RGPD pour les PME : le guide pratique pour se mettre en conformité

Le RGPD est en vigueur depuis 2018. Huit ans plus tard, 60% des PME ne sont toujours pas conformes. Et la CNIL ne laisse plus passer.

En 2025, les sanctions ont explosé : +107% par rapport à 2024, avec 87 décisions prononcées pour un total de 55 millions d'euros d'amendes. Le plus inquiétant ? 32% des entreprises contrôlées étaient des PME ou TPE. La procédure simplifiée (amendes jusqu'à 20 000 €) a été utilisée 69 fois — elle cible précisément les petites structures.

La bonne nouvelle : se mettre en conformité n'est ni impossible, ni ruineux. La plupart des obligations sont du bon sens, et les outils existent. Voici un guide concret, sans jargon.

Le RGPD en 2 minutes : ce que ça change pour vous

Le RGPD (Règlement Général sur la Protection des Données) est un règlement européen qui encadre la collecte et le traitement des données personnelles. Il s'applique à toute entreprise qui traite des données de résidents européens, quelle que soit sa taille.

Qu'est-ce qu'une "donnée personnelle" ?

Toute information qui permet d'identifier une personne, directement ou indirectement :

• Évidentes : nom, prénom, email, téléphone, adresse
• Moins évidentes : adresse IP, cookies, identifiant client, géolocalisation
• Sensibles (protection renforcée) : données de santé, orientation politique, religion, biométrie

Si vous avez un fichier clients, une newsletter, un site web avec un formulaire de contact, ou même un simple fichier Excel de prospects — vous traitez des données personnelles.

Ce que le RGPD vous demande, concrètement

Principe	Ce que ça veut dire
Finalité	Vous collectez des données pour une raison précise, pas "au cas où"
Minimisation	Vous ne collectez que ce dont vous avez besoin
Durée limitée	Vous ne gardez pas les données indéfiniment
Sécurité	Vous protégez les données contre les fuites et les accès non autorisés
Transparence	Vous informez les personnes de ce que vous faites de leurs données
Droits	Vous permettez aux personnes d'accéder, modifier, supprimer leurs données

Les 6 étapes pour se mettre en conformité

Étape 1 : Cartographier vos traitements de données

Avant tout, vous devez savoir quelles données vous collectez, où elles sont stockées, et qui y a accès.

Faites le tour de vos outils :

Outil / Processus	Données collectées	Où c'est stocké
Site web (formulaire contact)	Nom, email, message	Base de données / CRM
Newsletter (Mailchimp, Brevo...)	Email, prénom	Serveurs du prestataire (souvent US)
Fichier clients (Excel / CRM)	Nom, email, téléphone, historique	PC local / cloud
Google Analytics	IP, navigation, appareil	Serveurs Google (US)
Comptabilité	Nom, adresse, SIRET, coordonnées bancaires	Logiciel comptable
RH / Paie	Données salariés complètes	Logiciel RH

Cette cartographie est la base de tout. Sans elle, impossible de rédiger les documents obligatoires.

Étape 2 : Créer votre registre des traitements

C'est le document n°1 exigé par le RGPD (article 30). Toute entreprise de plus de 250 salariés doit le tenir. Mais en pratique, la CNIL le recommande pour toutes les entreprises, même les plus petites.

Pour chaque traitement, le registre doit contenir :

• Nom du traitement : ex. "Gestion de la newsletter"
• Responsable : qui décide du traitement
• Finalité : pourquoi ces données sont collectées
• Catégories de données : quelles données exactement
• Catégories de personnes : prospects, clients, salariés...
• Destinataires : qui a accès (interne + sous-traitants)
• Transferts hors UE : oui/non, quelles garanties
• Durée de conservation : combien de temps
• Mesures de sécurité : chiffrement, accès restreint, etc.

La CNIL fournit un modèle de registre gratuit en format tableur. Utilisez-le.

