RGPD TPE PME : check-list simple pour protéger les données clients et fournisseurs

Respecter la vie privée, par où commencer ?

1. Dans une TPE / PME, la question de la vie privée et de la protection des données personnelles se pose dès que l’entreprise collecte des informations identifiant directement ou indirectement une personne : nom, prénom, numéro de téléphone, adresse postale ou de messagerie électronique, image (visage sur une caméra de vidéosurveillance), voix, etc.

2. Ces informations concernent les clients, les fournisseurs, mais aussi les salariés, les candidats au recrutement, les partenaires, les visiteurs d’un site web ou d’un magasin. Dès qu’un fichier permet d’identifier ou de distinguer une personne, il s’agit juridiquement de données personnelles, soumises au règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.

3. Respecter ces règles ne consiste pas uniquement à « se mettre en conformité » pour éviter un contrôle de la CNIL. C’est aussi un outil de gestion et de relation commerciale : le respect de la vie privée contribue à créer un sentiment de confiance chez les clients et fournisseurs, à améliorer l’efficacité commerciale, à mieux gérer l’entreprise et à éviter la perte ou l’altération des données utiles à l’activité.

4. La check-list RGPD TPE / PME proposée ici permet de faire un premier état des lieux : elle aide à repérer quels fichiers existent, quelles données personnelles sont traitées, pour quels objectifs, qui y a accès, combien de temps les données sont conservées, quelles mesures de sécurité sont mises en place et comment les droits des personnes sont respectés. Cette démarche d’auto‑évaluation ne garantit pas une conformité complète au RGPD, mais elle constitue une étape essentielle.

Quelles informations avez-vous sur vos clients et fournisseurs ?

5. Dans la pratique, de nombreuses TPE / PME disposent d’un ou plusieurs fichiers où sont inscrites des informations sur leurs clients et fournisseurs : carnet d’adresses, tableau de prospection, base de facturation, liste de diffusion, outil de gestion de la relation client, etc. Même si ces fichiers semblent modestes, ils peuvent constituer des traitements de données personnelles au sens du RGPD.

6. Une question récurrente est : « J’ai un fichier de clients et de fournisseurs, quelles informations puis-je inclure ? ». Le principe est la minimisation des données : seules les informations strictement nécessaires à l’objectif poursuivi (facturer, livrer, suivre la relation commerciale, gérer un contrat de prestation) doivent être collectées. Les informations superflues ou disproportionnées doivent être supprimées et ne plus être demandées.

7. Une autre interrogation fréquente concerne la prospection commerciale : « Est-ce que je peux envoyer ma prospection commerciale par courrier à toutes les personnes de la région ? ». L’envoi de messages publicitaires, même par courrier postal, repose sur des règles précises de droit des personnes : nécessité d’une base légale (intérêt légitime, consentement, exécution d’un contrat…), respect de l’opposition à la prospection, information claire sur l’utilisation des coordonnées et sur les finalités de la prospection.

8. Enfin, la question de la vidéosurveillance revient souvent : « Je souhaite installer des caméras de vidéosurveillance dans mon magasin, quelles mesures dois‑je prendre ? ». Les images de surveillance, dans la mesure où elles permettent d’identifier des personnes (clients, salariés, prestataires), sont des données personnelles. Elles impliquent une information spécifique (panneaux visuels, mention de la durée de conservation, finalité de sécurité), un paramétrage adapté (zones filmées, absence de surveillance permanente des salariés hors cas prévus) et une durée de conservation limitée (par exemple, un mois pour les enregistrements vidéo, sauf cas particulier).

J’identifie tous les fichiers de mon entreprise

9. Première grande étape de la check-list RGPD TPE / PME : recenser tous les fichiers qui contiennent des données personnelles au sein de l’entreprise. Un « fichier » s’entend largement : il peut s’agir d’un tableau de recrutement, d’un logiciel de gestion de la paye, d’un outil de gestion client et fournisseur, d’un système de fidélisation client, d’un fichier de prospection commerciale, du suivi des inscriptions à un évènement, ou encore d’un dispositif de vidéosurveillance.

10. L’identification concerne aussi les fichiers relatifs aux collaborateurs : dossier de paie, suivi des temps de travail, gestion des entretiens annuels, notes de frais. Ces traitements contiennent souvent des données sensibles pour la vie privée (salaire, situation familiale, données bancaires) et doivent être intégrés au recensement au même titre que les fichiers clients ou fournisseurs.

11. Cet inventaire permet de comprendre concrètement où se situent les données personnelles dans l’entreprise : fichiers papier, classeurs, applications métiers, services en ligne, messageries électroniques, sauvegardes. Sans cette vision globale, il est difficile d’appliquer les principes du RGPD (minimisation, limitation de la durée de conservation, confidentialité, sécurité).

