Comment une TPE ou une PME peut-elle appliquer le RGPD simplement ?

Une petite structure est-elle vraiment concernée ?

Oui. Le RGPD s'applique à tout organisme qui traite des données personnelles, sans seuil de taille : l'artisan qui tient un fichier de clients, le cabinet de kinésithérapie, la boulangerie qui emploie trois salariés, le consultant indépendant qui envoie une lettre d'information. Le texte est toutefois construit sur une logique de proportionnalité : les mesures exigées dépendent des risques, et une TPE ou PME qui traite des données ordinaires n'a pas les mêmes obligations pratiques qu'un hôpital ou une plateforme en ligne. La CNIL et Bpifrance ont publié un guide pratique de sensibilisation destiné aux petites entreprises, qui résume les actions prioritaires.

Les guides de la rubrique

Comment appliquer le RGPD à la gestion des salariés ?Du recrutement au départ, l'employeur traite une masse de données sur ses salariés. Le RGPD et le Code du travail encadrent ensemble ce q…Comment une association doit-elle appliquer le RGPD ?Club sportif, association de parents d'élèves, comité des fêtes ou ONG : toute association qui gère des membres traite des données person…Comment les professionnels de santé doivent-ils appliquer le RGPD ?Médecins, kinés, dentistes, infirmiers, pharmaciens, psychologues : vous traitez chaque jour des données de santé, parmi les plus sensibl…Comment concilier intelligence artificielle et RGPD ?Entraîner un modèle, déployer un assistant conversationnel, trier des candidatures avec un outil d'IA : le RGPD s'applique dès que des do…Quelles règles pour installer des caméras de vidéosurveillance ?Caméra dans un commerce, un entrepôt, un immeuble ou devant sa maison : les règles changent selon le lieu filmé. Voici comment rester dan…

Les obligations qui s'appliquent vraiment

Pour une petite structure qui ne traite pas de données sensibles à grande échelle, l'essentiel des obligations tient en six actions. Désigner un délégué à la protection des données n'est en général pas obligatoire ; l'analyse d'impact ne concerne que les traitements à risque élevé, rares dans une TPE. En revanche, le registre des traitements reste nécessaire pour les traitements habituels comme la paie ou la gestion des clients, la dérogation de l'article 30 étant très étroite, même si une évolution est en cours d'adoption au niveau européen.

Le registre simplifié

La CNIL propose un modèle de registre adapté aux petites structures, sous forme de tableur. Une TPE type y inscrit en général cinq à huit traitements, chacun décrit en quelques lignes : finalité, personnes concernées, données, destinataires, durée, mesures de sécurité. Une journée de travail suffit souvent pour une première version, à mettre à jour lors de chaque nouvel outil. Le guide du registre des traitements fournit un exemple de fiche.

Les clients et la prospection

La gestion des clients repose sur le contrat et sur les obligations comptables. L'envoi d'offres par courriel à des clients existants pour des produits analogues est possible sans consentement préalable, à condition de leur avoir permis de s'y opposer ; l'envoi à des particuliers qui ne sont pas clients suppose leur consentement. Depuis le 11 août 2026, appeler un particulier pour lui proposer une offre commerciale suppose qu'il y ait consenti préalablement, sauf contrat en cours. Ces règles, souvent méconnues des petites entreprises, sont à l'origine de nombreuses plaintes ; elles sont détaillées dans le guide de la prospection commerciale.

Les salariés

Dès la première embauche, l'entreprise traite les données de ses salariés : contrat, déclarations sociales, paie, médecine du travail, éventuellement badgeuse ou géolocalisation des véhicules. Ces traitements reposent principalement sur les obligations légales et le contrat de travail. L'employeur doit informer les salariés, limiter l'accès aux dossiers, respecter les durées de conservation et ne mettre en place aucun dispositif de contrôle sans information préalable. Les règles sont présentées dans le guide du RGPD en ressources humaines.

