Article

RGPD pour les TPE et PME : obligations essentielles

Une TPE qui gère un fichier client, envoie une newsletter ou emploie des salariés collecte nécessairement des données personnelles. Dès ce moment, elle est soumise au RGPD, le règlement général sur la protection des données, quelle que soit sa taille ou son secteur d'activité.

Ce règlement européen, entré en application en 2018, impose des obligations concrètes à toute structure qui traite des informations permettant d'identifier une personne physique : nom, adresse, numéro de téléphone, adresse email, ou encore données de connexion. Contrairement à une idée répandue, il ne vise pas uniquement les grandes plateformes numériques : un artisan qui tient un fichier de prospects ou un cabinet libéral qui conserve des dossiers clients y est pleinement soumis.

Cet article présente les obligations essentielles qu'une TPE ou une PME doit respecter pour être en conformité, ainsi que les risques concrets encourus en cas de manquement.

Qui est concerné par le RGPD ?

Le RGPD (règlement général sur la protection des données) s'applique à toute organisation, publique ou privée, qui collecte ou traite des données à caractère personnel. Une donnée à caractère personnel est une information qui permet d'identifier, directement ou indirectement, une personne physique : son nom, son adresse postale, son adresse email, son numéro de téléphone, ou toute combinaison d'informations qui la rendent reconnaissable.

Aucune exception de taille n'est prévue pour les petites structures. Une entreprise individuelle qui gère un fichier de dix clients est autant concernée qu'un groupe industriel qui traite plusieurs millions de données. Ce qui varie, en revanche, c'est le niveau de complexité des obligations à mettre en œuvre, généralement proportionné à la nature et au volume des données traitées.

Sont notamment concernées les données clients et prospects (fichiers commerciaux, historiques d'achat), les données des salariés (contrats de travail, bulletins de paie, dossiers de ressources humaines), les données collectées via un site internet (formulaires de contact, cookies, comptes utilisateurs), ainsi que les données de partenaires ou de fournisseurs lorsqu'elles concernent des personnes physiques identifiées.

Les obligations essentielles à respecter

Le RGPD repose sur des principes généraux qui doivent guider chaque traitement de données : la collecte doit être justifiée par une finalité précise, limitée aux informations réellement nécessaires, et les données ne doivent pas être conservées indéfiniment. Ces principes se traduisent, pour une TPE ou une PME, par plusieurs obligations concrètes.

Tenir un registre des traitements

L'article 30 du RGPD impose à toute structure qui traite des données personnelles de documenter ces traitements dans un registre. Ce document recense, pour chaque activité de traitement (gestion de la paie, prospection commerciale, gestion des clients), la finalité poursuivie, les catégories de données concernées, les destinataires éventuels, et la durée de conservation appliquée. Le registre des traitements constitue la pièce centrale de toute démarche de conformité, et la CNIL peut en exiger la présentation lors d'un contrôle.

Informer les personnes concernées

Conformément aux articles 12 à 14 du RGPD, chaque personne dont les données sont collectées doit être informée de manière claire et accessible : l'identité du responsable du traitement, la finalité de la collecte, la durée de conservation, et les droits dont elle dispose (accès, rectification, suppression, opposition). Cette information est généralement délivrée via une politique de confidentialité et des mentions légales à jour, consultables sur le site internet de l'entreprise ou remises au moment de la collecte.

Lorsque le traitement repose sur le consentement de la personne, par exemple pour l'envoi d'une newsletter commerciale, ce consentement doit être recueilli de manière libre, spécifique et non équivoque. Une case pré-cochée ou une acceptation générale des conditions générales de vente ne suffit pas à valider un recueil du consentement conforme.

Sécuriser les données collectées

L'article 32 du RGPD impose au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles adaptées pour protéger les données contre tout accès non autorisé, toute perte ou toute divulgation accidentelle. Pour une TPE, cela se traduit concrètement par des mots de passe robustes, un accès limité aux personnes qui en ont réellement besoin, des sauvegardes régulières, et des logiciels maintenus à jour.

En cas d'incident touchant des données personnelles, une violation de données présentant un risque pour les personnes concernées doit être notifiée à la CNIL dans un délai de 72 heures après sa découverte, conformément à l'article 33 du RGPD.

Respecter les durées de conservation

Les données personnelles ne peuvent pas être conservées indéfiniment. Chaque catégorie de données doit être associée à une durée de conservation définie en fonction de la finalité du traitement : les données d'un prospect qui n'a donné aucune suite peuvent, par exemple, être conservées trois ans à compter du dernier contact, tandis que les documents comptables obéissent à des durées légales spécifiques, distinctes des règles fixées par le RGPD.

Que risque une TPE en cas de non-conformité ?

Le non-respect du RGPD peut donner lieu à plusieurs types de sanctions, dont la sévérité dépend de la gravité du manquement et de la réaction de l'entreprise face à un contrôle ou à une plainte.

La CNIL, autorité chargée de veiller à l'application du RGPD en France, dispose d'un pouvoir de contrôle et de sanction. Elle peut prononcer un avertissement, une mise en demeure de se mettre en conformité dans un délai déterminé, ou une amende administrative. En application de l'article 83 du RGPD, le montant de cette amende peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, bien que les sanctions prononcées contre des TPE soient généralement proportionnées à leur taille et à la gravité des faits constatés.

Au-delà de la sanction financière, une entreprise non conforme s'expose également à un risque de réputation en cas de fuite de données rendue publique, ainsi qu'à des recours individuels de personnes s'estimant lésées par un traitement irrégulier de leurs données.