Article

RGPD pour les TPE : obligations essentielles

Toute TPE qui gère une liste de clients, collecte des adresses email de prospects ou emploie du personnel traite des données personnelles. Le règlement général sur la protection des données (RGPD) s'applique à cette activité, quelle que soit la taille de l'entreprise et son secteur d'activité.

Contrairement à une idée répandue, il n'existe aucune exemption générale pour les petites structures : seules certaines obligations précises, comme la tenue d'un registre des traitements, bénéficient d'un allègement conditionné à des critères stricts. En pratique, la plupart des TPE restent soumises à l'ensemble des obligations essentielles du texte.

Cet article détaille les obligations concrètes qui s'appliquent réellement à une TPE, distingue les vraies exemptions des idées reçues, et présente les risques encourus en cas de manquement.

Qu'est-ce que le RGPD et quelles TPE sont concernées ?

Le règlement général sur la protection des données, entré en application le 25 mai 2018, encadre le traitement des données personnelles réalisé par toute organisation établie dans l'Union européenne. Une donnée personnelle est une information permettant d'identifier directement ou indirectement une personne physique : nom, adresse email, numéro de téléphone, coordonnées de facturation ou adresse IP en font partie.

Le RGPD s'applique dès qu'une entreprise, désignée juridiquement comme « responsable de traitement », collecte, conserve, utilise ou transmet des données concernant des personnes physiques : clients, prospects, salariés ou fournisseurs indépendants. Aucune exemption n'est prévue en fonction de la taille de la structure, du chiffre d'affaires ou du secteur d'activité. Ce texte européen est complété, en droit français, par la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.

Un artisan qui tient une simple liste de clients dans un tableau, avec noms, adresses et numéros de téléphone, réalise déjà un traitement de données personnelles au sens du RGPD, même sans site internet ni activité en ligne.

Les obligations essentielles imposées par le RGPD

Quatre catégories d'obligations s'appliquent de manière cumulative à la quasi-totalité des TPE traitant des données personnelles. Chacune répond à un objectif précis : justifier le traitement, informer les personnes concernées, sécuriser les données, et respecter les droits de ces personnes.

Identifier une base légale pour chaque traitement

Aucun traitement de données personnelles ne peut être réalisé sans reposer sur une base légale prévue par l'article 6 du RGPD. Pour une TPE, les bases les plus fréquemment utilisées sont l'exécution d'un contrat (traitement des données d'un client pour livrer un produit ou un service), le respect d'une obligation légale (conservation des données comptables), l'intérêt légitime (prospection auprès de clients existants) et le consentement (prospection auprès de nouvelles personnes).

Le consentement obéit à des règles strictes : il doit être libre, spécifique, informé et donné par un acte positif clair. Une case pré-cochée sur un formulaire de collecte ne constitue pas un consentement valable au sens du règlement.

Tenir un registre des traitements

L'article 30 du RGPD impose la tenue d'un registre listant chaque traitement réalisé : sa finalité, les catégories de données concernées, les destinataires éventuels, la durée de conservation et les mesures de sécurité mises en place. Une exemption existe pour les structures de moins de 250 salariés, mais elle ne s'applique que si le traitement est occasionnel, ne porte pas sur des données sensibles et ne présente pas de risque pour les droits des personnes.

En pratique, la gestion régulière d'une clientèle ou d'une paie ne constitue jamais un traitement occasionnel. La plupart des TPE restent donc soumises à l'obligation de tenir un registre, même simplifié, malgré leur effectif réduit.

Informer les personnes concernées

Les articles 12 à 14 du RGPD imposent d'informer chaque personne, dès la collecte de ses données, de l'identité du responsable de traitement, de la finalité poursuivie, de la durée de conservation et des droits dont elle dispose. Concrètement, cette information figure dans une politique de confidentialité, ainsi que dans les mentions accompagnant les devis, contrats et formulaires de collecte. Un professionnel équipé d'un logiciel de facturation conservant les coordonnées de ses clients doit intégrer cette information dans ses documents commerciaux.

Garantir la sécurité des données

L'article 32 du RGPD impose des mesures techniques et organisationnelles proportionnées au risque : accès restreint aux fichiers contenant des données personnelles, mots de passe individuels, mises à jour régulières des logiciels et sauvegardes protégées. Les règles de conservation et de sécurisation des documents numériques rejoignent d'ailleurs les exigences applicables à l'archivage électronique des documents, notamment lorsque des données clients sont stockées sur plusieurs années.

Respecter les droits des personnes concernées

Les articles 15 à 21 du RGPD accordent aux personnes plusieurs droits : accès à leurs données, rectification, effacement, opposition, limitation du traitement et portabilité. Une TPE sollicitée par l'un de ces droits doit répondre dans un délai d'un mois, prorogeable de deux mois supplémentaires en cas de demande complexe, conformément à l'article 12 du règlement.

Sous-traitants et outils numériques : les points de vigilance

La plupart des TPE utilisent des outils tiers pour gérer leur activité : logiciels comptables, plateformes d'emailing, hébergeurs de site internet ou solutions de signature électronique. Dès que ces prestataires traitent des données personnelles au nom de la TPE, ils deviennent des « sous-traitants » au sens de l'article 28 du RGPD, ce qui impose la conclusion d'un contrat écrit précisant la finalité, la durée et les mesures de sécurité applicables au traitement.

Un commerçant équipé d'une caisse enregistreuse certifiée proposant un programme de fidélité collecte également des données personnelles à chaque passage en caisse, ce qui active les mêmes obligations de contrat et de sécurité vis-à-vis de l'éditeur du logiciel.

Lorsque les données sont hébergées ou traitées par un prestataire situé hors de l'Union européenne, un cadre de transfert spécifique s'impose : décision d'adéquation de la Commission européenne ou clauses contractuelles types, conformément aux articles 44 à 46 du RGPD. La TPE reste responsable du traitement même lorsqu'elle délègue la partie technique à un prestataire : vérifier la conformité de ses fournisseurs relève d'une obligation de vigilance, non d'une simple recommandation.

Que risque une TPE en cas de non-conformité ?

L'article 83 du RGPD prévoit des sanctions administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Ce plafond, souvent cité, correspond aux manquements les plus graves commis par de grandes structures : la CNIL adapte systématiquement le montant de ses sanctions à la gravité du manquement et à la taille réelle de l'entreprise concernée.

Avant toute sanction financière, la CNIL délivre généralement un avertissement ou une mise en demeure, laissant à l'entreprise un délai pour se mettre en conformité. Pour une TPE, la grande majorité des contrôles se traduisent par une mise en demeure plutôt que par une amende immédiate, sauf en cas de manquement grave ou répété après un premier signalement.

Indépendamment des sanctions de la CNIL, une personne ayant subi un préjudice du fait d'un traitement non conforme de ses données peut également demander réparation devant les tribunaux civils, conformément à l'article 82 du RGPD.