1.1 Le guide pratique de sensibilisation au RGPD pour les petites et moyennes entreprises a pour objectif d’inciter les PME à mettre en œuvre leurs propres dispositifs de protection des données, dont elles sont seules et entièrement responsables. Il s’inscrit dans le contexte d’une économie où les données sont omniprésentes et au cœur de la chaîne de création de valeur : bien gérées et sécurisées, elles permettent de gagner en efficacité, en compétitivité, de personnaliser la relation client, de conquérir de nouveaux marchés, d’améliorer les produits et services, et de faciliter la collaboration et la mobilité.
1.2 Pour s’adapter aux enjeux du numérique et garantir une meilleure maîtrise des données personnelles, le Règlement Général sur la Protection des Données (RGPD) est entré en application le 25 mai 2018. Il renforce les droits des personnes et responsabilise davantage les organismes publics et privés qui traitent leurs données. Le guide, élaboré conjointement par la CNIL et Bpifrance, propose des clés de compréhension pratiques pour engager une démarche de conformité au RGPD et faire progresser la maturité numérique des PME.
2.1 L’acronyme RGPD signifie « Règlement Général sur la Protection des Données » et encadre le traitement des données personnelles sur le territoire de l’Union européenne. Il s’inscrit dans la continuité de la loi française Informatique et Libertés de 1978 et renforce le contrôle par les citoyens de l’utilisation de leurs données. Il harmonise les règles en Europe en offrant un cadre juridique unique aux professionnels, permettant de développer leurs activités numériques au sein de l’Union sur la base de la confiance des utilisateurs.
2.2 Le RGPD met fin à une distorsion de concurrence en imposant les mêmes obligations aux entreprises établies hors de l’Union européenne dès lors qu’elles proposent des produits ou services à des résidents européens. Il n’existe pas d’exception pour les PME françaises : toutes les entreprises, y compris les TPE et PME, sont concernées dès lors qu’elles traitent des données permettant d’identifier des personnes physiques. Le critère déterminant n’est pas la taille de l’entreprise mais le volume ou la sensibilité des données traitées.
2.3 Le RGPD repose sur une approche fondée sur la gestion des risques, offrant des marges de manœuvre pour définir des solutions sur mesure. Il incite les entrepreneurs à plus de transparence dans leurs relations avec leurs interlocuteurs (clients, salariés, prospects, fournisseurs, etc.). Faire comprendre la manière dont les données personnelles sont utilisées et donner la possibilité aux personnes de les maîtriser renforce la confiance et favorise l’activité, y compris à l’export.
3.1 Le guide met en avant six avantages pour les PME qui se conforment au RGPD : (1) renforcer la confiance ; (2) améliorer l’efficacité commerciale ; (3) mieux gérer l’entreprise ; (4) améliorer la sécurité des données ; (5) rassurer les clients et donneurs d’ordre et développer l’activité ; (6) créer de nouveaux services. Se conformer à la réglementation est présenté comme une opportunité économique et un projet d’entreprise, plus qu’un simple projet technique ou juridique.
3.2 Renforcer la confiance : toute personne qui confie ses données personnelles établit une relation de confiance et souhaite le respect de ses droits et de sa vie privée. Le RGPD réaffirme les droits d’accès, de rectification, d’effacement, d’opposition, etc. Respecter ces droits contribue à valoriser l’image d’entreprise sérieuse et responsable.
3.3 Améliorer l’efficacité commerciale : pour vendre produits ou services, l’entreprise a besoin de prospecter, de connaître ses clients et de gérer la facturation. Elle constitue des fichiers clients et prospects. Le RGPD réaffirme le principe d’exactitude et de mise à jour des données. Maintenir des fichiers à jour est dans l’intérêt du développement du chiffre d’affaires : une gestion rigoureuse des données améliore l’efficacité et la productivité.
3.4 Mieux gérer l’entreprise : avec le temps, le volume de données augmente et mobilise des moyens humains et techniques (stockage, logiciels, sécurité). Le principe de minimisation des données (« je ne collecte que les données dont j’ai vraiment besoin ») et l’obligation de tenir à jour la liste des fichiers (registre des traitements) permettent de faire le point sur les données collectées et d’identifier les besoins réels. Le RGPD exige que les données soient pertinentes par rapport à l’objectif poursuivi, ce qui conduit à optimiser les investissements et à repenser les processus.
