Le RGPD s’applique-t-il vraiment aux PME ?
Oui. Le Règlement général sur la protection des données s’applique à toute entreprise, quelle que soit sa taille, dès lors qu’elle traite des données personnelles : nom, adresse email, numéro de téléphone, adresse IP, données de facturation, données des salariés.
Le RGPD distingue deux rôles :
- le responsable de traitement, qui détermine pourquoi et comment les données sont traitées : c’est votre entreprise pour son fichier clients ou la gestion de son personnel ;
- le sous-traitant, qui traite des données pour le compte d’un autre : c’est le cas d’un éditeur de logiciel, d’un hébergeur ou d’une agence web qui gère votre fichier.
Une même PME peut être responsable de traitement pour ses propres données et sous-traitante pour celles de ses clients. Cette qualification détermine les obligations applicables.
Le texte prévoit quelques allègements pour les structures de moins de 250 salariés, notamment pour le registre des traitements. Ils restent toutefois très limités en pratique, comme nous allons le voir.
Quelles sont les obligations RGPD d’une PME ?
Tenir un registre des traitements
Le registre recense les traitements de données mis en œuvre par l’entreprise : finalité, catégories de données, destinataires, durées de conservation, mesures de sécurité.
Les entreprises de moins de 250 salariés en sont en principe dispensées, sauf lorsque le traitement n’est pas occasionnel, comporte un risque pour les personnes ou porte sur des données sensibles. Or la gestion de la paie, du fichier clients ou de la prospection sont des traitements réguliers. Dans les faits, presque toutes les PME doivent tenir un registre, et c’est l’un des premiers documents demandés lors d’un contrôle.
Informer les personnes concernées
Clients, prospects, salariés, candidats, visiteurs de votre site : chacun doit être informé de manière claire de l’utilisation de ses données, de la finalité du traitement, de sa base légale, de la durée de conservation et de ses droits.
Cette information passe par une politique de confidentialité, des mentions sur les formulaires de collecte et une note d’information pour les salariés. Elle complète les autres documents obligatoires d’un site, comme les mentions légales.
Disposer d’une base légale pour chaque traitement
Chaque traitement doit reposer sur une base légale : exécution d’un contrat, obligation légale, intérêt légitime ou consentement.
La prospection commerciale par email illustre bien l’enjeu. Envers des particuliers, elle suppose en principe leur consentement préalable. Envers des professionnels, elle est possible sans consentement si le message est en rapport avec leur fonction et s’ils peuvent s’y opposer simplement.
Limiter les données et leur durée de conservation
Ne collectez que les données réellement nécessaires et fixez une durée de conservation pour chaque catégorie. Conserver indéfiniment d’anciens prospects ou des CV de candidats non retenus est l’un des manquements les plus fréquents.
Respecter les droits des personnes
Toute personne peut demander l’accès à ses données, leur rectification, leur effacement, s’opposer à un traitement ou demander la portabilité de ses données. Vous disposez en principe d’un mois pour répondre, délai qui peut être prolongé de deux mois pour les demandes complexes. Une procédure interne simple permet de ne pas laisser une demande sans réponse.
Sécuriser les données
Le RGPD impose des mesures de sécurité adaptées aux risques : gestion des accès, mots de passe robustes, sauvegardes, mises à jour, chiffrement des données sensibles, contrôle des accès des anciens salariés. La sécurité insuffisante des données figure parmi les principaux motifs de sanction de la CNIL.
Encadrer les sous-traitants
Votre CRM, votre outil d’emailing, votre hébergeur ou votre logiciel de paie traitent des données pour votre compte. Le RGPD impose de conclure avec eux un contrat comportant des clauses spécifiques sur la sécurité, la confidentialité et le sort des données. Lorsque les données sont transférées hors de l’Union européenne, des garanties supplémentaires doivent être vérifiées.
Gérer les violations de données
Perte d’un ordinateur portable, piratage, envoi d’un fichier au mauvais destinataire : toute violation de données doit être documentée en interne. Lorsqu’elle présente un risque pour les personnes, elle doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes concernées doivent également être informées.
Respecter les règles sur les cookies
Les cookies publicitaires ou de mesure d’audience non exemptés ne peuvent être déposés qu’après le consentement de l’internaute. Refuser doit être aussi simple qu’accepter. Les cookies figurent, avec la surveillance des salariés et la sécurité des données, parmi les principaux sujets des sanctions prononcées par la CNIL en 2025.
Désigner un DPO, uniquement dans certains cas
La désignation d’un délégué à la protection des données n’est obligatoire que pour certains organismes : autorités publiques, entreprises dont l’activité principale implique un suivi régulier et systématique de personnes à grande échelle ou le traitement à grande échelle de données sensibles. Pour la plupart des PME, elle reste facultative, mais désigner un référent interne facilite grandement la gestion de la conformité.
