Beaucoup de dirigeants de TPE pensent que le RGPD est un sujet pour les grands groupes, et qu'une petite structure "passe sous les radars". Faux. Les contrôles CNIL ciblent de plus en plus les TPE/PME (plaintes clients, dénonciation d'un ex-salarié, audit déclenché par une fuite), et les amendes peuvent être lourdes. Voici les 5 obligations concrètes à mettre en place dans une TPE, sans se noyer dans le juridique.
Ce qu'il faut comprendre d'abord
Le RGPD s'applique dès que vous traitez des données personnelles. Ce qu'est une donnée personnelle :
- Un nom, un prénom, un email, une adresse, un téléphone
- Une adresse IP, un identifiant client, un numéro de sécurité sociale
- Une photo, une vidéo d'une personne identifiable
- Un mot de passe, un historique de navigation, un enregistrement vocal
Les données non personnelles (CA de l'entreprise, nombre de pièces vendues, données techniques anonymisées) ne sont pas concernées.
En pratique, presque toutes les TPE manipulent des données personnelles : au minimum celles de leurs salariés, de leurs clients, et souvent de prospects récoltés via leur site web.
Obligation 1 : tenir un registre des traitements
Ce que c'est
Un document écrit qui liste tous les traitements de données personnelles faits par votre entreprise :
- Quelles données ?
- Pourquoi ?
- Qui y a accès ?
- Combien de temps on les conserve ?
- Comment on les protège ?
Pour une TPE typique, ça tient en 5-15 lignes.
Exemple concret
| Traitement | Données | Finalité | Qui accède | Durée | Base légale |
|---|---|---|---|---|---|
| Gestion des salariés | Nom, SS, salaire, contrat | Paie, obligations légales | DG, compta | Durée contrat + 5 ans | Obligation légale |
| Clients (facturation) | Nom, email, adresse | Facturation, SAV | Compta, commercial | 10 ans (compta) | Contrat |
| Prospects (site web) | Nom, email, message | Répondre aux demandes | Commercial | 3 ans | Intérêt légitime |
| Newsletter | Envoi d'infos | Marketing | Jusqu'à désinscription | Consentement |
Comment faire
- Un simple tableau Word ou Excel suffit — pas besoin de logiciel spécialisé pour une TPE
- Le mettre à jour à chaque nouveau traitement (nouvel outil CRM, nouvelle collecte, nouvelle finalité)
- Le tenir à disposition en cas de contrôle CNIL (vous avez 48h pour le produire)
Modèle gratuit fourni par la CNIL : cnil.fr/fr/registre-tpe-pme
Obligation 2 : informer les personnes dont vous collectez les données
À chaque formulaire ou point de collecte, vous devez indiquer :
- Qui collecte (nom de l'entreprise)
- Pourquoi (finalité claire)
- Combien de temps vous gardez les données
- À qui elles sont transmises (prestataires, pays, etc.)
- Les droits de la personne (accès, rectification, suppression)
Concrètement
- Sur votre site web : une page "Confidentialité" ou "Politique de données personnelles" accessible depuis le footer. Doit être rédigée clairement, pas en charabia juridique copié-collé d'ailleurs.
- Sur votre formulaire de contact : une petite mention en bas ("Vos données sont utilisées uniquement pour répondre à votre demande, conservées 3 ans, vous pouvez demander leur suppression à tout moment en écrivant à...")
- Pour la newsletter : case à cocher explicite (le fameux "opt-in") avec texte transparent
- Dans votre contrat de travail : annexe RGPD qui dit quelles données salariés sont traitées
Obligation 3 : sécuriser les données
C'est l'obligation la plus souvent négligée. En cas de fuite de données, le défaut de sécurité est une circonstance aggravante qui peut multiplier l'amende.
