La conformité RGPD pour une PME ne consiste pas à accumuler des documents ou à faire remplir un formulaire de consentement à chaque client. La démarche consiste d’abord à savoir quelles données personnelles l’entreprise traite, pourquoi elle les utilise, sur quelle base légale, combien de temps elle les conserve, qui peut y accéder et comment elles sont protégées. À partir de cet état des lieux, la PME peut construire un plan d’action proportionné à ses activités.
Le RGPD s’applique aux organismes qui traitent des données personnelles. Pour une PME, l’enjeu est donc de transformer les obligations du règlement en une démarche concrète : cartographier les traitements, documenter les choix effectués, informer les personnes, encadrer les sous-traitants et réduire les risques liés aux données.
Une PME est-elle concernée par le RGPD ?
Oui, dès lors qu’elle traite des données personnelles dans le cadre de son activité. Cela peut concerner des informations relatives aux clients, prospects, salariés, candidats, fournisseurs ou utilisateurs d’un site internet.
La taille de l’entreprise ne dispense donc pas automatiquement du RGPD. En revanche, toutes les PME n’ont pas les mêmes traitements, les mêmes risques ni les mêmes obligations particulières. La mise en conformité doit être adaptée à la réalité de l’entreprise.
Une PME de services qui gère des fichiers clients, des candidatures, une newsletter et des comptes utilisateurs n’aura pas exactement les mêmes problématiques qu’un cabinet médical, une entreprise qui traite des données sensibles ou une société qui réalise un suivi important de personnes.
L’objectif n’est donc pas de reproduire un modèle standard, mais de partir des traitements réellement réalisés.
Faire l’état des lieux des traitements
La première étape d’une mise en conformité RGPD pour une PME consiste à établir une photographie des traitements de données personnelles.
La CNIL présente le registre des activités de traitement comme un outil permettant de recenser les traitements et d’avoir une vue d’ensemble des données utilisées par l’organisme. Il sert notamment à identifier les catégories de données, les finalités, les destinataires, les durées de conservation et les mesures de sécurité. Voir les recommandations de la CNIL sur le registre des activités de traitement.
Identifier les traitements
Il est préférable de raisonner par finalité plutôt que par logiciel.
Par exemple, une PME peut avoir plusieurs traitements liés à son activité :
- gestion des clients et des contrats ;
- gestion des prospects et demandes de contact ;
- facturation et comptabilité ;
- recrutement ;
- gestion des salariés ;
- envoi de communications commerciales ;
- gestion des accès aux outils informatiques ;
- vidéosurveillance, lorsque l’entreprise en utilise une ;
- gestion des utilisateurs d’un site ou d’une application.
Cette approche évite de réduire le RGPD à une simple liste de logiciels. Un même outil peut servir plusieurs finalités et, inversement, un même traitement peut mobiliser plusieurs solutions.
Données, destinataires et durées de conservation
Pour chaque traitement, la PME doit pouvoir répondre à des questions simples :
- Quelles données sont réellement collectées ?
- Pourquoi sont-elles nécessaires ?
- Qui peut y accéder ?
- À quels destinataires sont-elles communiquées ?
- Combien de temps sont-elles conservées ?
- Quels prestataires interviennent dans le traitement ?
- Quelles mesures permettent de les protéger ?
Cette étape peut également faire ressortir des situations faciles à corriger : des données collectées sans utilité claire, des comptes qui ne sont plus utilisés, des fichiers conservés trop longtemps ou des accès accordés à davantage de personnes que nécessaire.
Le registre doit rester cohérent avec la réalité de l’entreprise. Il doit donc évoluer lorsque les traitements changent.
Les documents à structurer
Une conformité RGPD PME ne repose pas sur un document unique. La documentation doit permettre de démontrer les choix effectués et de suivre les actions de conformité.
Le registre des traitements
Le registre permet de formaliser les traitements et leurs principales caractéristiques. La CNIL indique notamment qu’il doit permettre d’identifier les finalités, les catégories de données, les personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité.
Pour une petite structure, le registre peut commencer par les traitements les plus évidents puis être enrichi progressivement. L’important est qu’il reflète les activités réellement exercées et qu’il soit mis à jour lorsque celles-ci évoluent.
La CNIL met par ailleurs à disposition un modèle de registre adapté aux besoins courants des petites structures.
L’information des personnes et l’exercice des droits
Les personnes dont les données sont traitées doivent recevoir une information adaptée au traitement concerné. Une PME doit donc identifier les supports et moments où cette information doit être fournie : formulaire de contact, relation commerciale, recrutement, espace client, collecte de données par téléphone ou tout autre contexte pertinent.
