1. Le RGPD et la loi Informatique et Libertés imposent aux TPE PME de protéger les données personnelles à chaque étape de la vie de l’entreprise : lors du recrutement, dans la gestion quotidienne des salariés et via le site web (site vitrine, réseaux sociaux, vente en ligne, cookies et autres traceurs). Cet article propose une analyse structurée de ces obligations, en reprenant les principales références et bonnes pratiques diffusées par la CNIL.
1. Lors d’une procédure de recrutement, l’employeur ne doit collecter que des données strictement nécessaires à l’évaluation des compétences du candidat pour l’emploi proposé. Les informations relatives à la vie privée (situation familiale, composition de la famille, etc.) qui n’ont aucun lien avec les compétences du candidat doivent être exclues du formulaire ou des questions posées.
2. À ce stade, il est également inutile de demander le numéro de sécurité sociale d’un candidat. Cette donnée n’est justifiée qu’au moment de l’embauche effective, pour les déclarations sociales, et non pour présélectionner ou évaluer un profil.
3. L’employeur doit informer clairement les candidats de ce qu’il va faire des données collectées : finalités (gestion des candidatures, organisation des entretiens, constitution d’un « vivier » de candidats), base légale, catégories de données traitées, destinataires (service RH, direction, éventuel prestataire de recrutement) et éventuels transferts hors UE.
4. Il convient de préciser la durée de conservation des données de candidature. Une fois le choix du nouvel employé effectué, les informations concernant les candidats non retenus doivent être supprimées, sauf si ces derniers ont accepté de rester dans un vivier de recrutement pour une durée limitée. La CNIL recommande en pratique une durée maximale de 2 ans après le dernier contact du candidat.
5. Les candidats doivent être informés sur la manière dont ils peuvent exercer leurs droits sur leurs données : droit d’accès, de rectification, d’effacement (« droit à l’oubli »), de limitation, d’opposition, et, le cas échéant, de portabilité. L’entreprise doit indiquer un point de contact (adresse email dédiée, formulaire en ligne ou adresse postale) et une procédure de traitement de ces demandes.
6. En pratique, les TPE PME ont intérêt à intégrer, sur chaque support de collecte (formulaire en ligne, annonce avec formulaire intégré, adresse email de candidature), une mention d’information RGPD concise précisant : les finalités du traitement, la durée de conservation, les destinataires, l’existence des droits et les modalités pour les exercer, ainsi que, le cas échéant, les coordonnées du délégué à la protection des données (DPO).
1. Le code du travail autorise l’employeur à mettre en place des dispositifs de contrôle de l’activité de ses salariés (surveillance informatique, vidéosurveillance, géolocalisation, etc.), mais dans des limites strictes. Même sur son lieu de travail, le salarié conserve un droit au respect de sa vie privée et à la protection de ses données personnelles.
2. Une première règle fondamentale consiste à ne pas abuser du pouvoir de surveillance. Toute surveillance doit reposer sur un intérêt légitime de l’entreprise, comme par exemple la volonté de limiter les risques d’abus liés à une utilisation trop personnelle d’Internet pendant le temps de travail, la sécurisation des locaux ou la protection du patrimoine de l’entreprise.
3. L’employeur ne doit pas instaurer une surveillance permanente de ses salariés. Par exemple, la sécurisation d’un local professionnel ne justifie pas de filmer en continu un employé sur son poste de travail. La vidéosurveillance doit être proportionnée (angles de vue, zones filmées, durée de conservation des images).
4. Il est interdit d’utiliser un outil de contrôle pour un objectif caché qui ne serait pas annoncé aux salariés. Par exemple, la géolocalisation de véhicules utilisés chaque matin pour une tournée chez des clients, présentée comme un outil d’optimisation de l’organisation, ne doit pas servir à contrôler en temps réel la vitesse de circulation des conducteurs si cette finalité n’a pas été explicitement prévue et justifiée.
