RGPD : les obligations concrètes d'une TPE

Vous gérez les devis, les relances, la prospection, la paie, les mails clients… et, quelque part dans un coin de votre tête, il y a ce mot : RGPD. On ne va pas se mentir, vous n’avez ni le temps ni l’envie d’ouvrir un règlement européen de 88 pages, ni de vous transformer en juriste.

Bonne nouvelle : une TPE PME peut se mettre en mise en conformité sans cabinet d’avocats ni projet informatique à plusieurs zéros. Oui, toutes les entreprises sont concernées dès qu’elles gèrent des données personnelles (clients, salariés, prospects), mais on peut traiter ça avec une logique simple, très terrain.

Ici, on va traduire les exigences officielles (CNIL, guides TPE/PME) en actions concrètes, adaptées à une petite boîte qui tourne et qui n’a pas des journées de 15 heures à passer sur le RGPD.

RGPD et TPE : ce que la loi attend vraiment de vous

Le RGPD, c’est juste le cadre qui encadre les traitements de données personnelles en Europe. Si votre entreprise collecte des noms, emails, adresses, numéros de téléphone, données de paie, bref tout ce qui concerne une personne identifiée ou identifiable, vous êtes dedans. Que vous soyez artisan, cabinet de conseil, agence web, e-commerçant ou profession libérale, la règle est la même.

Dans une TPE, le responsable du traitement, c’est généralement vous, le dirigeant. C’est l’entité qui décide pourquoi et comment on utilise les données. Exemple concret : une agence web qui gère un fichier clients pour facturer et envoyer des newsletters, c’est elle le responsable. Le logiciel d’emailing, lui, n’est qu’un sous-traitant technique.

Autre exemple : un artisan qui confie sa gestion de la paie à un expert-comptable. L’entreprise reste responsable du traitement, l’expert-comptable est sous-traitant. Pareil pour votre CRM, votre solution de facturation, votre hébergeur, vos outils cloud.

Il faut arrêter de croire que le RGPD serait réservé aux grands groupes. Il n’existe aucun “RGPD spécial petite entreprise” avec des obligations allégées. En revanche, on peut appliquer les mêmes règles de façon proportionnée. Peu de données, peu de process, mais une rigueur minimale : identifier ce que vous faites, sécuriser, informer les personnes, gérer les demandes.

Cartographier ses données : la première étape qui change tout

Avant de parler registre, DPO ou privacy by design, il y a une question simple : quelles données traitez-vous réellement, et pour quoi faire ? Cette cartographie des traitements, c’est le socle. Sans ça, on navigue à vue.

Concrètement, prenez un bloc-notes (ou un tableur) et listez :

• Clients et prospects : fichier Excel, CRM, outil d’emailing, historique des devis
• Salariés et candidats : fichier salariés, paie, dossiers RH, mails de candidature
• Fournisseurs et partenaires : coordonnées, contrats, historique des paiements
• Site web : formulaires de contact, cookies, statistiques de visite
• Vidéosurveillance ou contrôle d’accès éventuels : images, logs de badges

Pour chaque “bloc”, demandez-vous : pourquoi vous utilisez ces données, où elles sont stockées (PC, cloud, classeur papier), qui y a accès, combien de temps vous les gardez. Ce travail prend une matinée bien concentrée, et il clarifie tout.

Le registre de traitements prévu par l’article 30 du RGPD, ce n’est ni un roman ni une usine à gaz. La CNIL et Francenum proposent des modèles de registre simplifiés parfaitement adaptés aux TPE. Vous pouvez partir d’un tableau avec quelques colonnes : finalité, base légale, catégories de données, durée de conservation, destinataires, mesures de sécurité. On en reparle plus bas avec un tableau concret.

Informer clairement clients et salariés : les mentions obligatoires en pratique

Cette étape va vous aider à gagner en transparence, et à éviter le flou qui fait tiquer les clients. Le RGPD impose des mentions d’information dès qu’on collecte des données : qui traite les données, pour quelles finalités, sur quelle base légale, combien de temps, quels droits des personnes (accès, rectification, droit à l’effacement, opposition, portabilité, plainte auprès de la CNIL).

