RGPD dans une TPE : par où commencer

Un fichier de clients dans un tableur, des bulletins de paie, des CV reçus par e-mail, un formulaire de contact sur le site : même une entreprise de deux personnes traite des données personnelles chaque jour. Le règlement général sur la protection des données (RGPD) s’applique donc à elle, quelle que soit sa taille. La démarche peut rester simple, à condition de la prendre dans l’ordre.

Ce que recouvre le RGPD

Une donnée personnelle est toute information qui permet d’identifier une personne, directement ou indirectement : nom, adresse e-mail nominative, numéro de téléphone, numéro de client, adresse IP, photo. Un traitement est toute opération sur ces données : collecte, enregistrement, consultation, envoi, suppression.

Le RGPD repose sur quelques principes simples : ne collecter que ce qui est nécessaire, pour un objectif précis, l’expliquer aux personnes, protéger les données et ne pas les garder plus longtemps qu’utile.

Étape 1 : recenser vos traitements

Commencez par lister ce que vous faites avec des données personnelles. Pour une TPE, on retrouve souvent :

• la gestion des clients et des prospects (devis, factures, relances) ;
• la gestion du personnel et de la paie ;
• le recrutement ;
• les fournisseurs et partenaires ;
• le site web (formulaire de contact, mesure d’audience, cookies) ;
• la vidéoprotection, le cas échéant.

Ce recensement prend la forme d’un registre des traitements. Le RGPD prévoit un allègement de cette obligation pour les structures de moins de 250 salariés, mais il est limité : il ne joue pas, notamment, lorsque le traitement n’est pas occasionnel, ce qui est le cas de la gestion des clients ou de la paie. Dans les faits, la tenue d’un registre est donc conseillée à toute entreprise. La CNIL propose un modèle simplifié sur cnil.fr.

Pour chaque traitement, notez :

Étape 2 : informer les personnes

Les personnes dont vous traitez les données doivent savoir qui les traite, pourquoi, sur quelle base, pendant combien de temps, à qui elles sont transmises et comment exercer leurs droits. Concrètement :

• une politique de confidentialité sur le site web ;
• une mention d’information sous chaque formulaire ;
• une clause dans les contrats et conditions générales ;
• une note d’information pour les salariés et les candidats.

Votre site doit aussi respecter les règles sur les traceurs : notre article sur les cookies et le bandeau de consentement les détaille.

Étape 3 : fixer des durées de conservation

Chaque donnée doit avoir une durée de conservation définie, puis être supprimée ou archivée. Certaines durées découlent d’obligations légales, comme celles des pièces comptables, présentées dans notre article sur la durée de conservation des documents. Pour les autres, la CNIL publie des recommandations, par exemple pour les données de prospects inactifs ou les candidatures non retenues.

Étape 4 : encadrer vos sous-traitants

Votre expert-comptable, votre hébergeur, votre outil de facturation en ligne, votre prestataire de paie ou votre logiciel d’envoi d’e-mails traitent des données pour votre compte. Ce sont des sous-traitants au sens du RGPD. L’article 28 impose qu’un contrat encadre leur intervention : objet et durée du traitement, obligations de sécurité et de confidentialité, sort des données à la fin du contrat, aide en cas de demande d’exercice de droits ou d’incident.

La plupart des prestataires sérieux proposent ces clauses dans leurs conditions ou dans un accord dédié. Vérifiez aussi où sont hébergées les données, en particulier si elles sortent de l’Union européenne.

Étape 5 : sécuriser les données

Le RGPD exige des mesures de sécurité adaptées. Pour une petite entreprise, les bases suffisent souvent : mots de passe solides et double authentification, mises à jour, sauvegardes, accès limités selon les besoins. Notre article sur les mesures essentielles de cybersécurité en fait le tour.

Étape 6 : savoir réagir à un incident

Une perte d’ordinateur portable, un envoi d’e-mail au mauvais destinataire, un piratage de messagerie : ce sont des violations de données personnelles. Lorsqu’elle présente un risque pour les personnes, une violation doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance, et les personnes concernées doivent parfois être prévenues. Toutes les violations, même non notifiées, doivent être consignées dans un registre interne.

Étape 7 : répondre aux demandes des personnes

Toute personne peut demander à accéder à ses données, à les faire rectifier ou effacer, ou s’opposer à leur utilisation, notamment à des fins de prospection. Désignez une adresse de contact, notez les demandes reçues et répondez dans les délais prévus par le règlement, en principe un mois.

Les sanctions possibles

La CNIL peut prononcer des mises en demeure et des sanctions. Les amendes administratives prévues par le RGPD peuvent atteindre, pour les manquements les plus graves, 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Pour une TPE, le risque le plus courant reste une plainte d’un client ou d’un salarié, suivie d’un contrôle.

Un plan d’action réaliste

1. Recenser vos traitements dans un registre simple.
2. Mettre à jour la politique de confidentialité et les mentions des formulaires.
3. Fixer et appliquer des durées de conservation.
4. Vérifier les contrats de vos prestataires.
5. Renforcer la sécurité de base.
6. Préparer une procédure courte en cas d’incident.

Si vous faites de la prospection, poursuivez avec notre article sur la prospection par e-mail en B2B. Les règles et recommandations évoluent : vérifiez-les sur cnil.fr. Cet article donne des repères généraux et ne remplace pas un conseil juridique adapté à votre situation.

Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.