5. La seconde règle clé est l’obligation de transparence. Avant la mise en œuvre d’un dispositif de surveillance, l’employeur doit, lorsqu’elles existent, consulter les instances représentatives du personnel. Cette consultation s’inscrit dans le cadre du dialogue social et permet d’évaluer l’impact du dispositif sur les droits et libertés des salariés.
6. Les salariés doivent être informés de manière claire et accessible de la mise en place de tout dispositif de surveillance, de ses finalités, des données collectées, de la durée de conservation, des destinataires et de leurs droits. Cette information peut prendre différentes formes : note de service, avenant au contrat de travail, mention d’information sur l’intranet de l’entreprise, courrier joint au bulletin de paie, etc.
7. Selon les technologies utilisées (vidéosurveillance, contrôle d’accès biométrique, géolocalisation, etc.), des règles particulières peuvent s’appliquer, notamment en matière d’analyses d’impact sur la protection des données, de formalités préalables ou d’encadrement contractuel avec les prestataires.
1. La protection des données personnelles ne relève pas uniquement des juristes ou des informaticiens. L’ensemble des employés d’une TPE PME sont concernés, à la fois en tant que professionnels en relation avec les clients, fournisseurs, prestataires, et en tant que citoyens détenteurs de droits.
2. Les entreprises ont intérêt à mettre en place des actions de sensibilisation concrètes sur les droits des personnes concernées. Les demandes d’accès, de rectification, d’opposition ou de suppression peuvent parvenir à n’importe quel service (commercial, support, comptabilité, etc.). Il est donc essentiel que ces demandes soient clairement identifiées et qu’une procédure interne précise vers quel service ou quel référent elles doivent être orientées (par exemple : une demande d’opposition à recevoir de la publicité adressée au service client doit être transmise au service marketing).
3. Il est nécessaire de diffuser largement les règles internes de gestion des données personnelles : principe de minimisation des accès (on ne peut accéder qu’aux données dont on a besoin pour exercer ses fonctions), interdiction de divulguer des données à des tiers non autorisés, restriction de l’accès aux dossiers archivés à certaines personnes seulement, obligation de réaliser des sauvegardes régulières de ses fichiers, etc.
4. La sensibilisation aux règles élémentaires de sécurité est un axe central : utilisation de logins et mots de passe personnels complexes, verrouillage du poste de travail dès que l’on s’absente, interdiction de stocker des documents professionnels sur des outils personnels, vigilance face aux emails suspects, protection des supports mobiles (ordinateurs portables, smartphones, clés USB).
5. La mise en œuvre du RGPD constitue une opportunité pour sensibiliser l’ensemble des collaborateurs aux règles de protection des données, réviser ou diffuser une charte informatique et intégrer ces exigences dans les processus internes (recrutement, gestion des clients, sous-traitance, archivage).
1. Lorsqu’une TPE PME utilise un site internet ou des comptes sur les réseaux sociaux pour communiquer, elle doit vérifier qu’elle protège suffisamment les données personnelles des utilisateurs qui visitent ses plateformes. Les mécanismes de partage et de diffusion propres à des services comme Facebook, Twitter, LinkedIn ou Instagram imposent une vigilance accrue.
2. Un niveau de protection adapté permet de réduire les risques de piratage et de fuites de données, et contribue à préserver la réputation en ligne (ou e-réputation) de l’entreprise. Cette dimension est particulièrement stratégique pour les TPE PME dont l’image repose souvent sur la confiance et la proximité avec leur clientèle.
1. Sur un site vitrine, l’entreprise se limite généralement à présenter son activité et à proposer un formulaire de contact et, éventuellement, une option d’abonnement à une lettre d’information (newsletter). Même dans ce cadre limité, des obligations RGPD s’appliquent pleinement.
2. L’idéal est d’intégrer la protection des données dès la conception du site (« privacy by design »). Par exemple, l’accès au contenu du site ne doit pas être conditionné à l’abonnement à la newsletter : l’internaute doit pouvoir consulter les pages sans être obligé de fournir son adresse email pour des envois commerciaux.