Je fais le tri dans mes fichiers

12. Une fois les fichiers identifiés, la deuxième étape est de faire le tri. Pour chaque fichier, il s’agit d’abord de noter l’objectif poursuivi (finalité) : par exemple, gestion des factures, fidélisation client, gestion des inscriptions à un évènement, gestion des employés, gestion des fournisseurs, sécurité des locaux par vidéosurveillance. L’objectif doit être clair, légitime, et compatible avec l’activité de l’entreprise.

13. Il convient ensuite de lister les informations enregistrées pour chaque fichier : identité (nom, prénom), coordonnées (adresse postale, email, téléphone), données de facturation, données bancaires, historique d’achats, images vidéo, etc. Pour chaque type de donnée, il faut vérifier si cette information est indispensable à l’objectif déclaré. Les informations non indispensables doivent être supprimées et ne plus être demandées aux personnes.

14. Le tri porte également sur les accès aux informations. Pour chaque fichier, il faut identifier qui a réellement besoin d’y accéder : quels employés, quels partenaires, quels prestataires. L’accès doit être limité aux seules personnes dont la fonction justifie la consultation ou la modification des données. Cela répond à un principe clé du RGPD : la limitation des accès et la confidentialité des données personnelles.

15. Un autre aspect central du tri concerne la durée de conservation. Pour chaque fichier, l’entreprise doit déterminer combien de temps elle a besoin de garder chaque type d’informations, en fonction de l’objectif poursuivi, des obligations légales et des pratiques de gestion. Les données ne doivent pas être conservées « pour toujours » : une fois la durée utile dépassée, elles doivent être supprimées ou anonymisées. Cette règle concerne en particulier les enregistrements vidéo, les données de prospection et les dossiers anciens de clients ou de salariés.

Je crée un registre des activités de traitement

16. Dès lors que les fichiers recensés contiennent des informations personnelles (par exemple sur les clients, fournisseurs, collaborateurs), le RGPD impose de tenir un registre des activités de traitement. Ce registre est un document qui recense les principaux traitements de données de l’entreprise et décrit leurs caractéristiques essentielles.

17. Concrètement, le registre doit comprendre une fiche par traitement de données. On peut par exemple prévoir une fiche pour le système de gestion client et fournisseur, une fiche pour les données utilisées pour la paie, une fiche pour la gestion des employés, une fiche pour la prospection commerciale, une fiche pour la vidéosurveillance. Chaque fiche précise notamment la finalité du traitement, les catégories de données, les catégories de personnes concernées, les destinataires des données, les durées de conservation et les mesures de sécurité principales.

18. Ce registre des activités de traitement doit être tenu à jour : toute création d’un nouveau fichier ou évolution significative d’un traitement existant (nouvelle finalité, nouveaux destinataires, nouveau système d’archivage) doit y être consignée. Le registre constitue l’un des principaux outils de preuve de la conformité au RGPD et peut être demandé par la CNIL en cas de contrôle.

19. Pour faciliter ce travail, il existe des modèles de registre simplifié adaptés aux professionnels et aux petites et moyennes entreprises. Ces modèles proposent une structure de fiches, avec les principales rubriques à renseigner. Ils sont conçus pour des TPE / PME qui ne disposent pas forcément de service juridique ou informatique dédié mais doivent malgré tout répondre aux exigences légales.

20. Au‑delà du registre, des fiches pratiques existent pour aider à communiquer et vendre en ligne, à améliorer et maîtriser la relation client et à protéger les données des collaborateurs. Ces ressources, issues de travaux conjoints entre la CNIL et des acteurs comme Bpifrance, complètent le registre par des exemples concrets de mise en œuvre dans les petites et moyennes entreprises.

Je respecte toujours l’information et les droits des personnes

21. Un principe fondamental du RGPD est l’obligation d’informer les personnes sur l’utilisation de leurs données. L’entreprise doit donc prévenir ses clients et fournisseurs des données qu’elle détient sur eux : identité du responsable de traitement, finalités, base légale, destinataires, durée de conservation, droits et modalités pour les exercer.

22. L’information doit préciser pourquoi l’entreprise collecte les données (par exemple : gérer les inscriptions à un évènement, assurer la livraison des produits, gérer la facturation, envoyer des offres de fidélisation client). L’objectif doit être compréhensible par la personne, sans terme technique inutile, et en lien direct avec la relation contractuelle ou commerciale.

23. L’entreprise doit également indiquer qui a accès aux données : types de salariés (par exemple, service commercial, service comptable, direction), partenaires ou prestataires qui interviennent (hébergeur, transporteur, prestataire de maintenance, organisme de paie). Cette information permet aux personnes de savoir à qui leurs données peuvent être communiquées et dans quel cadre.

24. La durée de conservation doit être indiquée de manière aussi précise que possible, au moins par catégories (durée active, puis archivage). À titre d’illustration, il est possible de préciser, pour un dispositif de vidéosurveillance, que les enregistrements vidéo sont conservés un mois, sauf cas particulier (enquête, incident, procédure). L’objectif est que la personne sache à quelle échéance ses données seront supprimées ou anonymisées.

