« Nous ne sommes que cinq, le RGPD s’applique-t-il vraiment à nous ? »
C’est une question qui revient régulièrement. Et la réponse courte est malheureusement la moins confortable : oui, à vous aussi.
Mais cela ne veut pas dire que vous devez créer un service conformité ou dépenser des milliers d’euros en conseil. Ce que le RGPD demande à une PME de cinq personnes est fondamentalement différent de ce qu’il demande à une multinationale. Dans cet article, nous faisons le point sur ce que cela implique en pratique.
(Nous avons écrit un article à part sur NIS2.)
Le RGPD s’applique-t-il à ma PME ?
La règle est simple : si vous traitez des données personnelles de personnes dans l’UE, vous êtes soumis au RGPD (GDPR en anglais). Il n’y a aucune exemption pour les petites entreprises, les entreprises individuelles ou les professions libérales. Tenir un fichier clients, collecter des adresses e-mail via votre site, une inscription à une newsletter : tout cela, c’est du traitement.
Ce que le règlement fait, en revanche, c’est adapter certaines obligations à la nature et au risque de ce que vous faites. Un menuisier qui garde les coordonnées de ses clients pour ses devis n’a pas le même profil RGPD qu’une plateforme en ligne qui suit le comportement de ses utilisateurs. Les deux doivent être en conformité, mais la mise en œuvre diffère.
Les principes de base (qui s’appliquent toujours)
Quelle que soit votre taille, voici les règles du jeu :
- Une base légale pour chaque traitement. Les quatre plus courantes : le consentement, l’exécution d’un contrat, une obligation légale ou l’intérêt légitime. Pas de base légale = pas de traitement.
- La minimisation des données. Ne collectez que ce dont vous avez vraiment besoin. Pas de date de naissance sur un formulaire de contact « au cas où ».
- La sécurité. Des mesures techniques et organisationnelles appropriées. Politique de mots de passe, gestion des accès, sauvegardes, chiffrement là où c’est pertinent.
- La transparence. Une politique de confidentialité qui explique ce que vous faites de quelles données, pendant combien de temps, et avec qui vous les partagez.
- Les droits des personnes concernées. Les gens ont le droit de consulter leurs données, de les faire corriger, de les faire supprimer…
Cette liste n’est pas optionnelle. Mais pour une PME, la mettre en ordre en une demi-journée n’a rien d’irréaliste.
Le registre des traitements : oui, probablement pour vous aussi
Une idée reçue fréquente : « nous avons moins de 250 salariés, donc pas besoin de registre. »
Cette dérogation existe bien (article 30, paragraphe 5, du RGPD), mais elle est formulée de façon si étroite qu’elle ne s’applique presque jamais en pratique. La dérogation tombe dès que votre traitement n’est pas occasionnel (et un fichier clients ou la gestion du personnel ne sont par définition pas occasionnels) ou dès que vous traitez des données sensibles.
Conclusion : la plupart des PME ont tout simplement besoin d’un registre. Ce n’est pas forcément un document impressionnant : un tableur qui indique pour chaque traitement les finalités, les catégories de données, les durées de conservation et les destinataires suffit. La CNIL explique la portée exacte de cette dérogation sur sa page consacrée au registre des activités de traitement, qui propose aussi un modèle de registre simplifié pour commencer.
Ai-je besoin d’un DPO ?
Un délégué à la protection des données (DPO) n’est obligatoire que dans trois cas :
- Vous êtes un organisme public.
- Votre activité principale consiste en un suivi régulier et systématique de personnes à grande échelle.
- Votre activité principale consiste à traiter à grande échelle des données sensibles (santé, religion, biométrie…).
Pour la PME type (une entreprise du bâtiment, un cabinet d’avocats, une boutique en ligne avec quelques milliers de clients), aucun DPO n’est obligatoire. Pour un cabinet médical, une agence marketing qui fait du profilage ou une plateforme qui collecte des données comportementales, si.
Un DPO n’est pas obligatoire, mais vous voulez quand même désigner un responsable en interne ? Bonne idée. Vous n’avez alors pas à déclarer officiellement cette personne comme DPO, mais une responsabilité interne claire évite que la conformité soit « l’affaire de tous, donc de personne ».
Une fuite de données : la règle des 72 heures
Ce qui surprend peut-être certaines PME : une fuite de données, ce n’est pas seulement un piratage. Un ordinateur portable volé, un e-mail envoyé au mauvais destinataire, un dossier cloud mal configuré, un fournisseur piraté avec vos données au passage : ce sont toutes des fuites de données.
La règle : s’il y a un risque pour les personnes concernées, vous devez notifier la fuite à la CNIL dans les 72 heures. En cas de risque élevé, vous devez aussi informer les personnes concernées elles-mêmes.
Ces 72 heures passent vite. La préparation pratique : sachez à l’avance qui suit la procédure de notification, comment vous découvrez techniquement ce qui a fuité exactement, et qui dans votre équipe peut prendre les décisions. Ce n’est pas une procédure à improviser dans la panique à deux heures du matin.