3. Sur un site vitrine, plusieurs réflexes de base doivent être adoptés. Il est recommandé de prévoir des mentions CNIL (mention d’information RGPD) au bas du formulaire de contact, précisant les finalités (gestion des demandes), la base légale (intérêt légitime ou exécution de mesures précontractuelles), la durée de conservation, les destinataires et les droits des personnes.
4. Le site doit proposer un moyen de contact électronique simple permettant aux personnes d’exercer leurs droits (adresse email dédiée, formulaire de contact spécifiquement orienté « données personnelles », ou autre canal clairement identifié).
5. Les mentions légales du site doivent permettre d’identifier l’éditeur du site (dénomination sociale, adresse, contacts), conformément aux exigences légales. Ces mentions sont souvent complétées par une page « Politique de confidentialité » ou « Vie privée » explicitant plus en détail les traitements de données.
1. Lorsque l’entreprise communique via Twitter, Facebook, LinkedIn, Instagram ou d’autres réseaux sociaux, elle doit veiller, dans la limite des fonctionnalités offertes par ces plateformes, à ce que les personnes disposent d’une information claire sur leurs droits et l’usage de leurs données.
2. Il est recommandé de rendre accessible, depuis les profils ou les publications, un article ou un lien renvoyant vers une page d’information sur les droits (par exemple, la politique de confidentialité du site de l’entreprise). Cette page doit décrire les traitements liés aux campagnes de communication, aux jeux-concours, aux messages privés ou aux opérations d’emailing.
3. Les TPE PME doivent anticiper les effets d’une opération de communication en ligne, notamment les campagnes d’emailing. Cela implique de vérifier le fondement juridique (consentement préalable ou intérêt légitime), la présence d’une mention d’information et la possibilité pour les personnes de se désabonner facilement ou de s’opposer aux sollicitations.
4. Il est utile de préparer une réponse type à destination des internautes qui exprimeraient, par exemple, leur droit d’opposition à recevoir de la publicité ou de la prospection. Une réponse rapide et efficace contribue à une bonne e-réputation et témoigne du sérieux de l’entreprise en matière de RGPD.
1. Pour les TPE PME qui font de la vente en ligne, la protection des données des clients est au cœur de la relation de confiance. Cela suppose des mises à jour techniques régulières du site, une surveillance de la sécurité et, souvent, l’accompagnement par un prestataire spécialisé en développement et cybersécurité.
2. Pour permettre l’achat de biens en ligne, l’entreprise doit collecter certaines informations sur le client afin d’assurer la sécurité de la transaction et d’enrichir sa connaissance clients. Toutefois, les données collectées doivent rester justifiées par le service rendu. L’entreprise doit s’interroger systématiquement sur l’utilité de chaque donnée demandée (principe de minimisation).
3. Par exemple, pour offrir un service particulier à l’occasion de l’anniversaire du client (réduction, message personnalisé), il est justifié de demander sa date de naissance. En revanche, demander des informations très détaillées sans rapport avec l’achat (situation familiale, préférences très personnelles non nécessaires) serait excessif.
4. L’entreprise doit intégrer, dans le parcours de vente, l’information et le consentement des clients à l’utilisation de leurs données, en particulier pour les usages marketing (prospection, profilage, personnalisation des offres). Les clients doivent être informés de manière claire de ce qui est fait de leurs données et disposer d’une possibilité d’exprimer leurs préférences (case à cocher, gestion des abonnements, réglages de confidentialité).
5. En matière de sécurité, plusieurs règles simples doivent être respectées. L’ensemble du parcours de vente, depuis la sélection du produit jusqu’au paiement, doit être en https, afin de chiffrer les échanges entre le navigateur et le serveur.
6. L’entreprise doit imposer à ses clients la création d’un mot de passe complexe lors de l’ouverture de leur compte : longueur suffisante, mélange de lettres, chiffres et caractères spéciaux, absence d’éléments trop évidents. Des mécanismes de renouvellement et de réinitialisation sécurisés doivent être prévus.