La sécurité, priorité numéro un

Les incidents les plus fréquents dans les petites structures sont le piratage de la messagerie, l'hameçonnage, les rançongiciels et la perte d'ordinateurs ou de téléphones. Quelques mesures simples réduisent fortement ces risques : un mot de passe unique et robuste par service, un gestionnaire de mots de passe, la double authentification sur la messagerie et les comptes bancaires, des mises à jour automatiques, une sauvegarde régulière dont une copie déconnectée, le chiffrement des ordinateurs portables et un compte distinct pour chaque salarié. Le dispositif cybermalveillance.gouv.fr propose des fiches réflexes gratuites et un accompagnement des victimes.

Les prestataires

Une TPE externalise souvent une bonne partie de ses traitements : expert-comptable, logiciel de facturation en ligne, hébergeur du site, outil de prise de rendez-vous, prestataire informatique, secrétariat externalisé. Chacun est un sous-traitant qui doit offrir des garanties et signer un contrat comportant les clauses de l'article 28 ; les grands éditeurs proposent en général un avenant de protection des données à accepter en ligne. Il faut vérifier au moins la localisation des données et la possibilité de les récupérer en fin de contrat.

Que risque une petite entreprise ?

La CNIL n'épargne pas les petites structures : une grande partie des 83 sanctions prononcées en 2025 visait des organismes de taille modeste, souvent par la procédure simplifiée, dont l'amende est plafonnée à 20 000 euros. Les motifs les plus courants sont la vidéosurveillance excessive des salariés, l'absence de réponse aux demandes de droits, la prospection sans consentement et les défauts de sécurité. Avant toute sanction, la CNIL prononce souvent une mise en demeure qui laisse un délai pour se mettre en conformité. L'enjeu le plus important reste néanmoins la confiance des clients, qui choisissent de plus en plus leurs fournisseurs selon leur sérieux sur ces sujets.

Céder ou transmettre son entreprise

Le fichier clients est souvent un actif essentiel d'une petite entreprise, notamment lors de sa cession ou de sa transmission. Sa valeur dépend directement de sa conformité : un fichier constitué sans information des clients ni base légale valable, ou conservé bien au-delà des durées admises, peut perdre l'essentiel de son intérêt pour un repreneur. L'article du blog consacré à la cession d'un fichier clients détaille les précautions à prendre, côté cédant comme côté repreneur.

Le plan d'action d'une TPE en dix gestes

Une très petite entreprise peut se mettre en conformité en quelques jours de travail répartis sur quelques semaines. Les dix gestes essentiels sont les suivants : lister ses traitements dans le modèle de registre de la CNIL ; supprimer les données qui ne servent plus, comme les vieux fichiers de prospects ou les CV d'anciens candidats ; fixer des durées de conservation ; rédiger une mention d'information sous chaque formulaire et une politique de confidentialité ; vérifier le bandeau cookies du site ; vérifier que les contrats avec le comptable, l'hébergeur, le logiciel de facturation et le prestataire informatique comportent les clauses de sous-traitance ; activer la double authentification sur la messagerie et les principaux outils en ligne ; chiffrer les ordinateurs portables et mettre en place une sauvegarde externalisée ; informer les salariés des dispositifs qui les concernent ; prévoir une adresse pour les demandes de droits et une procédure simple en cas de violation.

Les aides et accompagnements

Les petites entreprises ne sont pas seules face au RGPD. La CNIL a publié avec Bpifrance un guide pratique destiné aux TPE et PME, qui présente les obligations de façon concrète et accessible. Les chambres de commerce et d'industrie et les chambres de métiers et de l'artisanat proposent des ateliers, des diagnostics et parfois des accompagnements individuels. Les organisations professionnelles diffusent des guides sectoriels, comme ceux destinés aux agents immobiliers, aux artisans du bâtiment, aux professionnels du tourisme ou aux commerçants. Le dispositif cybermalveillance.gouv.fr propose un diagnostic de sécurité gratuit et une labellisation des prestataires de proximité, ExpertCyber, qui aide à choisir un prestataire informatique sérieux. Les experts-comptables, souvent les premiers interlocuteurs des dirigeants, ont aussi développé des offres d'accompagnement.