Mesures minimum à mettre en place :
- Mots de passe forts et différents sur chaque compte, avec gestionnaire (voir notre article dédié)
- 2FA activée sur les comptes administrateurs et sensibles (voir notre article dédié)
- Antivirus pro sur chaque poste
- Mises à jour régulières de Windows et des logiciels
- Chiffrement des PC portables (BitLocker gratuit sous Windows Pro)
- Sauvegarde régulière et testée
- Accès limités : chaque salarié n'accède qu'aux données qu'il a besoin de voir
- Journal des accès aux données sensibles (RH, compta…)
Si fuite de données survient malgré tout : notification à la CNIL sous 72h et notification aux personnes concernées si risque élevé pour leurs droits.
Obligation 4 : respecter les droits des personnes
Toute personne dont vous détenez les données peut vous demander :
- Accès : "quelles données avez-vous sur moi ?" → vous devez répondre sous 1 mois
- Rectification : "corrigez cette donnée inexacte" → à faire rapidement
- Suppression (droit à l'oubli) : "supprimez mes données" → à faire sauf obligation légale (ex. factures en compta)
- Opposition : "arrêtez de m'envoyer vos newsletters" → immédiat
- Portabilité : "donnez-moi mes données dans un format lisible pour les transférer ailleurs"
En pratique
- Mettre en place une adresse email dédiée (
rgpd@votreentreprise.fr) pour recevoir ces demandes - Procédure interne pour y répondre dans les délais
- Garder trace de chaque demande et de la réponse (en cas de contrôle)
Attention : ignorer une demande RGPD est un motif de plainte CNIL très courant. C'est souvent par là que les contrôles commencent.
Obligation 5 : désigner un DPO si nécessaire
Un DPO (Délégué à la Protection des Données) est obligatoire si :
- Vous êtes un organisme public
- Vos activités principales consistent en un suivi régulier et systématique à grande échelle des personnes (par ex. secteur de la vidéosurveillance)
- Vous traitez à grande échelle des données sensibles (santé, religion, etc.)
Pour la plupart des TPE/PME classiques, le DPO n'est pas obligatoire. Mais c'est une bonne pratique d'avoir un référent interne (souvent le dirigeant ou l'office manager) qui porte le sujet, pour :
- Tenir le registre à jour
- Répondre aux demandes
- Alerter la direction en cas de problème
Vous pouvez aussi mutualiser un DPO externe (prestataire pour plusieurs TPE) pour quelques centaines d'euros par an.
Les amendes concrètes en 2026
Pour une TPE/PME, la CNIL applique en général une amende proportionnelle, mais les ordres de grandeur :
- Petite entreprise, premier manquement, bonne volonté affichée : avertissement ou amende de 1 000 à 10 000 €
- Entreprise de taille moyenne, manquement caractérisé : 10 000 à 150 000 €
- Grande entreprise ou récidive, défaut grave + fuite de données : plusieurs centaines de milliers d'euros à plusieurs millions
Au-delà de l'amende, l'atteinte à la réputation peut être brutale : les décisions CNIL sont publiées et reprises par la presse.
Le minimum vital à mettre en place cette semaine
Si vous n'avez rien fait jusqu'à présent, commencez par :
- Rédiger votre registre des traitements (2-3h de travail avec le modèle CNIL)
- Mettre à jour votre page "Politique de confidentialité" sur votre site
- Vérifier que votre site a bien les mentions légales à jour
- Désigner un référent interne et créer l'adresse
rgpd@ - Faire un point sécurité (mots de passe, 2FA, antivirus pro, sauvegarde)
En 1 à 2 semaines de travail intermittent, vous êtes au niveau minimum de conformité attendue d'une TPE.
Ce qu'on fait chez Depass Info
Dans le forfait d'infogérance, nous couvrons la partie technique du RGPD :
- Sécurisation des postes et des accès (point n°3)
- Supervision des mises à jour, sauvegardes, antivirus
- Mise en place de la 2FA sur les comptes sensibles
- Audit annuel des configurations sécurité
Nous ne faisons pas la partie purement juridique (rédaction du registre, politique de confidentialité, formation RGPD). Pour cela, nous recommandons de travailler avec un cabinet spécialisé ou un DPO externe mutualisé.
L'audit gratuit inclut un point sur votre niveau de sécurité RGPD actuel et les actions prioritaires à mettre en place.
