Se mettre en conformité avec le RGPD se fait en sept étapes, dans cet ordre : comprendre ce que la loi attend de vous, cartographier les données que vous collectez, informer les personnes, recueillir les bons consentements, sécuriser, organiser la réponse aux demandes de droits, puis documenter l’ensemble dans un registre.
Une TPE ou une petite PME y consacre en général deux à cinq jours de travail répartis sur quelques semaines, sans juriste et sans logiciel spécialisé. Ce guide décrit chaque étape avec le résultat attendu, les erreurs les plus fréquentes et une liste de contrôle finale.
L’essentiel
- Le RGPD s’applique à toute entreprise qui collecte un nom, un e-mail ou une adresse IP, sans seuil de taille ni d’effectif.
- Quatre documents suffisent à une petite structure : un registre des traitements, une politique de confidentialité, des mentions sur chaque formulaire et une procédure de réponse aux demandes de droits.
- La CNIL sanctionne d’abord l’absence de démarche, pas l’imperfection : une documentation simple et datée vaut mieux qu’un dossier parfait jamais commencé.
- Comptez deux à cinq jours de travail pour une TPE, et un budget de 2 000 à 10 000 € HT si vous confiez la mise en conformité à un cabinet.
Avant de commencer, mesurez votre point de départ : le test ci-dessous reprend les douze questions que nous posons lors d’un premier audit.
Êtes-vous conforme au RGPD ?
Répondez à 12 questions pour évaluer votre niveau de conformité en 2 minutes.
1. Avez-vous une cartographie complète de vos données personnelles ?
2. Avez-vous identifié tous vos sous-traitants et logiciels utilisés ?
3. Disposez-vous d’un registre des traitements à jour ?
4. Votre site web est-il conforme RGPD (cookies, mentions, formulaires) ?
5. Avez-vous défini une durée de conservation pour chaque type de donnée ?
6. Vos contrats avec les sous-traitants contiennent-ils des clauses RGPD ?
7. Avez-vous une procédure en cas de violation de données ?
8. Avez-vous mis en place une sécurité adaptée aux données sensibles ?
9. Informez-vous les personnes concernées sur leurs droits ?
10. Êtes-vous en mesure de répondre à une demande RGPD sous 30 jours ?
11. Vos équipes sont-elles formées au RGPD ?
12. Avez-vous réalisé une analyse d’impact (AIPD) si nécessaire ?
Étape 1 : comprendre ce que le RGPD attend de vous
Le Règlement général sur la protection des données est la loi européenne qui encadre, depuis le 25 mai 2018, toute utilisation d’informations se rapportant à une personne identifiable : nom, adresse e-mail, numéro de téléphone, adresse IP, données de navigation, factures, candidatures ou avis clients.
Vous êtes concerné dès que vous avez un formulaire de contact, une base clients, une newsletter, un outil de mesure d’audience ou des salariés.
Le texte ne prévoit aucune exception pour les petites structures ; il prévoit en revanche des obligations proportionnées, ce qui signifie qu’une TPE n’a pas à produire la même documentation qu’un groupe. Si vous doutez d’être concerné, l’article qui est concerné par le RGPD détaille les cas limites.
Le RGPD repose sur cinq engagements que vous retrouverez à chaque étape : n’utiliser les données que pour un objectif précis et annoncé, ne collecter que ce qui est nécessaire, informer les personnes de ce que vous faites, protéger les données contre la perte et l’accès non autorisé, et pouvoir prouver tout cela en cas de contrôle. Ce dernier point, que le règlement appelle « responsabilité » ou accountability, explique pourquoi la documentation compte autant que les actions elles-mêmes.