Les traitements typiques d'une petite entreprise

Malgré la diversité des activités, les petites entreprises partagent un socle de traitements communs. La gestion des clients, avec les devis, les commandes, les factures et le suivi commercial. La gestion des fournisseurs et de leurs interlocuteurs. La gestion du personnel, avec la paie, les congés, les arrêts de travail et les entretiens. Le recrutement. La comptabilité. Le site internet, avec ses formulaires et ses cookies. La messagerie et les outils collaboratifs. Éventuellement la vidéosurveillance des locaux, la géolocalisation des véhicules et la prospection. Une dizaine de fiches de registre suffit généralement à couvrir ces activités, et les référentiels de la CNIL sur la gestion commerciale et la gestion du personnel fournissent des modèles directement réutilisables.

Le dirigeant et la responsabilité

Dans une petite entreprise, le dirigeant porte généralement seul la responsabilité de la conformité, faute de juriste ou de délégué. Il n'a pas besoin de devenir un expert, mais doit connaître les principes de base, savoir où trouver l'information et désigner, le cas échéant, une personne de confiance pour suivre le sujet au quotidien. Il peut aussi s'appuyer sur un prestataire externe pour un diagnostic initial et un accompagnement ponctuel. L'essentiel est d'adopter une démarche proportionnée : la CNIL n'attend pas d'un artisan les mêmes moyens que d'une grande entreprise, mais elle attend le respect des règles élémentaires, notamment en matière de sécurité, d'information et de droits des personnes.

Les simplifications en discussion

Plusieurs textes européens en cours d'adoption visent à alléger certaines obligations pour les petites et moyennes entreprises. Le paquet dit « Omnibus IV », qui a fait l'objet d'un accord provisoire en juin 2026, prévoit notamment de relever le seuil d'exemption de l'obligation de tenir un registre et de l'étendre aux petites entreprises de taille intermédiaire, sauf pour les traitements présentant un risque élevé. La proposition d'« Omnibus numérique » envisage d'autres ajustements, notamment sur les cookies et la notification des violations. Ces textes n'étaient pas définitivement adoptés à la date de mise à jour de ce guide, et les obligations actuelles restent applicables. Ils ne remettent pas en cause les principes fondamentaux du RGPD, comme l'information, la sécurité ou le respect des droits.

Les contrôles et sanctions visant les petites structures

La procédure de sanction simplifiée, créée en 2022, a permis à la CNIL de sanctionner plus facilement des petites structures, pour des montants adaptés à leur taille. Les manquements les plus souvent relevés concernent la vidéosurveillance excessive des salariés, l'absence de réponse aux demandes de droits, la sécurité insuffisante des données, l'absence d'information, la conservation excessive et le défaut de coopération avec la CNIL. Les amendes prononcées dans ce cadre vont de quelques centaines à quelques milliers d'euros, dans la limite de 20 000 euros. Ces sanctions ne sont pas publiées, mais la CNIL en présente régulièrement une synthèse anonymisée qui illustre les manquements les plus fréquents et permet aux petites entreprises de vérifier qu'elles ne commettent pas les mêmes erreurs.

Le RGPD comme argument commercial

Pour une petite entreprise, la conformité peut devenir un argument commercial. Les grands donneurs d'ordre et les acheteurs publics exigent de plus en plus de leurs fournisseurs des garanties sur la protection des données : contrat de sous-traitance, description des mesures de sécurité, localisation des données, procédure de notification des violations. Une PME capable de fournir rapidement ces éléments se distingue de ses concurrents et sécurise ses contrats. Auprès des particuliers, une information claire et des pratiques transparentes renforcent la confiance, en particulier dans les secteurs où les données sont sensibles, comme la santé, le bien-être ou les services à domicile.