Étape 3 : Rédiger votre politique de confidentialité

Votre site web doit afficher une politique de confidentialité claire et complète. C'est l'application concrète du principe de transparence.

Elle doit expliquer à vos visiteurs quelles données vous collectez, pourquoi, combien de temps vous les gardez, et quels sont leurs droits.

Consultez notre modèle de politique de confidentialité RGPD gratuit pour un template complet.

Étape 4 : Gérer les cookies correctement

C'est le point de friction le plus visible pour vos utilisateurs. La règle est simple :

• Cookies essentiels (session, sécurité) : pas besoin de consentement
• Cookies analytics et marketing : consentement préalable obligatoire
• Le bandeau doit proposer "Accepter" ET "Refuser" (pas juste "OK")
• Le refus doit être aussi simple que l'acceptation
• Pas de cookie wall (bloquer l'accès si refus)

En pratique, vous avez besoin d'un gestionnaire de cookies (CMP). Des solutions gratuites existent : Tarteaucitron, Klaro, ou Axeptio (payant mais très bien fait).

Si vous utilisez Google Analytics et que l'utilisateur refuse les cookies, vous ne devez pas charger le script GA. Beaucoup de sites se trompent ici.

Étape 5 : Sécuriser les données

Le RGPD exige des "mesures techniques et organisationnelles appropriées". Concrètement, pour une PME :

Mesures techniques :

• HTTPS sur tout le site (certificat SSL)
• Mots de passe hashés en base de données (jamais en clair)
• Accès restreint aux données (chaque employé n'accède qu'à ce dont il a besoin)
• Sauvegardes régulières et testées
• Mises à jour de sécurité appliquées rapidement
• Authentification à deux facteurs (2FA) sur les outils sensibles

Mesures organisationnelles :

• Sensibilisation des employés aux bonnes pratiques
• Procédure en cas de fuite de données (notification CNIL sous 72h)
• Charte informatique interne
• Politique de mot de passe (longueur, complexité, renouvellement)

Étape 6 : Mettre en place les droits des personnes

Vos clients et utilisateurs ont le droit de vous demander :

• Une copie de leurs données (droit d'accès)
• La correction d'une erreur (droit de rectification)
• La suppression de leurs données (droit à l'effacement)
• L'export de leurs données (droit à la portabilité)

Vous devez répondre sous 30 jours. En pratique, préparez un process simple :

1. Un email dédié (ex: rgpd@votre-entreprise.fr)
2. Une procédure interne pour vérifier l'identité du demandeur
3. Un process pour extraire et envoyer les données (ou les supprimer)

Ai-je besoin d'un DPO ?

Le DPO (Délégué à la Protection des Données) est obligatoire dans 3 cas :

1. Vous êtes un organisme public
2. Votre activité principale implique un suivi régulier de personnes à grande échelle
3. Vous traitez des données sensibles à grande échelle (santé, biométrie...)

Pour la plupart des PME classiques (site e-commerce, cabinet de conseil, agence de services...), le DPO n'est pas obligatoire. Mais il est recommandé dès que vous traitez un volume significatif de données.

Les options :

Option	Coût	Pour qui
DPO interne (salarié formé)	Formation ~2 000 € + temps dédié	Entreprises 50+ salariés
DPO externe (prestataire)	200-600 €/mois	PME 10-50 salariés
Référent RGPD interne	Formation ~500 €	TPE < 10 salariés
Se débrouiller seul (avec ce guide)	0 €	Micro-entreprises

Checklist de conformité RGPD pour PME

Utilisez cette checklist pour évaluer votre niveau de conformité :

Fondamentaux

• J'ai cartographié tous mes traitements de données personnelles
• J'ai créé et mis à jour mon registre des traitements
• Ma politique de confidentialité est publiée et accessible sur mon site
• Mes mentions légales sont complètes et à jour
• J'ai un bandeau cookies conforme (accepter ET refuser)

