RGPD PME : protéger les données personnelles de l’entreprise en 6 étapes clés

1. Comprendre le RGPD et son importance pour les PME

1.1 Le Règlement Général sur la Protection des Données (RGPD) encadre le traitement des données personnelles sur le territoire de l’Union européenne. Il s’inscrit dans la continuité de la loi française Informatique et Libertés de 1978 et renforce à la fois les droits des personnes et la responsabilisation des organismes publics et privés.

1.2 Le contexte juridique a été adapté pour tenir compte des usages accrus du numérique, du développement du commerce en ligne et de la place centrale des données dans la chaîne de création de valeur des entreprises. Pour une PME, bien gérer et sécuriser les données permet d’améliorer l’efficacité, la compétitivité, la personnalisation de la relation client, la conquête de nouveaux marchés et la collaboration interne.

1.3 Le RGPD harmonise les règles en Europe et crée un cadre juridique unique pour les professionnels. Il met fin à une distorsion de concurrence en imposant les mêmes obligations aux entreprises établies hors de l’Union européenne dès lors qu’elles ciblent des résidents européens (par exemple via un site de e-commerce en français livrant en France).

1.4 Il n’existe pas d’exception générale pour les PME françaises. Toutefois, la réglementation est fondée sur la gestion des risques : le critère déterminant n’est pas la taille ou le nombre d’employés, mais le volume et la sensibilité des données traitées. Si les données personnelles ne sont pas au cœur de l’activité, la mise en conformité peut rester proportionnée et pragmatique.

1.5 Le RGPD repose sur trois notions structurantes pour les entreprises : la responsabilité (capacité à démontrer la conformité), la transparence (information claire et loyale des personnes) et la confiance (garantie offerte aux clients, salariés, fournisseurs, prospects, etc.). Pour la direction d’une PME, il s’agit avant tout de bon sens et d’organisation, plus que d’un projet purement technique ou juridique.

1.6 Au-delà des obligations légales, la mise en conformité ouvre des opportunités de nouveaux business : valorisation de la data dans une démarche éthique, création de services innovants (par exemple autour de la portabilité des données), renforcement de l’image de marque et préparation à une maturité numérique plus élevée.

1.7 Le RGPD concerne tout organisme, quelle que soit sa taille, son pays d’implantation ou son activité, dès lors qu’il traite des données personnelles pour son propre compte ou pour le compte d’autrui, qu’il est établi dans l’Union européenne ou qu’il cible directement des résidents européens. Les sous-traitants sont également soumis à des obligations spécifiques.

1.8 L’entrée en application du RGPD le 25 mai 2018 constitue une étape cruciale pour toutes les entreprises, y compris les TPE et PME, qui manipulent des informations permettant d’identifier des personnes physiques. Bien intégrer ce nouveau cadre permet de sécuriser son patrimoine informationnel et de structurer une démarche de conformité crédible vis-à-vis de la CNIL et des autres parties prenantes.

2. Identifier les données personnelles et les traitements dans l’entreprise

2.1 Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. L’identification peut être directe (nom, prénom) ou indirecte (numéro de téléphone, identifiant client, données biométriques, données économiques, culturelles ou sociales, image, voix, etc.). Il suffit qu’il soit possible de remonter à une personne déterminée à partir d’une seule donnée ou du croisement de plusieurs informations.

2.2 Une base marketing comportant l’âge, la localisation, les goûts et les comportements d’achat de consommateurs constitue un traitement de données personnelles, même si les noms ne sont pas enregistrés, dès lors que les profils permettent d’identifier des individus. À l’inverse, un fichier ne contenant que des coordonnées d’entreprises (dénomination sociale, adresse, numéro du standard, email générique) n’est pas concerné.

2.3 Un traitement de données personnelles est une opération ou un ensemble d’opérations portant sur des données personnelles, quel que soit le procédé utilisé : collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, communication par transmission ou diffusion, rapprochement, etc. Les traitements informatisés et les fichiers papier sont également visés.