Réaliser une analyse d’impact pour les traitements à risque
Certains traitements, comme la surveillance systématique, la géolocalisation des salariés ou le traitement à grande échelle de données de santé, nécessitent une analyse d’impact préalable (AIPD) pour évaluer et réduire les risques.
Nouveauté 2026 : les pixels de suivi dans les emails
C’est l’une des évolutions les plus récentes en matière de RGPD, et elle concerne de nombreuses PME. Si vous envoyez une newsletter ou des emails de prospection, votre outil d’emailing vous indique sans doute combien de destinataires les ont ouverts. Cette statistique repose sur un pixel de suivi, parfois appelé « pixel espion » : une image invisible insérée dans l’email, qui se charge à l’ouverture et signale que le message a été lu.
Jusqu’ici, cette pratique restait dans une zone peu encadrée. En avril 2026, la CNIL a publié une recommandation qui clarifie les règles : ces pixels sont désormais soumis aux mêmes obligations que les cookies. Pour suivre l’ouverture de vos emails, il faut donc en principe l’accord du destinataire.
Concrètement :
- pour vos newsletters et emails de prospection, le consentement est nécessaire, y compris lorsque l’envoi lui-même n’en demande pas, par exemple pour une prospection auprès de professionnels ;
- pour les emails liés à une commande ou à un compte un suivi minimal reste possible sans consentement, à la seule fin de repérer les adresses qui ne lisent plus vos messages (nettoyage des bases).
Le plus simple est de demander ce consentement dans votre formulaire d’inscription, et de prévoir un lien en bas de chaque email pour changer d’avis. La période de transition accordée par la CNIL aux entreprises pour informer leurs contacts existants a pris fin à l’été 2026 : les règles s’appliquent désormais pleinement, et la CNIL a indiqué qu’elle en contrôlerait le respect. Si ce n’est pas encore fait, prenez le temps de vérifier les paramètres de votre outil d’emailing, où le suivi des ouvertures est souvent activé par défaut.
Ces règles étant récentes, beaucoup d’entreprises n’ont pas encore adapté leurs pratiques. Si vous avez un doute sur votre situation, n’hésitez pas à me contacter pour en parler : Prendre contact
Quelles sanctions en cas de manquement ?
Les mesures correctrices de la CNIL
Dans la majorité des cas, la CNIL commence par des mesures correctrices : rappel aux obligations légales, avertissement ou mise en demeure de se conformer dans un délai donné. En 2025, elle a adressé 143 mises en demeure, contre 83 sanctions.
Les amendes administratives
Le RGPD prévoit deux niveaux d’amendes :
- jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, pour certains manquements comme l’absence de registre, de mesures de sécurité ou de contrat avec un sous-traitant ;
- jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, pour les manquements les plus graves, notamment aux principes fondamentaux, aux droits des personnes ou aux règles sur les transferts de données.
Le montant le plus élevé des deux est retenu. Des astreintes peuvent s’y ajouter pour contraindre l’entreprise à se mettre en conformité.
La procédure simplifiée, pensée pour les dossiers des PME
Depuis 2022, la CNIL dispose d’une procédure de sanction simplifiée pour les affaires les moins complexes. L’amende y est plafonnée à 20 000 € et peut être assortie d’une astreinte, dans la limite de 100 € par jour de retard. Cette procédure permet à la CNIL de sanctionner rapidement un grand nombre d’organismes : en 2025, elle a concerné 67 des 83 sanctions prononcées. Pour une PME, une amende de plusieurs milliers d’euros n’a rien de théorique. Le détail figure dans le bilan des sanctions 2025 publié par la CNIL.
Les autres risques
Au-delà des sanctions de la CNIL, une PME s’expose :
- à des sanctions pénales pour certaines infractions, comme la collecte déloyale de données ou le défaut de sécurité, pouvant aller jusqu’à 5 ans d’emprisonnement et 300 000 € d’amende ;
- à des demandes de dommages-intérêts de la part des personnes ayant subi un préjudice ;
- à une atteinte à sa réputation, auprès de ses clients comme de ses partenaires ;
- à des difficultés commerciales, de plus en plus de grands donneurs d’ordre exigeant des garanties de conformité de leurs prestataires.
Comment se déroule un contrôle de la CNIL ?
La plupart des contrôles font suite à une plainte : un client qui ne parvient pas à faire supprimer ses données, un salarié qui conteste un dispositif de surveillance, un prospect démarché sans son accord. La CNIL mène également des contrôles sur ses thématiques prioritaires.
Le contrôle peut se faire en ligne, sur place, sur pièces ou sur audition. La CNIL vérifie alors la réalité des pratiques et les documents de conformité : registre, mentions d’information, contrats avec les sous-traitants, procédures internes. Une entreprise capable de présenter rapidement ces éléments est en bien meilleure position.
Par où commencer pour se mettre en conformité ?