3.5 Améliorer la sécurité des données : l’actualité montre la multiplication des failles de sécurité et des attaques informatiques aux conséquences potentiellement désastreuses. Le niveau de sécurité de l’entreprise est un préalable à la sécurité des données. Les données personnelles doivent faire l’objet de mesures de sécurité particulières, informatiques et physiques, au même titre que le nom ou le logo de l’entreprise. Protéger le patrimoine informationnel et les personnes concernées des atteintes à leurs données permet à l’entreprise de se développer sereinement.
3.6 Rassurer clients et donneurs d’ordre : dans tous les secteurs, les donneurs d’ordre seront attentifs à la mise en œuvre du RGPD par leurs prestataires. Pour les sous-traitants qui traitent des données personnelles pour le compte d’autres entreprises, la conformité est cruciale pour maintenir et développer les relations commerciales. Le respect du RGPD devient un avantage concurrentiel.
3.7 Créer de nouveaux services : le RGPD introduit des concepts pouvant se traduire en nouveaux services, comme la portabilité des données. Le développement de ces outils représente des défis et des opportunités économiques (par exemple, sur les plateformes de musique ou de vidéo, l’utilisateur pourrait exporter ses listes de préférences). L’expérience utilisateur devient un critère de différenciation.
4.1 Une donnée personnelle est « toute information se rapportant à une personne physique identifiée ou identifiable ». L’identification peut être directe (nom, prénom) ou indirecte (identifiant client, numéro de téléphone, donnée biométrique, éléments propres à l’identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale, voix, image). Elle peut résulter d’une seule donnée (numéro de sécurité sociale, ADN) ou du croisement d’un ensemble de données (sexe, adresse, date de naissance, abonnements, engagement associatif).
4.2 Une base marketing contenant des informations précises sur la localisation, l’âge, les goûts et les comportements d’achat de consommateurs constitue un traitement de données personnelles dès lors qu’il est possible de remonter à une personne physique déterminée, même si le nom n’est pas stocké. À l’inverse, un fichier ne contenant que des coordonnées d’entreprises (raison sociale, adresse, numéro de standard, email générique) n’est pas un traitement de données personnelles.
4.3 Un traitement de données personnelles est une opération ou un ensemble d’opérations portant sur des données personnelles, quel que soit le procédé utilisé : collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, communication par transmission ou diffusion, mise à disposition, rapprochement, etc. Les traitements ne sont pas nécessairement informatisés : les fichiers papier sont également concernés et doivent être protégés dans les mêmes conditions.
4.4 Un traitement doit avoir un objectif, une finalité : il n’est pas possible de collecter ou traiter des données « au cas où ». Chaque traitement doit être rattaché à un but légal et légitime au regard de l’activité professionnelle (par exemple, gestion de la clientèle pour les opérations de livraison, facturation, carte de fidélité).
5.1 Le guide identifie quatre actions principales pour entamer la mise en conformité au RGPD : (1) recenser les fichiers ; (2) faire le tri dans les données ; (3) respecter les droits des personnes ; (4) sécuriser les données. Ces actions doivent perdurer dans le temps pour être efficaces.
5.2 Recenser les fichiers : il s’agit de constituer un registre des traitements listant les activités principales nécessitant la collecte et le traitement de données (recrutement, gestion de la paie, formation, gestion des badges et des accès, statistiques de ventes, gestion des clients et prospects, etc.). Pour chaque activité, une fiche doit préciser : la finalité (par exemple, fidélisation client), les catégories de données utilisées (nom, prénom, date de naissance, salaire, etc.), les destinataires (services internes, prestataires, hébergeurs), la durée de conservation (utilité opérationnelle et archivage). Le registre, placé sous la responsabilité du dirigeant, doit être exhaustif et à jour, en lien avec toutes les personnes susceptibles de traiter des données. Les traitements purement occasionnels (opération événementielle ponctuelle) n’ont pas à y figurer.