7. Il est recommandé de ne pas transmettre de données personnelles par email en clair, notamment les mots de passe ou les coordonnées personnelles. Les informations sensibles doivent être échangées via des canaux sécurisés et chiffrés.
8. L’entreprise ne doit pas conserver les coordonnées bancaires complètes de ses clients, sauf cas spécifiques très encadrés et avec des mesures de sécurité renforcées. En général, il est préférable de s’appuyer sur un prestataire de paiement en ligne sécurisé, souvent proposé par les banques, qui assume une partie des obligations de sécurité.
9. Les prestataires impliqués dans la gestion du site et des paiements ont des responsabilités spécifiques en matière de sécurité et de confidentialité des données, ainsi qu’une obligation de conseil. L’entreprise doit s’assurer, par contrat, de leur capacité à accompagner la mise en conformité RGPD et à garantir un niveau de sécurité adapté.
10. Sur le plan de la transparence, les clients doivent être informés via une page « Vie privée » ou « Politique de confidentialité », accessible depuis l’ensemble du site et rédigée dans un langage clair. Cette charte doit être mise à jour régulièrement pour refléter les traitements réellement effectués.
11. Enfin, les clients doivent pouvoir contrôler la manière dont leurs données sont utilisées. L’entreprise doit offrir une possibilité simple de contact (adresse email dédiée, formulaire en ligne ou canal privé sur les réseaux sociaux) pour permettre les demandes d’accès, de rectification, d’effacement, de limitation ou pour signaler toute difficulté relative aux traitements de données les concernant.
1. Si, lors de la consultation d’un site internet, l’entreprise dépose des cookies ou autres traceurs sur les équipements des internautes (ordinateur, tablette, smartphone), elle doit respecter des règles spécifiques. Ces traceurs permettent d’analyser la navigation, les déplacements et les habitudes de consultation ou de consommation des visiteurs.
2. Selon l’objectif du traceur, le régime juridique diffère. Certains cookies sont simplement soumis à obligation d’information (par exemple, le cookie de panier d’achat, nécessaire au fonctionnement du site). D’autres, notamment ceux liés à des opérations de publicité ou au suivi comportemental, nécessitent le consentement préalable de l’internaute avant d’être déposés ou lus sur son terminal.
3. Lorsque le site utilise des fonctionnalités offertes par d’autres sites (solutions de statistiques, boutons sociaux, vidéos intégrées de plateformes tierces comme Google, YouTube, Facebook, etc.), ces services peuvent eux-mêmes déposer des cookies. Dans ce cas, l’entreprise doit obtenir le consentement des visiteurs concernés, via un bandeau ou une interface de gestion des préférences conforme aux recommandations de la CNIL.
4. Le dispositif d’information sur les cookies doit être clair et complet, indiquant les finalités des traceurs, les partenaires éventuels, la durée de conservation et les moyens de s’y opposer. L’internaute doit pouvoir accepter ou refuser les cookies non nécessaires sans subir de préjudice disproportionné.
1. Fiches pratiques « Travail et protection des données » (CNIL) : https://www.cnil.fr/fr/travail-et-protection-des-donnees
2. Mentions obligatoires sur un site internet (Service-public) : https://www.service-public.fr/professionnels-entreprises/vosdroits/F31228
3. Sécuriser les sites web (CNIL) : https://www.cnil.fr/fr/securiser-son-site-web
4. Prévenir, repérer et réagir face au piratage de ses comptes sociaux (CNIL) : https://www.cnil.fr/fr/prevenir-reperer-et-reagir-face-au-piratage-de-ses-comptes-sociaux
5. L’usurpation d’identité en question (CNIL) : https://www.cnil.fr/fr/usurpation-didentite
6. Dossier « Site web, cookies et autres traceurs » (CNIL) : https://www.cnil.fr/fr/cookies-et-autres-traceurs
🇫🇷 Point juridique LegalPlanet.pro — Date de dernière mise à jour : 5 avril 2026.
Approfondir ce sujet :