Pour une TPE, ça se traduit de façon assez simple :

• Sur vos formulaires de contact et vos devis en ligne : une phrase qui indique l’entreprise, la finalité (traiter la demande, envoyer un devis, relancer), la durée de conservation et la façon d’exercer ses droits (“Vous pouvez exercer vos droits en écrivant à…”).
• Dans les contrats de travail ou le livret d’accueil : une section “Protection des données personnelles” qui explique ce que vous faites avec les données du salarié, pour la paie, la gestion du temps, l’accès aux locaux, etc.
• Une politique de confidentialité sur votre site, même simple, avec les grandes lignes : types de données, finalités, bases légales, destinataires, cookies principaux, droits et contact.

Perso, il est recommandé d’écrire ces textes comme si vous expliquiez à un ami, pas comme si vous parliez au tribunal. Pas de jargon, mais les notions clés bien présentes. Par exemple : “Nous utilisons vos données pour gérer vos commandes et vous envoyer des informations sur nos services.

La base légale principale est l’exécution du contrat. Vous pouvez demander l’accès, la correction ou la suppression de vos données en nous écrivant à…”. Clair, direct, conforme.

Consentement, base légale et marketing : éviter les pièges courants des petites boîtes

On va aller droit au but : le consentement explicite n’est pas le joker qui justifie tout. C’est une des bases légales, parmi d’autres. Pour une TPE, les principales bases sont :

• Exécution du contrat : facturation, livraison, gestion des prestations, gestion des réclamations.
• Obligation légale : comptabilité, paie, déclarations sociales.
• Intérêt légitime : prospection B2B raisonnable, amélioration du service, sécurité.
• Consentement : newsletter grand public, cookies marketing, prospection B2C hors relation contractuelle.

Le terrain miné, c’est le marketing. Formulaires avec case précochée, inscription à la newsletter planquée dans un texte interminable, absence de lien de désinscription, consentement “global” pour plusieurs finalités… tout ça, c’est à éviter.

Quelques repères simples :

• Newsletter grand public : case non cochée par défaut, texte clair (“Je souhaite recevoir les actualités de l’entreprise par email”).
• Prospection B2B : possible sans consentement explicite, mais avec information préalable et possibilité de s’opposer.
• Cookies publicitaires : bouton d’acceptation distinct, refus possible, pas de “tout ou rien” opaque.

Vous n’avez pas besoin de transformer votre TPE en usine à consentements. Le bon réflexe, c’est de se demander à chaque fois : est-ce que la personne sait ce que je vais faire avec ses données, peut-elle dire non facilement, ai-je une base légale claire ? Si la réponse est oui, vous êtes sur la bonne voie.

Organiser la sécurité des données au quotidien dans une petite structure

Cette partie va vous aider à éviter les catastrophes basiques : PC volé, boîte mail piratée, fichier clients diffusé par erreur. La sécurité des données, dans une TPE, c’est surtout des mesures techniques et organisationnelles simples mais appliquées.

Quelques réflexes très concrets :

• Mots de passe solides, différents entre les outils, avec gestionnaire de mots de passe si possible.
• Sauvegardes régulières (au moins une fois par semaine) sur un support distinct ou dans le cloud sécurisé.
• Mises à jour des logiciels et de l’antivirus, surtout sur les postes qui accèdent aux données sensibles (paie, RH, santé).
• Droits d’accès limités : le stagiaire n’a pas besoin de voir les fiches de paie, par exemple.
• Verrouillage des postes et destruction sécurisée des documents papier (pas laisser les dossiers salariés traîner sur une table de coworking).

On ne parle pas forcément de chiffrement militaire. Mais un chiffrement des données sur le disque du PC portable du dirigeant, ça évite de transpirer si l’ordinateur est oublié dans le train.

Gérer les droits des personnes : comment répondre sans y passer ses journées

Les droits des personnes font souvent peur, alors qu’avec une organisation claire, ça se traite sans y laisser ses soirées. Les principaux droits sont : droit d’accès, rectification, effacement, limitation, opposition, portabilité, droit à la plainte auprès de la CNIL.

La bonne approche, c’est de prévoir une petite gestion des droits interne :

• Une adresse de contact dédiée (ex : rgpd@votre-entreprise.fr ou un formulaire interne).
• Un modèle de réponse simple, que vous adaptez selon la demande.
• Une procédure pour vérifier l’identité avant d’envoyer des données (on évite les fuites involontaires).

