience). Une configuration spécifique et documentée de l'outil peut, dans certains cas, permettre de se rapprocher de ces critères d'exemption ; à défaut, un consentement préalable via le bandeau cookies reste la solution la plus sûre.

Combien de temps prend, concrètement, une mise en conformité RGPD minimale pour une TPE ?

Pour une structure aux traitements simples (fichier clients, newsletter, site vitrine avec formulaire de contact), une mise en conformité raisonnable — registre simplifié, vérification et correction du bandeau cookies, rédaction ou mise à jour d'une politique de confidentialité, vérification des accords de sous-traitance avec les prestataires principaux — se réalise généralement en quelques heures à quelques jours de travail concentré, en s'appuyant sur les modèles gratuits fournis par la CNIL, sans nécessiter un accompagnement juridique complet.