Étape 2 : cartographier les données que vous collectez
Vous ne pouvez pas protéger ce que vous n’avez pas identifié. Prenez une heure pour lister, activité par activité, les données personnelles que vous manipulez, où elles sont stockées, pourquoi vous les collectez et qui y a accès. Un tableur suffit ; le tableau ci-dessous montre le niveau de détail attendu pour une petite entreprise.
| Quelles données ? | Où sont-elles stockées ? | Pourquoi les collectez-vous ? | Qui y a accès ? |
|---|---|---|---|
| Nom, prénom, e-mail, téléphone des prospects | Messagerie, formulaire du site, CRM | Répondre aux demandes de contact et de devis | Vous, votre assistante, le prestataire du site |
| Données de navigation des visiteurs | Outil de mesure d’audience | Analyser la fréquentation du site | Vous |
| Coordonnées et factures des clients | Logiciel de facturation | Facturer et respecter les obligations comptables | Vous, votre expert-comptable |
| Données des salariés (contrat, paie, absences) | Logiciel de paie, dossiers RH | Gérer la relation de travail | Vous, le cabinet de paie |
| Candidatures reçues | Messagerie, dossier partagé | Recruter | Vous |
Cinq questions permettent de ne rien oublier :
- Ai-je un formulaire de contact, de devis ou d’inscription sur mon site ?
- Mes clients m’écrivent-ils par e-mail ou sur les réseaux sociaux ?
- Est-ce que j’utilise un outil de mesure d’audience ?
- Est-ce que je fais de l’e-mailing ou de la prospection ?
- Est-ce que je note des informations clients dans un fichier, un CRM ou un logiciel de facturation ?
À la fin de cette étape, vous disposez d’une vue claire de vos données, qui servira de base au registre de l’étape 7 et à la politique de confidentialité de l’étape 3.
Étape 3 : informer clairement les personnes
Le RGPD impose la transparence : vos visiteurs, clients et candidats doivent comprendre ce que vous faites de leurs données au moment où ils vous les confient. Deux documents y pourvoient.
La politique de confidentialité, accessible depuis chaque page du site, répond à cinq questions : quelles données sont collectées, dans quel but, qui y a accès, combien de temps elles sont conservées et quels sont les droits des personnes.
Notre générateur gratuit de politique de confidentialité produit un texte adapté à une petite entreprise en quelques minutes. Les mentions d’information, elles, s’affichent sous chaque formulaire en une ou deux phrases : « Les informations recueillies via ce formulaire servent à traiter votre demande de devis.
Pour en savoir plus sur la gestion de vos données et vos droits, consultez notre politique de confidentialité. »
Rédigez ces textes dans le langage de vos clients plutôt que dans celui des juristes : une politique copiée sur un autre site, non adaptée à vos pratiques, est à la fois inefficace et risquée, puisqu’elle décrit des traitements qui ne sont pas les vôtres.
Les oublis les plus fréquents sont un lien vers la politique absent du pied de page, des formulaires sans mention et une page RGPD introuvable. Les obligations précises figurent dans l’article sur le droit à l’information (articles 13 et 14).
Étape 4 : recueillir les bons consentements
Toutes les utilisations de données ne demandent pas un consentement : répondre à une demande de devis, facturer un client ou gérer la paie reposent sur le contrat ou sur une obligation légale.
Le consentement devient nécessaire pour les cookies de mesure d’audience et de publicité, pour l’envoi d’une newsletter à des personnes qui ne sont pas encore clientes et pour toute réutilisation d’une donnée à une fin différente de celle annoncée.
Dans ces cas, il doit résulter d’une action positive : une case à cocher non pré-cochée, un bouton d’acceptation, jamais un silence ni la poursuite de la navigation.
Pour les cookies, un bandeau conforme bloque les traceurs tant que l’utilisateur n’a pas choisi et propose un refus aussi simple que l’acceptation.
Des solutions comme Axeptio, Complianz, Cookiebot ou tarteaucitron, validées par la CNIL, s’installent en quelques minutes sur un site WordPress ; l’article Google Analytics et RGPD explique le cas particulier de la mesure d’audience.