Cas pratiques :

• Un client demande la suppression de ses données : vous vérifiez ce que vous pouvez supprimer (prospection, historique dans le CRM) et ce que vous devez garder pour obligation légale (factures pendant un certain temps). Vous expliquez clairement la différence.
• Un ex-salarié veut accéder à son dossier : vous lui transmettez une copie des éléments le concernant, en excluant les documents internes qui ne le concernent pas directement.
• Un prospect réclame la source de son adresse email : vous identifiez votre fichier de prospection (événement, achat de base, inscription sur le site) et vous répondez en conséquence.

L’idée, c’est d’avoir une sorte de “tableau mental” : si X arrive, je fais ça, dans tel délai. Ça vous évite de paniquer et ça montre aux personnes que vous prenez leurs demandes au sérieux.

Durées de conservation : mettre fin au “on garde tout, au cas où”

On ne va pas se mentir, la plupart des TPE gardent tout à vie. Les fichiers clients vieux de 12 ans, les CV des candidats jamais rappelés, les dossiers salariés partis depuis longtemps. Ce réflexe “on ne sait jamais” pose un vrai problème de protection des données personnelles.

Le RGPD impose de définir des durées de conservation adaptées à chaque type de données. Quelques repères usuels :

• Prospection : souvent quelques années après le dernier contact actif, sauf opposition.
• Factures : conservation liée aux règles comptables (plusieurs années, selon la législation fiscale).
• Dossiers salariés : conservation partielle après le départ, selon les obligations sociales et prud'homales.
• Candidats non retenus : seulement pendant un temps raisonnable, si vous avez leur accord pour garder le CV.

Pour une TPE, le plus efficace reste de construire un petit tableau interne avec les grandes catégories, la durée retenue, et la façon dont on “purge” (suppression ou anonymisation). Puis d’utiliser les fonctions de vos outils (CRM, emailing, paie) pour automatiser au maximum la suppression des données anciennes.

Sous-traitants, outils cloud et prestataires : les contrats à revoir sérieusement

On touche ici à un point souvent sous-estimé : vos sous-traitants et vos outils cloud. Même si vous utilisez un CRM en ligne, une suite bureautique, une solution de facturation ou une plateforme RH, la responsabilité RGPD reste chez vous en tant que responsable du traitement.

Il est conseillé un tri franc de vos prestataires. Regardez dans leurs contrats ou leurs pages “confidentialité” :

• Où sont localisés les serveurs (UE, pays avec niveau de protection similaire ou pays tiers) ?
• Quelles mesures techniques et organisationnelles sont décrites pour la sécurité des données ?
• Prévoient-ils une notification CNIL et une information des clients en cas de violations de données ?
• Proposent-ils une assistance si une personne exerce ses droits via vos outils ?

Si un outil reste flou, ne parle jamais de RGPD ou de documentation RGPD, et ne mentionne pas la CNIL ou la protection des données, posez-vous la question : voulez-vous vraiment confier votre base clients à cette solution quand d’autres font l’effort de jouer le jeu ?

Documenter sa conformité : registre, procédures, preuves… sans usine à gaz

Le RGPD ne demande pas seulement d’être “propre”, il demande aussi de pouvoir le montrer. On parle souvent d’“accountability”, mais on peut le traduire simplement : être capable de prouver ce que vous faites.

Pour une TPE, le meilleur format reste un petit “dossier RGPD” accessible :

• Votre registre de traitements (cartographie formalisée).
• Vos mentions d’information et votre politique de confidentialité.
• Une procédure en cas d’incident ou violation de données.
• Une procédure de gestion des droits des personnes.
• Quelques consignes internes de sécurité, même sur une page.

On peut trouver plus rassurant d’avoir ce dossier mis à jour une fois par an que d’accumuler des PDF jamais ouverts. Si un jour vous faites l’objet d’un contrôle de la CNIL, montrer ce dossier prouve que vous avez une démarche, même imparfaite, et ça change la discussion.

Violation de données et contrôle CNIL : que risque réellement une TPE ?