Collecte et consentement

• Chaque formulaire a une finalité claire
• Je ne collecte que les données nécessaires (minimisation)
• Le consentement est recueilli avant l'envoi de newsletters
• Les cases de consentement ne sont pas pré-cochées
• Je conserve la preuve du consentement

Sécurité

• Mon site est en HTTPS
• Les mots de passe sont hashés (pas stockés en clair)
• L'accès aux données est restreint selon les rôles
• Je fais des sauvegardes régulières
• J'ai une procédure en cas de violation de données

Droits des personnes

• J'ai un moyen de contact dédié pour les demandes RGPD
• Je peux fournir une copie des données d'une personne
• Je peux supprimer les données d'une personne sur demande
• Je réponds aux demandes en moins de 30 jours

Sous-traitants

• J'ai identifié tous mes sous-traitants qui accèdent à des données
• Mes contrats avec les sous-traitants incluent des clauses RGPD
• Les transferts hors UE sont encadrés (clauses contractuelles types)

Les sanctions : ce que vous risquez vraiment

Soyons concrets. La CNIL utilise deux procédures :

Procédure simplifiée (la plus fréquente pour les PME)

• Amende max : 20 000 €
• Astreinte max : 100 €/jour
• Procédure : rapide, non publique
• 69 décisions en 2025 — c'est la procédure qui cible les PME

Procédure ordinaire (pour les cas graves)

• Amende max : 20 millions € ou 4% du CA mondial
• Procédure : longue, publique
• 18 décisions en 2025 — plutôt pour les grandes entreprises

En pratique, avant d'en arriver à l'amende, la CNIL envoie généralement :

1. Un rappel à l'ordre (pas de sanction financière)
2. Une mise en demeure avec un délai pour se mettre en conformité
3. Une sanction si rien n'est fait

Le meilleur moyen d'éviter les ennuis ? Ne pas attendre le contrôle. Plus de 60% des sanctions en 2025 auraient pu être évitées avec une conformité basique.

FAQ

Je suis auto-entrepreneur avec un petit site vitrine. Je suis vraiment concerné ?

Oui. Dès que votre site a un formulaire de contact ou utilise Google Analytics, vous traitez des données personnelles. Mais la bonne nouvelle : votre mise en conformité est simple. Politique de confidentialité + mentions légales + bandeau cookies conforme = vous êtes couvert à 90%.

Je n'ai pas les moyens de payer un DPO ou un avocat spécialisé

Ce n'est pas nécessaire pour la majorité des PME. La CNIL fournit des guides gratuits, des modèles de registre, et des fiches pratiques. Avec ce guide et 2-3 heures de travail, vous pouvez atteindre un bon niveau de conformité.

Google Analytics est-il conforme au RGPD ?

Google Analytics 4 (GA4) peut être conforme si vous configurez correctement l'anonymisation des IP et que vous recueillez le consentement avant de charger le script. Des alternatives plus respectueuses existent : Plausible, Matomo (auto-hébergeable), ou Fathom.

Que faire en cas de fuite de données ?

Vous avez 72 heures pour notifier la CNIL si la fuite présente un risque pour les personnes concernées. Vous devez aussi informer les personnes directement si le risque est élevé. Documentez l'incident dans un registre des violations (date, nature, mesures prises).

Le RGPD s'applique-t-il à mes fichiers papier ?

Oui. Le RGPD couvre tous les traitements de données personnelles, y compris les fichiers papier. Si vous avez un classeur avec des fiches clients, il est concerné.

Votre site est-il conforme ?

La conformité RGPD commence par le site web : c'est le premier point de contact avec vos utilisateurs et le premier élément que la CNIL vérifie.

Chez Bob le développeur, on intègre la conformité RGPD dès la conception : bannière cookies correctement implémentée, formulaires conformes, politique de confidentialité et mentions légales en place, données sécurisées.

Besoin d'un site web conforme et professionnel ? On en discute.