25. L’information peut être donnée par différents moyens, adaptés au contexte : mentions en bas de chaque formulaire (papier ou en ligne), affichette en caisse, message de confirmation par courriel, notice remise au salarié, ou page dédiée accessible depuis un site web. L’essentiel est que l’information soit facilement accessible, compréhensible et fournie au moment où les données sont collectées, ou au plus tard dans un délai raisonnable.

26. Les personnes dont les données sont collectées disposent de droits : droit d’accès, de rectification, d’opposition, parfois droit à l’effacement et à la limitation du traitement. L’entreprise doit être en mesure de répondre à ces demandes dans un délai maximal d’un mois. Une absence de réponse, ou une réponse tardive et injustifiée, peut conduire à une sanction de la part de la CNIL.

27. Pour aider les TPE / PME à formuler les informations obligatoires de manière claire et conforme, il existe des modèles de mention d’information. Ces modèles proposent une structure standard (responsable de traitement, finalité, base légale, destinataires, durée, droits, contact) que l’entreprise doit ensuite adapter à sa situation propre, à ses traitements et à son organisation.

Je sécurise mes données

28. La sécurité des données est une obligation centrale du RGPD. Les mesures de sécurité à mettre en place doivent être adaptées à la sensibilité des informations et aux risques encourus (accès non autorisé, divulgation, perte, altération, indisponibilité). L’idée est de traiter les données personnelles avec la même vigilance que des biens matériels de valeur, comme des espèces ou des bijoux.

29. Une première série de mesures concerne la bonne hygiène numérique : mise à jour régulière de l’antivirus, des systèmes d’exploitation et des logiciels, utilisation de mots de passe forts (suffisamment longs, complexes, différents selon les services) et renouvelés périodiquement, sauvegardes régulières des données sur des supports sécurisés (disques durs externes, solutions de sauvegarde en ligne), tests réguliers de restauration des sauvegardes.

30. Pour les documents les plus sensibles (par exemple, données bancaires, dossiers des salariés, contrats confidentiels, informations stratégiques), il est recommandé de les conserver dans un coffre-fort ou une armoire sécurisée. L’accès doit être strictement contrôlé : seule une ou quelques personnes autorisées doivent connaître la combinaison ou posséder la clé. Ce principe de limitation d’accès doit être appliqué également aux répertoires informatiques et aux comptes utilisateurs.

31. La sécurité ne repose pas uniquement sur les outils techniques : elle dépend aussi du comportement des personnes. Il est donc essentiel de sensibiliser l’ensemble des salariés, mais aussi l’entourage qui peut avoir accès aux équipements (famille dans le cas d’un télétravail, collaborateurs occasionnels, stagiaires), aux enjeux liés à la vie privée et à la sécurité des données. Des consignes simples (ne pas partager ses mots de passe, ne pas ouvrir de pièces jointes suspectes, verrouiller sa session en cas d’absence, vérifier l’identité des demandeurs d’information) permettent de réduire fortement les risques.

32. Des organismes spécialisés ont publié des guides pratiques pour les petites structures. On peut notamment citer un Guide des bonnes pratiques de l’informatique, qui détaille 12 règles essentielles pour sécuriser les équipements numériques, et un guide sécurité des données personnelles qui précise, étape par étape, comment évaluer les risques, mettre en œuvre des mesures proportionnées et contrôler leur efficacité dans le temps.

Comment aller plus loin ?

33. La mise en conformité au RGPD et le respect de la vie privée sont des démarches qui se construisent progressivement. Au‑delà de la check‑list de base (recenser les fichiers, faire le tri, tenir un registre, informer les personnes, sécuriser les données), une TPE / PME peut chercher à approfondir certains aspects, en fonction de son secteur et de ses risques spécifiques.

34. Les échanges d’expérience jouent un rôle important : il peut être utile de partager ses questions et bonnes pratiques avec des entreprises voisines, des organisations professionnelles, un expert-comptable ou une structure de conseil. Ces acteurs sont souvent confrontés aux mêmes problématiques et peuvent proposer des solutions adaptées à la taille et aux ressources limitées des petites et moyennes entreprises.

35. Des guides de sensibilisation au RGPD, conçus spécifiquement pour les petites et moyennes entreprises, reprennent les grandes étapes pour protéger les données personnelles au sein de l’entreprise : identifier les traitements, définir des durées de conservation, mettre en place des mentions d’information, encadrer la prospection commerciale, sécuriser les postes de travail, encadrer les relations avec les prestataires, documenter les choix en matière de sécurité et de respect des droits.

36. Ces ressources proposent des exemples concrets (cas de prospection par courrier, formulaire d’inscription à un évènement, mise en place d’une vidéosurveillance dans un magasin, gestion des dossiers de paie) et des modèles (registre simplifié, mentions d’information, procédures internes) que les TPE / PME peuvent adapter à leur situation. Elles constituent un appui méthodologique pour structurer la démarche de conformité dans la durée.

Pour en savoir plus

37. Exemples de mentions d’information conformes au RGPD (à adapter à chaque traitement) :
https://www.cnil.fr/fr/rgpd-exemples-de-mentions-dinformation