RGPD pour les PME : le guide pratique pour se mettre en conformité

Le RGPD est en vigueur depuis 2018. Huit ans plus tard, de nombreuses PME ne sont toujours pas en conformité. Et la CNIL ne laisse plus passer.

En 2025, la CNIL a prononcé 83 sanctions (87 en 2024) pour un total de 486 839 500 euros d'amendes, dont deux amendes de 325 et 150 millions d'euros en matière de cookies. La CNIL a mené 323 contrôles en 2025, dont 125 en ligne. La procédure simplifiée (amendes jusqu'à 20 000 €, ou 100 000 € au-delà de 50 millions d'euros de chiffre d'affaires) a été utilisée 67 fois. Elle vise les affaires qui ne présentent pas de difficulté particulière.

Se mettre en conformité n'est ni impossible, ni ruineux. La plupart des obligations sont du bon sens, et les outils existent. Voici un guide concret, sans jargon.

Le RGPD en 2 minutes : ce que ça change pour vous

Le RGPD (Règlement Général sur la Protection des Données) est un règlement européen qui encadre la collecte et le traitement des données personnelles. Il s'applique à toute entreprise qui traite des données de résidents européens, quelle que soit sa taille.

Qu'est-ce qu'une "donnée personnelle" ?

Toute information qui permet d'identifier une personne, directement ou indirectement :

• Évidentes : nom, prénom, email, téléphone, adresse
• Moins évidentes : adresse IP, cookies, identifiant client, géolocalisation
• Sensibles (protection renforcée) : données de santé, orientation politique, religion, biométrie

Si vous avez un fichier clients, une newsletter, un site web avec un formulaire de contact, ou même un simple fichier Excel de prospects : vous traitez des données personnelles.

Ce que le RGPD vous demande

Principe	Ce que ça veut dire
Finalité	Vous collectez des données pour une raison précise, pas "au cas où"
Minimisation	Vous ne collectez que ce dont vous avez besoin
Durée limitée	Vous ne gardez pas les données indéfiniment
Sécurité	Vous protégez les données contre les fuites et les accès non autorisés
Transparence	Vous informez les personnes de ce que vous faites de leurs données
Droits	Vous permettez aux personnes d'accéder, modifier, supprimer leurs données

Les 6 étapes pour se mettre en conformité

Étape 1 : Cartographier vos traitements de données

Avant tout, vous devez savoir quelles données vous collectez, où elles sont stockées, et qui y a accès.

Faites le tour de vos outils :

Outil / Processus	Données collectées	Où c'est stocké
Site web (formulaire contact)	Nom, email, message	Base de données / CRM
Newsletter (Mailchimp, Brevo...)	Email, prénom	Serveurs du prestataire (souvent US)
Fichier clients (Excel / CRM)	Nom, email, téléphone, historique	PC local / cloud
Google Analytics	IP, navigation, appareil	Serveurs Google (US)
Comptabilité	Nom, adresse, SIRET, coordonnées bancaires	Logiciel comptable
RH / Paie	Données salariés complètes	Logiciel RH

Cette cartographie est la base de tout. Sans elle, impossible de rédiger les documents obligatoires.

Étape 2 : Créer votre registre des traitements

C'est le document n°1 exigé par le RGPD (article 30). Il concerne tous les organismes, quelle que soit leur taille. Les entreprises de moins de 250 salariés bénéficient d'une dérogation limitée : selon la CNIL, elles doivent quand même y inscrire les traitements non occasionnels (paie, gestion des clients, prospects et fournisseurs), les traitements à risque et ceux qui portent sur des données sensibles.

Pour chaque traitement, le registre doit contenir :

• Nom du traitement : ex. "Gestion de la newsletter"
• Responsable : qui décide du traitement
• Finalité : pourquoi ces données sont collectées
• Catégories de données : quelles données exactement
• Catégories de personnes : prospects, clients, salariés...
• Destinataires : qui a accès (interne + sous-traitants)
• Transferts hors UE : oui/non, quelles garanties
• Durée de conservation : combien de temps
• Mesures de sécurité : chiffrement, accès restreint, etc.

La CNIL fournit un modèle de registre gratuit en format tableur. Utilisez-le.

Étape 3 : Rédiger votre politique de confidentialité

Votre site web doit afficher une politique de confidentialité claire et complète. C'est l'application concrète du principe de transparence.

Elle doit expliquer à vos visiteurs quelles données vous collectez, pourquoi, combien de temps vous les gardez, et quels sont leurs droits.

Consultez notre modèle de politique de confidentialité RGPD gratuit pour un template complet.