2.4 Tout traitement doit avoir une finalité déterminée, explicite et légitime. Il n’est pas conforme de collecter des données « au cas où » elles seraient utiles un jour. Pour chaque traitement (par exemple : gestion de la clientèle, recrutement, paie, formation, badges d’accès, statistiques de ventes, prospection commerciale), la finalité doit être clairement définie et alignée sur l’activité professionnelle.

2.5 La première étape opérationnelle consiste à recenser l’ensemble des activités de l’entreprise impliquant des données personnelles, qu’il s’agisse des clients, prospects, salariés, fournisseurs, partenaires ou autres contacts. Ce recensement sert à établir un registre des traitements qui donnera une vision d’ensemble et permettra ensuite de prioriser les actions de mise en conformité.

2.6 En pratique, il convient de distinguer les principaux blocs de traitements : relation client (prospection, fidélisation, facturation, SAV), communication et vente en ligne (sites web, e-commerce), gestion des collaborateurs (dossier personnel, paie, temps de travail, formation), sécurité des locaux et des systèmes (vidéosurveillance, contrôle d’accès), et, le cas échéant, les traitements innovants ou à forte valeur ajoutée reposant sur la data.

2.7 Ce travail de cartographie permet d’identifier les données sensibles au sens du RGPD (données de santé, biométriques, génétiques, opinions politiques, appartenance syndicale, orientation sexuelle, origine prétendument raciale ou ethnique) et les données relatives aux infractions et condamnations pénales, qui obéissent à des règles particulières. Leur présence déclenchera des obligations renforcées décrites à une étape ultérieure.

3. Construire le registre et faire le tri dans les données (minimisation)

3.1 Le registre des traitements est l’outil central de pilotage de la conformité. Placé sous la responsabilité du dirigeant, il doit contenir au moins pour chaque traitement : la finalité (par exemple, gestion de la paie, fidélisation client), les catégories de données (nom, prénom, date de naissance, coordonnées, salaire, historique d’achats, etc.), les destinataires (services internes, prestataires, hébergeurs, partenaires), et la durée de conservation (utilisation opérationnelle et archivage).

3.2 La construction du registre repose sur un travail transverse avec toutes les personnes de l’entreprise susceptibles de traiter des données personnelles (administratif, commercial, RH, informatique, direction). Les traitements purement occasionnels (par exemple un fichier créé pour un évènement ponctuel) n’ont pas vocation à y figurer, sauf s’ils présentent des risques particuliers.

3.3 Le RGPD impose le principe de minimisation des données : ne collecter que les informations adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités. À partir du registre, la PME peut se poser, pour chaque traitement, des questions structurantes : les données collectées sont-elles réellement indispensables ? Certains champs des formulaires peuvent-ils être supprimés ou rendus facultatifs ?

3.4 Il convient également de vérifier que l’entreprise ne traite pas, sans justification, de données sensibles ou de données relatives aux infractions. Si ces catégories sont présentes, il faut s’assurer de la base légale spécifique applicable et, le cas échéant, reconfigurer le traitement (réduction du périmètre, anonymisation, sécurisation renforcée, étude d’impact).

3.5 Le tri des données doit s’étendre à la gestion des accès : seules les personnes habilitées doivent pouvoir accéder aux données dont elles ont besoin. Cela implique de revoir les profils utilisateurs, de cloisonner les bases selon les fonctions (RH, comptabilité, commercial, support) et de restreindre les habilitations aux stricts besoins opérationnels.

3.6 La durée de conservation constitue un autre axe majeur. Les données ne doivent pas être conservées indéfiniment. Il est nécessaire de définir, pour chaque traitement, une durée maximale de conservation en base active, puis, le cas échéant, une durée d’archivage justifiée (par exemple pour respecter des obligations légales de comptabilité ou de gestion des litiges). Des règles automatiques d’effacement ou d’archivage doivent être paramétrées dans les applications.