Et les amendes ?
Oui, elles peuvent aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Non, ce n’est pas ce qu’une PME risque de façon réaliste.
Le RGPD exige que les sanctions soient proportionnées. Pour une entreprise de bonne foi, qui a ses affaires raisonnablement en ordre et qui coopère lors d’un incident, l’amende maximale n’est pas le scénario réaliste. Les amendes spectaculaires frappent les organisations structurellement négligentes ou qui ignorent les plaintes des personnes concernées.
Cela dit : pour une PME, l’atteinte à la réputation après une fuite de données rendue publique ou une plainte est souvent plus lourde que l’amende elle-même. Votre meilleur investissement, c’est la prévention, pas l’assurance après coup.
Une checklist pratique pour commencer aujourd’hui
- Faites la liste de tous les systèmes qui contiennent des données personnelles. CRM, logiciel d’e-mailing, comptabilité, RH, site web, stockage cloud. N’oubliez pas le shadow IT (comptes Dropbox personnels, groupes WhatsApp avec des clients).
- Déterminez pour chaque traitement la base légale et la durée de conservation. Deux colonnes dans un tableur. Commencez par là.
- Rédigez ou mettez à jour votre politique de confidentialité. Vous trouverez en ligne des modèles qui vous mettent sur la voie à 80 %.
- Vérifiez les contrats de sous-traitance (DPA) avec vos principaux fournisseurs (hébergeur cloud, outil d’e-mailing, logiciel de comptabilité). Ces contrats sont généralement disponibles en standard.
- Désignez la personne de référence en interne pour les questions de confidentialité, même si vous n’avez pas besoin de DPO.
- Documentez une procédure d’incident simple. Que faisons-nous en cas de fuite de données ? Qui appelle-t-on ?
- Sensibilisez votre équipe. La plupart des fuites sont des erreurs humaines, pas des piratages.
Pas glamour. Mais essentiel. Et pour une PME typique, c’est en grande partie faisable en une demi-journée à une journée de travail.
Sources officielles
Vous voulez creuser, ou vérifier une question à la source plutôt que dans un article de blog ? Ces quatre publications sont toutes gratuites et disponibles en français :
- Guide de sensibilisation au RGPD pour les petites et moyennes entreprises (CNIL et Bpifrance) — un guide pratique pour démarrer. Notre premier conseil.
- Appliquer le RGPD dans une TPE ou PME : les questions/réponses de la CNIL (CNIL) — au format questions-réponses, pratique pour retrouver vite un point précis (registre, droits des personnes, sécurité, fuites de données…).
- Professionnels : comment répondre à une demande de droit d’accès ? (CNIL) — spécifiquement sur la façon de traiter correctement une demande d’accès d’une personne. Indispensable si c’est la première fois que vous y êtes confronté.
- Guide de protection des données pour les petites entreprises (Comité européen de la protection des données, EDPB) — un guide web interactif avec des vidéos et des exemples, au niveau européen. Utile si vous travaillez à l’international.
Vous n’y voyez toujours pas clair après lecture ? C’est normal : ces documents sont rédigés pour des situations générales, et la pratique d’une entreprise donnée se joue toujours dans les détails.
Une remarque particulière sur l’IA
Si vous utilisez aujourd’hui des outils d’IA (Mistral, ChatGPT, Copilot, Claude et consorts), votre démarche RGPD a une dimension de plus. Chaque prompt est un transfert de données, et tous les fournisseurs n’activent pas par défaut le traitement dans l’UE. Nous écrirons bientôt un guide spécifique sur ce sujet : RGPD, souveraineté des données et IA : ce que les entreprises doivent savoir en 2026 — à lire si l’IA va chez vous plus loin qu’un résumé occasionnel.
Notre approche chez Tandem
Quand nous construisons un logiciel pour nos clients, nous partons par défaut du RGPD dès la conception (privacy by design) : SaaS européens, hébergement européen, minimisation des données intégrée au modèle de données, politique de conservation documentée pour chaque traitement, et une cartographie claire des tiers qui voient quelles données. Pas parce que c’est amusant, mais parce qu’ajouter tout cela après coup devient irréversiblement plus cher.
Pour les systèmes existants, nous faisons souvent un diagnostic RGPD rapide : où sont les risques, que faut-il traiter en priorité, et qu’est-ce qui peut attendre une phase ultérieure. Il s’avère généralement qu’une PME fait déjà 80 % du travail implicitement : c’est surtout la documentation qui manque.
Avertissement : cet article est une introduction générale, pas un avis juridique. Pour votre situation particulière (surtout en cas de données sensibles, de traitements internationaux ou de réglementation sectorielle), un conseil spécialisé est recommandé.
Vous vous demandez si vous êtes en règle ?
Un court échange suffit généralement pour cartographier les principaux risques et déterminer sur quoi agir aujourd’hui. Contactez Tandem, sans engagement, et sans jargon.