Étape 4 : Gérer les cookies correctement

C'est le point de friction le plus visible pour vos utilisateurs. La règle est simple :

• Cookies essentiels (session, sécurité) : pas besoin de consentement
• Cookies marketing et, par défaut, cookies analytics : consentement préalable obligatoire (la CNIL exempte la mesure d'audience à des conditions strictes : finalité limitée à la seule mesure de l'audience, pour le compte exclusif de l'éditeur, statistiques anonymes uniquement)
• Le bandeau doit proposer "Accepter" ET "Refuser" (pas juste "OK")
• Le refus doit être aussi simple que l'acceptation
• Cookie wall (bloquer l'accès si refus) : pas interdit par principe, mais sa légalité s'apprécie au cas par cas et la CNIL recommande de proposer une alternative réelle et équitable à l'internaute qui refuse

En pratique, vous avez besoin d'un gestionnaire de cookies (CMP). Des solutions gratuites existent : Tarteaucitron, Klaro, ou Axeptio (payant mais très bien fait).

Si vous utilisez Google Analytics et que l'utilisateur refuse les cookies, vous ne devez pas charger le script GA. Beaucoup de sites se trompent ici.

Étape 5 : Sécuriser les données

Le RGPD exige des "mesures techniques et organisationnelles appropriées". Concrètement, pour une PME :

Mesures techniques :

• HTTPS sur tout le site (certificat SSL)
• Mots de passe hashés en base de données (jamais en clair)
• Accès restreint aux données (chaque employé n'accède qu'à ce dont il a besoin)
• Sauvegardes régulières et testées
• Mises à jour de sécurité appliquées rapidement
• Authentification à deux facteurs (2FA) sur les outils sensibles

Mesures organisationnelles :

• Sensibilisation des employés aux bonnes pratiques
• Procédure en cas de fuite de données (notification CNIL sous 72h)
• Charte informatique interne
• Politique de mot de passe (complexité suffisante, sans renouvellement périodique imposé aux comptes utilisateurs classiques : la CNIL a abandonné cette obligation en 2022, sauf pour les comptes administrateurs)

Étape 6 : Mettre en place les droits des personnes

Vos clients et utilisateurs ont le droit de vous demander :

• Une copie de leurs données (droit d'accès)
• La correction d'une erreur (droit de rectification)
• La suppression de leurs données (droit à l'effacement)
• L'export de leurs données (droit à la portabilité)

Vous devez répondre dans un délai d'un mois (prolongeable de deux mois pour une demande complexe, à condition d'en informer la personne dans le premier mois). En pratique, préparez un process simple :

1. Un email dédié (ex: rgpd@votre-entreprise.fr)
2. Une procédure interne pour vérifier l'identité du demandeur
3. Un process pour extraire et envoyer les données (ou les supprimer)

Ai-je besoin d'un DPO ?

Le DPO (Délégué à la Protection des Données) est obligatoire dans 3 cas :

1. Vous êtes un organisme public
2. Votre activité principale implique un suivi régulier de personnes à grande échelle
3. Vous traitez des données sensibles à grande échelle (santé, biométrie...)

Pour la plupart des PME classiques (site e-commerce, cabinet de conseil, agence de services...), le DPO n'est pas obligatoire. Mais il est recommandé dès que vous traitez un volume significatif de données.

Les options :

Option	Coût	Pour qui
DPO interne (salarié formé)	Coût d'une formation + temps dédié	Entreprises 50+ salariés
DPO externe (prestataire)	Abonnement mensuel, sur devis	PME 10-50 salariés
Référent RGPD interne	Coût d'une formation courte	TPE < 10 salariés
Se débrouiller seul (avec ce guide)	0 €	Micro-entreprises

Checklist de conformité RGPD pour PME

Utilisez cette checklist pour évaluer votre niveau de conformité :

Fondamentaux

• J'ai cartographié tous mes traitements de données personnelles
• J'ai créé et mis à jour mon registre des traitements
• Ma politique de confidentialité est publiée et accessible sur mon site
• Mes mentions légales sont complètes et à jour
• J'ai un bandeau cookies conforme (accepter ET refuser)

Collecte et consentement

• Chaque formulaire a une finalité claire
• Je ne collecte que les données nécessaires (minimisation)
• Le consentement est recueilli avant l'envoi de newsletters
• Les cases de consentement ne sont pas pré-cochées
• Je conserve la preuve du consentement

Sécurité

• Mon site est en HTTPS
• Les mots de passe sont hashés (pas stockés en clair)
• L'accès aux données est restreint selon les rôles
• Je fais des sauvegardes régulières
• J'ai une procédure en cas de violation de données