L’entreprise doit également être en mesure de traiter les demandes liées aux droits des personnes, selon les règles applicables : accès, rectification, effacement, opposition, limitation ou autres droits prévus par le RGPD selon la situation.
L’enjeu opérationnel est de savoir qui reçoit la demande, comment elle est vérifiée, qui la traite et comment la réponse est documentée.
Bases légales et consentement
Le consentement est souvent associé au RGPD, mais il ne constitue pas la base légale de tous les traitements.
Le RGPD prévoit plusieurs bases légales, parmi lesquelles le consentement, l’exécution d’un contrat, l’obligation légale, la sauvegarde des intérêts vitaux, la mission d’intérêt public et l’intérêt légitime. La base légale doit être déterminée en fonction du traitement concerné. Consulter les explications de la CNIL sur les bases légales.
Le consentement n’est donc pas une case à cocher systématiquement pour toutes les données collectées. Lorsqu’il est retenu, il doit répondre aux conditions prévues par le RGPD et l’entreprise doit pouvoir démontrer sa validité. Voir les règles de la CNIL sur le consentement.
Pour une PME, une bonne méthode consiste à documenter, traitement par traitement, la base légale retenue et la raison de ce choix.
Les sous-traitants
Une PME utilise rarement ses propres outils uniquement. Hébergement, messagerie, CRM, paie, sauvegarde, logiciel métier, plateforme de recrutement ou services marketing peuvent impliquer des prestataires qui traitent des données pour son compte.
Il faut donc identifier ces sous-traitants et vérifier le cadre contractuel applicable. La relation avec un prestataire ne transfère pas automatiquement la responsabilité de la PME : les rôles et obligations doivent être clarifiés.
Cette vérification est particulièrement utile lorsqu’un nouvel outil SaaS est adopté. Avant de généraliser son utilisation, l’entreprise peut se demander quelles données y seront transférées, pourquoi, pendant combien de temps et avec quelles mesures de protection.
Les violations de données personnelles
Une violation de données personnelles peut correspondre à une destruction, une perte, une altération, une divulgation non autorisée ou un accès non autorisé à des données.
Une erreur d’envoi d’un fichier contenant des informations personnelles, un compte compromis ou une perte de données peuvent par exemple nécessiter une analyse.
La PME doit prévoir une procédure permettant de qualifier l’incident et d’évaluer le risque pour les personnes. La CNIL indique que les violations doivent être documentées en interne. Lorsqu’une violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, lorsque cela est applicable, dans un délai maximal de 72 heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées doivent également être informées, sous réserve des exceptions prévues par le RGPD. Voir les recommandations de la CNIL sur les violations de données.
L’objectif n’est donc pas seulement de réagir rapidement le jour où un incident survient. Il faut aussi savoir à l’avance qui décide, qui analyse l’incident, qui conserve les éléments et quelles actions doivent être déclenchées.
Le DPO : une obligation pour toutes les PME ?
Non. La taille d’une entreprise ne suffit pas à déterminer si elle doit désigner un DPO.
Selon la CNIL, la désignation d’un délégué à la protection des données est notamment obligatoire pour les organismes publics, ainsi que dans certaines situations impliquant un suivi régulier et systématique des personnes à grande échelle ou le traitement à grande échelle de données sensibles ou relatives aux condamnations pénales et aux infractions. Voir les critères présentés par la CNIL.
Une PME qui n’est pas dans l’un de ces cas n’a donc pas automatiquement l’obligation de nommer un DPO. Elle doit néanmoins organiser le pilotage de ses obligations relatives aux données personnelles et peut choisir de s’appuyer sur une personne ou un accompagnement spécialisé adapté à sa situation.
Sécurité des données et RGPD
La conformité RGPD ne se limite pas aux documents juridiques. La protection des données passe également par des mesures de sécurité adaptées aux risques.
Dans une PME, cela peut notamment conduire à examiner :
- les droits d’accès aux données et aux applications ;
- les comptes administrateurs et les comptes inactifs ;
- les mises à jour des postes, serveurs et applications ;
- la protection des postes de travail ;
- la sécurité des messageries ;
- les sauvegardes et leur capacité à permettre une restauration ;
- la protection des échanges et du stockage ;
- la journalisation et la surveillance lorsque cela est pertinent ;
- les procédures à suivre en cas d’incident.
Le niveau de protection doit être cohérent avec les risques liés aux traitements. Il ne s’agit pas d'appliquer mécaniquement une liste de solutions, mais de mettre en place des mesures adaptées aux données, aux usages et aux conséquences possibles d'un incident.
Pour approfondir la dimension technique de cette démarche, la page Cybersécurité entreprise d’OM Conseil présente les enjeux liés à la protection des systèmes, des accès et des données.