La conformité RGPD n’impose pas un chantier démesuré. Pour une PME, une démarche structurée permet d’avancer efficacement :
- cartographier les traitements : quelles données, pour quoi faire, où sont-elles stockées, qui y a accès ;
- établir le registre des traitements ;
- mettre à jour les documents d’information : politique de confidentialité, mentions sur les formulaires, information des salariés ;
- mettre le site en conformité, notamment pour les cookies ;
- vérifier les contrats avec les prestataires qui traitent des données ;
- formaliser des procédures pour les demandes d’exercice des droits et les violations de données ;
- sensibiliser les équipes aux bons réflexes ;
- revoir l’ensemble chaque année et à chaque nouveau projet.
Les erreurs fréquentes des PME
- copier la politique de confidentialité d’un autre site, sans rapport avec ses propres traitements ;
- utiliser un bandeau cookies qui dépose des traceurs avant tout consentement ;
- envoyer des emails de prospection à des particuliers sans leur accord ;
- conserver indéfiniment les données de prospects, d’anciens clients ou de candidats ;
- partager des fichiers contenant des données personnelles sans contrôle des accès ;
- utiliser des outils en ligne sans vérifier leurs garanties contractuelles ;
- installer une vidéosurveillance qui filme en permanence les postes de travail des salariés ;
- n’avoir aucune procédure en cas de violation de données.
- laisser le suivi des ouvertures activé par défaut dans son outil d’emailing, sans l’accord des destinataires
RGPD et droit du numérique
La conformité RGPD est plus simple et moins coûteuse lorsqu’elle est intégrée dès le lancement d’un projet. Si vous développez un site, une application ou un logiciel, lisez mon article sur le RGPD et les projets digitaux.
Le RGPD s’articule également avec vos autres documents juridiques en ligne, comme vos CGV et CGU. L’ensemble relève du droit du numérique, qui permet de sécuriser votre activité en ligne de manière cohérente.
Accompagnement à Nice et partout en France
Basé à Nice, j’accompagne des entrepreneurs, dirigeants et porteurs de projets digitaux dans les Alpes-Maritimes, mais également à distance, partout en France.
Les échanges peuvent se faire en présentiel ou à distance, selon vos besoins et votre organisation.
Vous pouvez consulter mon profil professionnel officiel sur le site du Conseil National des Barreaux :
Voir mon profil sur consultation.avocat.fr
FAQ – RGPD et PME
-
Oui. Le RGPD s’applique à toute entreprise qui traite des données personnelles, quelle que soit sa taille. Un auto-entrepreneur qui gère un fichier clients, envoie des devis ou exploite un site internet est concerné. Les obligations sont simplement proportionnées au volume et à la sensibilité des données traitées.
-
Pas nécessairement. La désignation d’un délégué à la protection des données n’est obligatoire que pour les autorités publiques et les organismes dont l’activité principale implique un suivi régulier et systématique de personnes à grande échelle ou le traitement à grande échelle de données sensibles. Pour les autres PME, elle est facultative mais un référent interne est recommandé.
-
Oui, mais uniquement avec le consentement des destinataires, car le pixel de suivi utilisé pour cette mesure est soumis aux mêmes règles que les cookies. Ce consentement se recueille de préférence au moment de l’inscription, et le destinataire doit pouvoir le retirer facilement depuis chaque email. Sans consentement, seule une mesure minimale est admise, pour identifier les contacts inactifs dans les emails liés à une commande ou à un compte.
-
L’amende peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves, le montant le plus élevé étant retenu. Dans le cadre de la procédure simplifiée, souvent utilisée pour les PME, l’amende est plafonnée à 20 000 €.
-
Documentez immédiatement l’incident et les mesures prises pour le contenir. Si la violation présente un risque pour les personnes concernées, elle doit être notifiée à la CNIL dans les 72 heures suivant sa découverte. En cas de risque élevé, les personnes concernées doivent aussi être informées.
-
La plupart des contrôles font suite à une plainte d’un client, d’un salarié ou d’un prospect. La CNIL contrôle aussi certains secteurs dans le cadre de ses thématiques prioritaires. Le contrôle peut se dérouler en ligne, sur place, sur pièces ou sur audition.
Conclusion
Le RGPD n’est pas réservé aux grandes entreprises. Avec la procédure de sanction simplifiée, la CNIL dispose d’un outil efficace pour sanctionner rapidement les TPE et les PME, et les cookies, la sécurité des données ou la surveillance des salariés restent des sujets prioritaires.
La bonne nouvelle, c’est qu’une mise en conformité proportionnée et documentée est à la portée de toute PME : registre, information, contrats, sécurité et procédures internes constituent l’essentiel.
Si vous souhaitez faire le point sur la conformité RGPD de votre entreprise, je peux vous aider à identifier les priorités et à sécuriser vos traitements.