Conservez enfin la preuve des consentements : votre outil d’e-mailing garde la date et l’origine de chaque inscription, et votre gestionnaire de cookies journalise les choix des visiteurs.
Les erreurs classiques sont la case pré-cochée, le mélange entre inscription à la newsletter et demande de contact, et les cookies déposés avant le choix du visiteur.
Étape 5 : sécuriser les données
L’article 32 du RGPD vous demande des mesures « appropriées » au risque, pas une infrastructure de banque. Pour une petite entreprise, cinq pratiques couvrent l’essentiel :
- un mot de passe unique et long pour chaque outil, géré par un gestionnaire de mots de passe ;
- la double authentification sur la messagerie, l’hébergeur, le drive et l’outil d’e-mailing ;
- les mises à jour du système, du navigateur et des extensions WordPress ;
- une sauvegarde automatique vers un support distinct ;
- des accès limités aux personnes qui en ont besoin, retirés dès le départ d’un collaborateur ou d’un prestataire.
Les données hors ligne suivent la même logique : un fichier Excel de clients se protège par mot de passe, les dossiers papier se rangent sous clé, un ordinateur partagé reçoit une session par utilisateur.
Préparez aussi la réaction à un incident. Une violation de données (vol d’ordinateur, piratage de messagerie, envoi d’un fichier au mauvais destinataire) doit être notifiée à la CNIL sous 72 heures lorsqu’elle présente un risque pour les personnes.
Une procédure d’une page, qui dit qui prévenir, quoi vérifier et quand notifier, évite la panique le jour venu ; notre guide sur la gestion d’une fuite de données en donne le modèle.
Étape 6 : répondre aux demandes de droits
Toute personne dont vous détenez des données peut vous demander d’y accéder, de les corriger, de les effacer, d’en limiter l’usage, de s’opposer à leur utilisation commerciale ou de les récupérer dans un format lisible. Vous devez répondre dans un délai d’un mois, même pour refuser, en expliquant pourquoi.
Trois dispositions suffisent : une adresse de contact dédiée et affichée dans la politique de confidentialité, une procédure courte qui précise qui répond et où chercher les données, et la conservation d’une copie de chaque réponse.
Le détail de chaque droit est traité dans nos fiches sur le droit d’accès, le droit à l’effacement et le droit d’opposition.
Étape 7 : documenter votre conformité
La dernière étape transforme vos actions en preuves.
Le document central est le registre des traitements, qui reprend la cartographie de l’étape 2 en y ajoutant, pour chaque activité, la base légale, la durée de conservation et les mesures de sécurité ; la CNIL fournit un modèle simplifié pour les petites structures et notre exemple de registre RGPD rempli montre à quoi ressemble le résultat.
Autour du registre, conservez la version datée de votre politique de confidentialité, les preuves de consentement, votre procédure de réponse aux demandes de droits, votre procédure de violation de données, et la trace des formations suivies par vos équipes.
Un dossier partagé nommé « RGPD », avec ces cinq éléments, constitue un dossier de conformité suffisant pour une TPE.
Deux compléments s’imposent selon votre situation. Si vous confiez des données à des prestataires (hébergeur, logiciel de paie, agence web, outil d’e-mailing), vérifiez que vos contrats contiennent les clauses de l’article 28 sur la sous-traitance. Et si vous traitez des données sensibles ou à grande échelle, une analyse d’impact peut être obligatoire avant de démarrer le traitement.
Ce que je constate en mission. Sur plus de 200 mises en conformité, l’erreur la plus coûteuse n’est pas l’absence de bandeau cookies ni une politique de confidentialité incomplète : c’est de considérer le RGPD comme un projet qui se termine.
La plupart des entreprises que j’accompagne avaient fait l’essentiel en 2018, puis changé de CRM, de site, de prestataire de paie et d’outil d’e-mailing sans jamais rouvrir leur registre.