Droits des personnes

• J'ai un moyen de contact dédié pour les demandes RGPD
• Je peux fournir une copie des données d'une personne
• Je peux supprimer les données d'une personne sur demande
• Je réponds aux demandes en moins d'un mois

Sous-traitants

• J'ai identifié tous mes sous-traitants qui accèdent à des données
• Mes contrats avec les sous-traitants incluent des clauses RGPD
• Les transferts hors UE sont encadrés (clauses contractuelles types)

Les sanctions : ce que vous risquez vraiment

Soyons concrets. La CNIL utilise deux procédures :

Procédure simplifiée (la plus fréquente pour les PME)

• Amende max : 20 000 € (100 000 € si le chiffre d'affaires dépasse 50 millions d'euros)
• Astreinte max : 100 €/jour (500 €/jour si le chiffre d'affaires dépasse 50 millions d'euros)
• Procédure : rapide, non publique
• 67 décisions en 2025 : pour les affaires qui ne présentent pas de difficulté particulière

Procédure ordinaire (pour les cas graves)

• Amende max : 20 millions € ou 4% du CA mondial
• Procédure : longue, publique
• 16 décisions en 2025 : prononcées par la formation restreinte de la CNIL

Avant l'amende, la CNIL passe souvent par des mesures qui ne sont pas des sanctions (143 mises en demeure et 31 rappels aux obligations légales en 2025), sans y être tenue : en cas de manquement, elle peut décider de mettre en demeure ou de sanctionner. Les étapes possibles :

1. Un rappel aux obligations légales (ce n'est pas une sanction)
2. Une mise en demeure avec un délai pour se mettre en conformité
3. Une sanction si rien n'est fait

Le meilleur moyen d'éviter les ennuis ? Ne pas attendre le contrôle. En 2025, les trois principaux motifs de sanction en procédure simplifiée sont la sécurisation insuffisante des données, l'absence de coopération avec la CNIL et le non-respect des droits des personnes.

FAQ

Je suis auto-entrepreneur avec un petit site vitrine. Je suis vraiment concerné ?

Oui. Dès que votre site a un formulaire de contact ou utilise Google Analytics, vous traitez des données personnelles. Mais la bonne nouvelle : votre mise en conformité est simple. Politique de confidentialité + mentions légales + bandeau cookies conforme : c'est le socle visible. Ajoutez un registre des traitements, même court.

Je n'ai pas les moyens de payer un DPO ou un avocat spécialisé

Ce n'est pas nécessaire pour la majorité des PME. La CNIL fournit des guides gratuits, des modèles de registre, et des fiches pratiques. Avec ce guide et 2-3 heures de travail, vous pouvez atteindre un bon niveau de conformité.

Google Analytics est-il conforme au RGPD ?

Google Analytics 4 (GA4) peut être utilisé si vous recueillez le consentement avant de charger le script. Il n'y a plus de réglage d'anonymisation des IP à faire : selon Google, GA4 n'enregistre ni ne stocke les adresses IP. Côté transferts vers les États-Unis, la CNIL indique que, depuis la décision d'adéquation du 10 juillet 2023 (Data Privacy Framework), ils peuvent se faire librement vers les entités américaines certifiées. Des alternatives plus respectueuses existent : Plausible, Matomo (auto-hébergeable), ou Fathom.

Que faire en cas de fuite de données ?

Vous avez 72 heures pour notifier la CNIL si la fuite présente un risque pour les personnes concernées. Vous devez aussi informer les personnes directement si le risque est élevé. Documentez l'incident dans un registre des violations (date, nature, mesures prises).

Le RGPD s'applique-t-il à mes fichiers papier ?

Oui. Le RGPD couvre tous les traitements de données personnelles, y compris les fichiers papier. Si vous avez un classeur avec des fiches clients, il est concerné.

Commencez par les mentions légales

La première étape de la conformité, c'est d'avoir des mentions légales complètes. Notre générateur de mentions légales gratuit vous crée un texte conforme en 5 minutes, adapté à votre statut juridique, avec les informations hébergeur pré-remplies.

Générer mes mentions légales →

Votre site est-il conforme ?

La conformité RGPD commence par le site web : c'est le premier point de contact avec vos utilisateurs, et la CNIL peut le contrôler à distance (125 contrôles en ligne en 2025).

Chez Bob le développeur, on intègre la conformité RGPD dès la conception : bannière cookies correctement implémentée, formulaires conformes, politique de confidentialité et mentions légales en place, données sécurisées.

Besoin d'un site web conforme et professionnel ? On en discute.