Construire un plan d'action réaliste
Une PME n’a pas forcément besoin de traiter tous les sujets en même temps. Une démarche progressive permet souvent de transformer l’état des lieux en actions concrètes.
Un plan d’action peut par exemple être organisé autour de cinq étapes :
- Cartographier les principaux traitements de données personnelles.
- Identifier les écarts concernant l’information, les durées, les accès, les contrats ou la sécurité.
- Prioriser les risques selon les conséquences possibles pour les personnes et l’activité.
- Documenter les décisions : base légale, mesures de sécurité, procédures, responsabilités et actions prévues.
- Suivre les évolutions : nouveaux outils, nouveaux traitements, nouveaux prestataires ou changements dans l’organisation.
Prenons le cas hypothétique d’une PME qui utilise un CRM, une messagerie professionnelle, un outil de recrutement et une solution de sauvegarde. L’objectif ne serait pas simplement de produire quatre fiches administratives. Il faudrait vérifier quelles données circulent entre ces outils, qui peut y accéder, pourquoi elles sont conservées, quels prestataires interviennent et comment l’entreprise réagit si un compte est compromis.
Cette logique permet de rapprocher la conformité RGPD des pratiques quotidiennes de l’entreprise, sans transformer le sujet en projet documentaire déconnecté du système d’information.
Une analyse de la sécurité informatique peut compléter cette démarche lorsque les risques techniques doivent être examinés plus précisément. Dans ce cas, un audit de maturité de la sécurité du SI peut être envisagé selon le besoin et le périmètre retenu.
FAQ : conformité RGPD pour PME
Une petite entreprise doit-elle respecter le RGPD ?
Oui, si elle traite des données personnelles. Le RGPD ne s’applique pas uniquement aux grandes entreprises. En revanche, les obligations et mesures à mettre en œuvre dépendent notamment de la nature des traitements, des données concernées, des risques et de la situation de l’organisme.
Le registre des traitements est-il obligatoire pour une PME ?
Le registre est prévu par l’article 30 du RGPD, avec certaines exceptions prévues par le règlement. La CNIL présente le registre comme un outil de recensement et de documentation des traitements. Une PME doit donc vérifier sa situation et ne pas considérer sa petite taille comme une dispense automatique.
Faut-il demander le consentement pour toutes les données clients ?
Non. Le consentement est seulement l’une des bases légales prévues par le RGPD. Un traitement peut, selon sa finalité et sa situation, reposer sur une autre base comme l’exécution d’un contrat, une obligation légale ou l’intérêt légitime. La base légale doit être déterminée pour le traitement concerné.
Une PME doit-elle obligatoirement avoir un DPO ?
Non, pas automatiquement. L’obligation de désigner un DPO dépend de critères prévus par le RGPD, notamment certaines activités impliquant un suivi régulier et systématique à grande échelle ou le traitement à grande échelle de données sensibles. Une PME doit donc examiner sa situation avant de conclure qu’un DPO est obligatoire ou inutile.
Que doit faire une PME en cas de violation de données ?
Elle doit d’abord qualifier et documenter l’incident, puis évaluer le risque pour les droits et libertés des personnes. Lorsque la violation présente un risque, une notification à la CNIL peut être nécessaire dans un délai maximal de 72 heures après sa découverte. En cas de risque élevé, une information des personnes concernées peut également être requise.
Le RGPD impose-t-il une durée de conservation identique pour toutes les données ?
Non. La durée dépend notamment de la finalité du traitement et des obligations applicables. Une PME doit donc déterminer des durées adaptées à chaque traitement plutôt que conserver systématiquement toutes les données pendant la même période. Les durées retenues doivent être cohérentes avec les besoins et les obligations de l’entreprise.
Comment commencer une mise en conformité RGPD dans une PME ?
Le plus simple est de commencer par les traitements réellement utilisés : clients, prospects, salariés, candidats, fournisseurs et outils numériques. Il faut ensuite identifier les données, finalités, destinataires, durées, bases légales, prestataires et mesures de sécurité. Cette cartographie permet de construire un plan d’action priorisé plutôt que de traiter le RGPD comme une simple formalité administrative.
Conclusion
La conformité RGPD pour une PME repose avant tout sur une démarche structurée et continue. Identifier les traitements, choisir et documenter les bases légales, informer les personnes, encadrer les sous-traitants, gérer les violations et protéger les données permettent de transformer les exigences du RGPD en actions concrètes.
La bonne approche consiste à partir de la réalité de l’entreprise : ses données, ses outils, ses collaborateurs, ses prestataires et ses risques. La conformité devient alors un processus de pilotage qui accompagne les évolutions de l’activité, plutôt qu’un dossier figé créé une seule fois.