En contrôle, la CNIL ne vous reproche pas d’avoir fait des choix il y a six ans ; elle vous reproche de ne pas savoir ce que vous faites aujourd’hui. Un point d’une heure par an sur votre registre règle le problème.
Thomas Blanc, DPO externalisé depuis 2018
Les cinq erreurs les plus fréquentes dans les petites entreprises
- Penser que le RGPD ne vous concerne pas. Dès qu’un formulaire ou un devis existe, vous collectez des données personnelles.
- Copier une politique de confidentialité trouvée ailleurs. Elle décrit les traitements d’une autre entreprise et vous engage sur des pratiques qui ne sont pas les vôtres.
- Ignorer les cookies. La simple présence d’un outil de mesure d’audience ou d’un chatbot impose un bandeau de consentement.
- Collecter plus que nécessaire. Demander une date de naissance sur un formulaire de contact n’a pas de justification, donc pas de base légale.
- Ne rien écrire. Appliquer le RGPD sans pouvoir le prouver revient, en cas de contrôle, à ne pas l’avoir appliqué.
Liste de contrôle finale
Dix minutes suffisent pour vérifier où vous en êtes. Si vous cochez sept points ou plus, votre démarche est engagée ; en dessous, un accompagnement vous fera gagner plusieurs semaines.
- J’ai identifié les données que je collecte et où elles sont stockées.
- Mon site affiche une politique de confidentialité adaptée à mes pratiques.
- Chaque formulaire comporte une mention d’information.
- Un bandeau de cookies bloque les traceurs tant que le visiteur n’a pas choisi.
- Mes inscriptions à la newsletter reposent sur une case non pré-cochée.
- Mes accès sont protégés par des mots de passe uniques et la double authentification.
- Mes données sont sauvegardées automatiquement.
- Je tiens un registre des traitements, même simplifié.
- Je sais répondre à une demande d’accès ou de suppression dans le mois.
- Mes contrats avec mes prestataires contiennent des clauses de sous-traitance.
Questions fréquentes
Combien de temps prend une mise en conformité RGPD ?
Deux à cinq jours de travail pour une TPE qui part de zéro, répartis sur trois à six semaines pour laisser le temps de collecter les informations auprès des prestataires. Une PME de 20 à 100 personnes compte plutôt deux à trois mois avec un accompagnement.
Combien ça coûte ?
Rien en logiciel ni en abonnement si vous le faites vous-même avec un tableur et les modèles de la CNIL. Confiée à un cabinet, une mise en conformité coûte entre 2 000 et 10 000 € HT selon la taille ; l’article combien coûte une mise en conformité RGPD détaille les postes.
Faut-il nommer un DPO ?
La désignation d’un délégué à la protection des données n’est obligatoire que pour les organismes publics et les entreprises qui suivent des personnes à grande échelle ou traitent des données sensibles. Les autres peuvent nommer un référent interne ou faire appel à un DPO externalisé pour sécuriser leur suivi dans la durée.
Que risque une petite entreprise qui ne fait rien ?
Les amendes peuvent atteindre 4 % du chiffre d’affaires, mais la CNIL commence le plus souvent par une mise en demeure publique, qui coûte en réputation et en temps. Le risque le plus concret pour une TPE reste la plainte d’un client ou d’un ancien salarié, et l’impossibilité de répondre à un appel d’offres qui exige des preuves de conformité ; l’article que risquez-vous en donne le détail.
Faire le point avec un expert
Si vous préférez déléguer, notre mission RGPD Efficace couvre les sept étapes : audit, registre, documentation et plan d’action, avec un suivi dans la durée. Un appel de 30 minutes suffit pour savoir si vous pouvez avancer seul ou si un accompagnement vous fera gagner du temps.
Sources
- CNIL – RGPD : par où commencer
- CNIL – Le registre des activités de traitement (modèle simplifié)
- Règlement (UE) 2016/679