3.7 Cette étape de rationalisation contribue à mieux gérer l’entreprise : elle permet de maîtriser la croissance des volumes de données, d’optimiser les investissements informatiques (stockage, logiciels, sauvegardes) et d’assainir des fichiers parfois obsolètes ou dupliqués. Elle participe directement à l’amélioration de l’efficacité commerciale (fichiers clients et prospects à jour) et de la gestion opérationnelle.

4. Informer, respecter les droits des personnes et maîtriser la relation client

4.1 Le RGPD renforce l’obligation d’information et de transparence à l’égard des personnes dont l’entreprise traite les données (clients, prospects, collaborateurs, prestataires). À chaque collecte de données (formulaire papier ou en ligne, questionnaire, demande de carte de fidélité, ouverture de compte, candidature), le support doit contenir une mention d’information claire et compréhensible.

4.2 Cette information doit préciser, au minimum : la finalité du traitement (exemple : gestion de la commande, gestion de la relation client, gestion de la paie), le fondement juridique (consentement, exécution du contrat, obligation légale, intérêt légitime), les destinataires ou catégories de destinataires (services internes compétents, sous-traitants, partenaires), la durée de conservation ou les critères permettant de la déterminer, ainsi que les droits dont disposent les personnes et les modalités pour les exercer.

4.3 Les personnes concernées disposent notamment d’un droit d’accès, de rectification, d’effacement, d’opposition, de limitation du traitement et de portabilité de leurs données. La PME doit mettre en place des canaux dédiés (adresse email spécifique, formulaire de contact, courrier postal à un service identifié, espace personnel sur le site web) et un processus interne permettant de traiter les demandes dans un délai maximal d’un mois.

4.4 Bien traiter les demandes liées aux données personnelles, c’est renforcer la relation de confiance avec les clients et collaborateurs, éviter les réclamations auprès de la CNIL et limiter le risque de critiques publiques (notamment sur les réseaux sociaux). La capacité à répondre rapidement et précisément aux demandes est un indicateur de maturité RGPD.

4.5 La prospection commerciale constitue un terrain sensible. Lorsque la PME utilise des données personnelles pour solliciter de nouveaux clients (par email, SMS, téléphone, courrier), elle doit respecter des règles précises : le recours à des fichiers « qualifiés », le refus d’utiliser des données récupérées de manière illicite ou douteuse, et la prise en compte du principe de consentement préalable (opt-in) ou de non-opposition (opt-out) selon les canaux et qu’il s’agisse de B2C ou B2B.

4.6 Pour l’emailing ou les SMS vers des consommateurs, l’opt-in est la règle : sans accord explicite, la sollicitation commerciale n’est pas autorisée. Pour certains cas de prospection B2B par email ou de courrier postal et d’appels téléphoniques vers les particuliers, c’est l’opt-out qui s’applique, à condition de prévoir un mécanisme simple de refus (« se désabonner », opposition à la prospection téléphonique, etc.) et d’enregistrer effectivement ces oppositions dans les systèmes.

4.7 En matière de fidélisation client, la PME doit distinguer les données strictement nécessaires à l’exécution du contrat (facturation, livraison, garantie) des informations collectées pour proposer des services optionnels (programme de fidélité, historique des achats, offres personnalisées). Le client doit être clairement informé de ce caractère optionnel et pouvoir exercer ses droits (notamment d’opposition à la prospection et de retrait du consentement lorsqu’il a été donné).

4.8 La durée de conservation des données clients doit également être maîtrisée : en cas d’inactivité prolongée (par exemple, trois ans après la fin de la relation commerciale), les données utilisées à des fins de prospection doivent être supprimées ou anonymisées. Les informations devant être conservées pour des raisons légales (notamment comptables) doivent être archivées dans une base distincte, avec des accès plus restreints.

4.9 La même logique de transparence s’applique aux collaborateurs. Pour la gestion de la carrière, de la rémunération, des déclarations sociales, de l’organisation du travail ou de l’action sociale, de nombreuses données personnelles sont traitées. L’entreprise doit s’assurer de ne demander que les informations utiles au regard des missions, d’éviter la collecte de données sensibles sauf obligation particulière, et de garantir la confidentialité de ces dossiers (accès restreints, traçabilité des consultations).

