RGPD : les obligations d'une entreprise de moins de 50 salariés

Le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur en mai 2018. Huit ans plus tard, nombreuses sont encore les petites entreprises qui pensent ne pas être concernées. C'est une idée reçue qui peut coûter cher : les sanctions atteignent jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

La bonne nouvelle : pour une TPE ou une PME de moins de 50 salariés, les obligations sont ciblées et atteignables. Voici l'essentiel, sans jargon.

Êtes-vous concerné ?

Oui, dès que vous traitez des données personnelles - c'est-à-dire des informations qui permettent d'identifier une personne (nom, e-mail, téléphone, adresse, photo, n° de client…). En pratique : toute entreprise qui a des clients, des salariés ou des prospects est concernée.

Les 6 obligations clés pour une PME

1. Le registre des activités de traitement

C'est le document central. Il liste chaque traitement de données : qui collecte quoi, dans quel but, pour combien de temps, et avec quels sous-traitants. Les entreprises de moins de 250 salariés ont une dérogation partielle, mais si vous traitez des données sensibles ou à grande échelle, il reste obligatoire. En pratique : mieux vaut en tenir un pour tous.

2. La base légale de chaque traitement

Vous ne pouvez pas collecter des données « au cas où ». Chaque traitement doit reposer sur une base légale : consentement (abonnement newsletter), contrat (commande client), intérêt légitime (prospection BtoB), obligation légale (paie, comptabilité).

3. L'information des personnes

Toute personne dont vous collectez les données doit être informée : qui collecte, pourquoi, combien de temps, et quels sont ses droits. En pratique, cela se traduit par une politique de confidentialité sur votre site et des mentions RGPD sur vos formulaires.

4. Les cookies et le consentement

Si votre site utilise des cookies publicitaires, analytiques ou de réseaux sociaux : vous devez obtenir le consentement explicite du visiteur avant leur dépôt. Le bandeau « En continuant à naviguer vous acceptez… » n'est plus valable depuis 2020. La CNIL sanctionne régulièrement ce point.

5. La sécurité des données

L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées pour protéger les données. En pratique : mots de passe robustes, MFA, accès limités, sauvegardes testées, mise à jour des logiciels. La cybersécurité n'est pas un luxe, c'est une obligation légale.

6. La procédure en cas de violation de données

Si des données sont compromises (ransomware, fuite, vol de matériel…), vous avez 72 heures pour notifier la CNIL. Si la violation présente un risque élevé pour les personnes concernées, vous devez également les informer. Avoir une procédure préparée à l'avance est essentiel.

Ce que vous n'avez PAS à faire

• Nommer un DPO (délégué à la protection des données) n'est obligatoire que dans certains cas : traitements à grande échelle, données sensibles, organismes publics. Pour la plupart des TPE/PME, c'est optionnel - mais recommandé.
• Remplir des formulaires CNIL : l'époque des déclarations préalables est révolue depuis 2018.
• Obtenir le consentement pour tout : les données collectées dans le cadre d'un contrat ou d'une obligation légale n'ont pas besoin de consentement.

Les erreurs les plus fréquentes

• Pas de politique de confidentialité sur le site - ou une politique copiée-collée qui ne correspond pas à votre réalité.
• Formulaire de contact sans mention RGPD ni case de consentement.
• Conservation des données « à vie » sans politique d'archivage ou de suppression.
• Partage de données avec des prestataires sans contrat de sous-traitance (DPA).
• Cookies analytiques déposés sans consentement préalable.

Cet article est publié à titre informatif. La réglementation évolue : pour un accompagnement adapté à votre situation, contactez notre équipe.

Photo : Ivan S - Pexels