La transmission d'entreprise et les fichiers

La cession d'une entreprise ou de son fonds de commerce soulève une question pratique : le repreneur peut-il utiliser le fichier clients ? La CNIL admet que la cession d'un fichier clients dans le cadre d'une cession de fonds de commerce soit possible, à condition que les clients soient informés de la cession et de l'identité du nouveau responsable, que les finalités restent compatibles avec celles annoncées lors de la collecte, et que les personnes puissent s'opposer à la poursuite du traitement. Pour la prospection électronique, le consentement donné au cédant ne vaut pas automatiquement pour le cessionnaire, sauf si l'information initiale le prévoyait. Le repreneur hérite aussi des obligations : si le fichier a été constitué de façon illicite, il ne peut pas l'exploiter. L'audit préalable de l'acquisition devrait donc inclure un examen de la conformité des fichiers, du registre et des contrats.

Les commerces et la fidélité

Les commerces de proximité collectent souvent des données dans le cadre de programmes de fidélité : carte de fidélité nominative, historique des achats, coordonnées pour recevoir des offres. Ces programmes reposent généralement sur le contrat d'adhésion, accepté par le client, pour la gestion des avantages, et sur le consentement pour l'envoi d'offres par courriel ou SMS. La collecte doit se limiter à ce qui est nécessaire : la date de naissance peut être demandée pour offrir un cadeau d'anniversaire, mais ne doit pas être obligatoire. L'analyse des achats pour personnaliser les offres doit être mentionnée dans l'information et ne doit pas aboutir à déduire des informations sensibles. La CNIL a fait des programmes de fidélité un thème de contrôle prioritaire ces dernières années.

Les artisans du bâtiment et les services à domicile

Les artisans et les entreprises de services à domicile accèdent à l'intimité de leurs clients : adresse, codes d'accès, horaires de présence, parfois informations sur la santé ou la dépendance pour les services d'aide à la personne. Ces informations doivent être protégées avec soin : pas de codes d'accès notés en clair dans un agenda partagé, pas de fiches clients laissées dans les véhicules, accès limité aux intervenants concernés. Les entreprises de services à la personne qui interviennent auprès de personnes âgées ou dépendantes traitent des données de santé et doivent appliquer les règles renforcées de l'article 9. Les photos prises sur les chantiers pour illustrer les réalisations sur le site internet ou les réseaux sociaux ne doivent pas permettre d'identifier les clients ou leur domicile sans leur accord.

Les cabinets de conseil et les professions juridiques

Les cabinets d'expertise comptable, d'avocats, de conseil en gestion ou en ressources humaines traitent les données de leurs clients et, souvent, celles des salariés ou des clients de leurs clients. Ils agissent tantôt comme responsables de traitement, pour leurs propres missions encadrées par leur déontologie, tantôt comme sous-traitants, par exemple lorsqu'ils établissent la paie pour le compte d'une entreprise. Ils doivent clarifier ces rôles dans leurs lettres de mission, sécuriser les échanges de documents par des plateformes chiffrées plutôt que par courriel, et appliquer des durées de conservation compatibles avec leurs obligations professionnelles. Le secret professionnel renforce leurs obligations de confidentialité sans les dispenser du RGPD.

Les questions que se posent les dirigeants

Faut-il un délégué à la protection des données ? Non, dans la grande majorité des petites entreprises, sauf si leur activité principale consiste à suivre des personnes à grande échelle ou à traiter des données sensibles à grande échelle. Faut-il déclarer ses fichiers à la CNIL ? Non, les déclarations ont disparu en 2018. Peut-on utiliser une messagerie gratuite pour l'entreprise ? C'est possible, mais il faut vérifier les conditions d'utilisation, la localisation des données et l'absence d'exploitation publicitaire, et privilégier une offre professionnelle. Peut-on garder les CV reçus ? Deux ans maximum avec l'accord du candidat. Peut-on installer des caméras ? Oui, pour la sécurité des locaux, sans filmer en permanence les salariés à leur poste et avec une information adaptée. Ces réponses simples couvrent la majorité des interrogations des dirigeants de petites structures.

La conformité d'une petite entreprise se mesure moins à l'épaisseur de sa documentation qu'à quelques réflexes appliqués chaque jour : collecter peu, informer clairement, protéger les accès et supprimer ce qui ne sert plus.

Un temps à prévoir chaque année

Une demi-journée par an suffit souvent pour revoir le registre, vérifier les accès, tester une sauvegarde et relire les mentions du site.