5. Sécuriser les données et encadrer la sous-traitance

5.1 La sécurité des données est une obligation centrale : toute entreprise est tenue de protéger les données personnelles qu’elle détient contre la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé, qu’ils soient accidentels ou illicites. Le risque zéro n’existe pas, mais des mesures proportionnées doivent être mises en place pour minimiser les risques.

5.2 Le niveau de sécurité doit être adapté à la sensibilité des données et aux risques encourus par les personnes concernées. Pour une PME, cela implique, par exemple, la mise à jour régulière des antivirus et logiciels, la définition d’une politique de mots de passe exigeante (complexité, renouvellement régulier), le chiffrement des données dans certaines situations (ordinateurs portables, supports mobiles) et la mise en œuvre d’une procédure de sauvegarde et de restauration fiable.

5.3 La sécurisation ne se limite pas à l’informatique : les accès physiques aux locaux doivent être protégés, le stockage des dossiers papier organisé, et les postes de travail (fixes ou mobiles) sécurisés. Les profils utilisateurs doivent être définis en fonction des besoins (principe du moindre privilège) et les actions réalisées sur les données sensibles doivent être journalisées (qui accède à quoi, quand et pour faire quoi).

5.4 Les incidents de sécurité peuvent avoir des conséquences graves pour les personnes (par exemple, l’utilisation frauduleuse de codes d’entrée d’immeubles collectés lors de livraisons à domicile) et pour l’entreprise (perte de confiance, atteinte à l’image, responsabilité potentielle). L’analyse régulière des risques et la mise en œuvre de bonnes pratiques informatiques constituent un investissement stratégique.

5.5 En cas de violation de données personnelles susceptible de représenter un risque pour les droits et libertés des personnes (destruction, perte, altération, divulgation ou accès non autorisé), la PME doit notifier l’incident à la CNIL dans un délai maximum de 72 heures. Si le risque est élevé, les personnes concernées doivent également être informées, avec des explications claires sur la nature de la violation et les mesures prises.

5.6 La dimension assurantielle peut compléter l’anticipation technique et organisationnelle : certaines polices d’assurance couvrent des aspects liés à la responsabilité civile, aux dommages, et intègrent des services d’assistance en cas de sinistre ou de gestion de crise. L’évaluation de ces solutions s’inscrit dans la stratégie globale de gestion des risques numériques.

5.7 Le RGPD reconnaît un rôle spécifique aux sous-traitants, c’est-à-dire aux personnes physiques ou morales qui traitent des données personnelles pour le compte d’un responsable de traitement (par exemple : SSII, intégrateurs, hébergeurs, prestataires de prospection, éditeurs de logiciels cloud). Ils sont soumis à des obligations particulières en matière de sécurité, de confidentialité et de documentation.

5.8 Les sous-traitants doivent intégrer la protection des données dès la conception de leurs services (privacy by design) et mettre en œuvre des mesures permettant d’assurer une protection optimale (paramétrages, limitation des champs, purge automatisée, etc.). Ils ont aussi une obligation de conseil auprès de leurs clients (mises à jour, bonnes pratiques de sécurité, accompagnement pour les études d’impact ou la notification des violations).

5.9 Le recours à un sous-traitant doit être contractualisé. Le contrat doit comporter une clause spécifique sur la protection des données personnelles, précisant les instructions du responsable de traitement, les mesures de sécurité à mettre en œuvre, les conditions de sous-traitance en chaîne, l’assistance apportée en cas de violation de données, la faculté d’audit, ainsi que les règles de retour ou de destruction des données à l’issue de la prestation.

5.10 Le sous-traitant doit tenir un registre des activités de traitement réalisées pour le compte de ses clients, en plus du registre de ses propres traitements internes. Pour la PME, le choix de prestataires attentifs au RGPD et capables de démontrer leur conformité constitue un avantage concurrentiel dans la relation avec ses propres donneurs d’ordre.