Le mot “sanction” fait peur. Pourtant, la plupart des incidents RGPD dans les petites entreprises, c’est tout bête : email de masse envoyé en mettant les adresses en copie directe, fichier clients envoyé au mauvais destinataire, malware, ordinateur non chiffré perdu.

En cas de violations de données, les réflexes attendus sont simples :

• Analyser ce qui s’est passé et quelles données sont concernées.
• Limiter les dégâts (changer les mots de passe, prévenir le prestataire, couper les accès si besoin).
• Documenter l’incident dans votre dossier RGPD.
• Notifier la CNIL quand le risque pour les personnes est significatif, et informer les personnes concernées dans certains cas.

Concernant les sanctions, tout le monde connaît les amendes théoriques, mais ce n’est pas le quotidien des TPE. Une petite entreprise qui montre qu’elle a essayé de se mettre en mise en conformité, qui corrige ses pratiques après un rappel, qui suit les guides CNIL, n’est pas traitée comme un géant qui néglige volontairement la protection des données.

On parle aussi d’accompagnement, de mises en demeure avec délais de correction, pas uniquement de sanctions spectaculaires.

Tableau pratique : exemple de registre de traitements pour une TPE

Pour rendre tout ça plus concret, voici un tableau type de registre de traitements adapté à une petite entreprise. À vous de l’adapter, mais l’idée est là.

Construire un plan RGPD réaliste pour une TPE en étapes abordables

Vous avez peut-être l’impression qu’il y a beaucoup de choses à faire. En réalité, si on découpe, ça tient dans un plan de checklist RGPD en 6 à 8 étapes, gérable sur quelques journées étalées.

• Cartographier vos traitements (clients, salariés, site, sous-traitants).
• Construire un registre de traitements simple à partir de cette cartographie.
• Mettre à jour les mentions d’information et la politique de confidentialité (formulaires, contrats, site).
• Revoir vos pratiques marketing et cookies : consentement clair, désinscription facile, cookies encadrés.
• Renforcer la sécurité des données de base : mots de passe, sauvegardes, mises à jour, droits d’accès.
• Mettre en place une procédure de gestion des droits et une procédure incident/notification CNIL.
• Rassembler tout ça dans un petit dossier de documentation RGPD, à réviser une fois par an.

Si vous avez une journée à y consacrer, vous pouvez poser une grande partie de ces fondations. Sinon, avancez par blocs : une demi-journée par mois, et au bout de quelques mois, votre TPE aura un socle sérieux de protection des données. L’important, c’est d’engager la démarche et de la garder vivante, pas d’être parfait du premier coup.

Au final, la vraie question n’est pas “vais-je cocher toutes les cases du RGPD ?”, mais “est-ce que mes clients, mes salariés et mes partenaires peuvent me faire confiance sur la façon dont je gère leurs informations ?”. Si vous construisez vos actions autour de cette question, vous êtes déjà dans le bon sens.

Questions fréquentes

Une TPE doit-elle vraiment tenir un registre des traitements ?

Oui : le registre prévu par l'article 30 du RGPD s'applique, mais il n'a rien d'une usine à gaz. Un tableau avec la finalité, la base légale, les catégories de données, la durée de conservation, les destinataires et les mesures de sécurité suffit. La CNIL et Francenum proposent des modèles simplifiés adaptés aux TPE.

Un client demande la suppression de ses données : faut-il tout effacer ?

Non, il faut distinguer. Vous supprimez ce qui peut l'être, par exemple les données de prospection et l'historique dans le CRM, et vous conservez ce que vous devez garder au titre d'une obligation légale, comme les factures. L'article recommande d'expliquer clairement cette différence au demandeur, et de vérifier l'identité avant d'envoyer des données.

Que risque concrètement une petite entreprise en cas de fuite de données ?

Les réflexes attendus sont d'analyser ce qui s'est passé, de limiter les dégâts, de documenter l'incident et de notifier la CNIL quand le risque pour les personnes est significatif, en informant les personnes concernées dans certains cas. L'article souligne que les amendes théoriques ne sont pas le quotidien des TPE : une entreprise qui montre une démarche de mise en conformité et corrige ses pratiques est traitée différemment, avec accompagnement et mises en demeure assorties de délais de correction.