6. Gérer les traitements à risque, les transferts hors UE et la gouvernance RGPD

6.1 Certaines catégories de données et certains types de traitements sont considérés comme présentant des risques particuliers. Sont notamment visées les données sensibles (santé, biométrie, génétique, opinions politiques, appartenance syndicale, orientation sexuelle, origine prétendument raciale ou ethnique) et les données relatives aux infractions et condamnations pénales, qui ne peuvent être traitées que dans des conditions strictement encadrées.

6.2 Au-delà de la nature des données, neuf familles de traitements appellent une vigilance accrue : (1) évaluation ou notation d’aspects personnels (scoring financier, profilage), (2) prises de décisions automatisées, (3) surveillance systématique de personnes (télésurveillance, tracking étendu), (4) traitements de données sensibles, (5) traitements de données concernant des personnes vulnérables (mineurs, publics fragiles), (6) traitements de données à grande échelle, (7) croisement d’ensembles de données, (8) usages innovants ou nouvelles technologies (objets connectés, etc.), (9) traitements pouvant conduire à l’exclusion d’un droit, d’un service ou d’un contrat (listes noires).

6.3 Lorsque l’un ou plusieurs traitements mis en œuvre par la PME répondent à au moins deux de ces critères, une analyse d’impact sur la protection des données (PIA) doit, en principe, être réalisée avant leur mise en œuvre. Cette analyse va au-delà de la simple tenue du registre : elle consiste à identifier les risques associés à la vie privée, à évaluer leur gravité et leur vraisemblance, et à définir des mesures pour les réduire.

6.4 La réalisation d’un PIA implique une démarche structurée : description détaillée du traitement et de ses finalités, étude de la nécessité et de la proportionnalité, analyse des risques pour les droits et libertés des personnes, identification et justification des mesures techniques et organisationnelles retenues. Pour une PME dont l’activité repose fortement sur la data (services innovants, modèles économiques basés sur les données personnelles), cette étape est déterminante.

6.5 Les transferts de données hors de l’Union européenne constituent un autre point de vigilance. Avant tout transfert, il convient de vérifier si le pays de destination dispose d’une législation de protection des données reconnue comme adéquate par la Commission européenne. Dans le cas contraire, des mécanismes d’encadrement juridique appropriés (clauses contractuelles types, règles d’entreprise contraignantes, etc.) doivent être mis en place pour assurer un niveau de protection équivalent.

6.6 Lorsque les traitements de données présentent des risques spécifiques ou des problématiques nouvelles au regard de la protection des données, la désignation d’un délégué à la protection des données (DPO) s’impose dans certains cas et est recommandée dans d’autres. Le DPO peut être interne ou externe, mutualisé entre plusieurs organismes, et constitue un interlocuteur clé pour piloter la conformité, conseiller la direction, sensibiliser les équipes et être le point de contact avec la CNIL.

6.7 Quelle que soit la taille de la PME, une gouvernance RGPD minimale est nécessaire : identification claire du responsable de traitement, attribution de rôles et responsabilités (direction, informatique, RH, commercial), procédures documentées (gestion des droits, gestion des incidents, validation des nouveaux traitements), et révision régulière des pratiques. Les six bons réflexes de protection des données (ne collecter que le nécessaire, être transparent, respecter les droits, garder la maîtrise des données, identifier les risques, sécuriser les données) peuvent servir de socle opérationnel.

6.8 Enfin, la PME peut utilement s’appuyer sur ses sous-traitants (qui ont une obligation d’alerte et de conseil), sur les ressources mises à disposition par les autorités de régulation et par les organismes d’accompagnement des entreprises, afin d’ajuster en continu ses mesures de conformité au RGPD et de transformer ces contraintes en leviers de confiance et de croissance.

Pour en savoir plus

7.1 Démarchage téléphonique – Informations professionnelles :
https://pro.bloctel.fr

7.2 Bonnes pratiques et assistance en cas d’attaque ou de sinistre numérique :
https://www.cybermalveillance.gouv.fr