5.3 Faire le tri dans les données : pour chaque fiche du registre, il convient de vérifier que les données traitées sont nécessaires aux activités (par exemple, ne pas collecter l’information sur les enfants des salariés si aucun service ou rémunération n’y est attaché), que les données sensibles ne sont pas traitées sans base légale spécifique, que seules les personnes habilitées ont accès aux données dont elles ont besoin, et que les données ne sont pas conservées au-delà de ce qui est nécessaire. Il s’agit de minimiser la collecte, de redéfinir les droits d’accès et de mettre en place des règles automatiques d’effacement ou d’archivage.
5.4 Respecter les droits des personnes : le RGPD renforce l’obligation d’information et de transparence. À chaque collecte, le support (formulaire, questionnaire, etc.) doit comporter des mentions d’information indiquant : la finalité (par exemple, gestion d’un achat en ligne), le fondement juridique (consentement, exécution d’un contrat, obligation légale, intérêt légitime), les destinataires, la durée de conservation, les modalités d’exercice des droits (espace personnel, email dédié, courrier postal), et l’existence de transferts hors UE le cas échéant. Il faut également permettre aux personnes d’exercer facilement leurs droits (formulaire de contact, adresse de messagerie dédiée, processus interne pour traiter les demandes dans un délai d’un mois).
5.5 Sécuriser les données : l’entreprise doit garantir l’intégrité de son patrimoine de données en minimisant les risques de perte ou de piratage. Les mesures de sécurité informatique et physique dépendent de la sensibilité des données et des risques pour les personnes. Elles incluent la mise à jour des antivirus et logiciels, le changement régulier des mots de passe et l’utilisation de mots de passe complexes, le chiffrement des données dans certaines situations, la mise en place de sauvegardes et de procédures de récupération. En cas de violation de données personnelles susceptible de représenter un risque pour les droits et libertés, l’entreprise doit la notifier à la CNIL dans les 72 heures et, si le risque est élevé, en informer les personnes concernées.
6.1 Le RGPD reconnaît le rôle des sous-traitants dans le traitement de données personnelles et leur impose des obligations particulières. Le sous-traitant est la personne physique ou morale qui traite des données personnelles pour le compte d’un autre organisme (le responsable de traitement) dans le cadre d’un service ou d’une prestation (SSII, intégrateurs de logiciels, hébergeurs de données, prestataires de prospection commerciale, etc.).
6.2 Les sous-traitants doivent respecter des obligations spécifiques en matière de sécurité, de confidentialité et de documentation. Ils doivent intégrer la protection des données et de la vie privée dès la conception de leurs services ou produits (privacy by design) et mettre en place des mesures garantissant une protection optimale des données (par exemple, limiter les champs de texte libre dans un CRM pour éviter des commentaires excessifs, prévoir des mécanismes de purge automatique des données). Ils ont également une obligation de conseil auprès de leurs clients (mises à jour de logiciels, assistance pour les études d’impact, notifications de violations de données, etc.) et doivent tenir un registre des activités de traitement effectuées pour le compte de leurs clients.
6.3 Les relations entre responsables de traitement et sous-traitants doivent être encadrées par un contrat comportant une clause spécifique sur la protection des données personnelles. Ce contrat doit préciser les obligations respectives des parties, notamment en matière de sécurité, de confidentialité, de retour ou de destruction des données, et peut prévoir des mécanismes de médiation en cas de conflit.
7.1 Certaines données ou certains types de traitements nécessitent une vigilance particulière. Sont notamment concernés les données sensibles (origine prétendument raciale ou ethnique, opinions politiques, philosophiques ou religieuses, appartenance syndicale, données de santé, orientation sexuelle, données génétiques ou biométriques) et les données d’infraction ou de condamnation pénale, qui ne peuvent être utilisées que sous des conditions strictement encadrées par la loi Informatique et Libertés et le RGPD.
7.2 Une vigilance accrue est également requise lorsque le traitement a pour objet ou pour effet : (1) l’évaluation d’aspects personnels ou la notation d’une personne (scoring financier, par exemple) ; (2) une prise de décision automatisée ; (3) la surveillance systématique de personnes (télésurveillance) ; (4) le traitement de données sensibles ; (5) le traitement de données concernant des personnes vulnérables (mineurs, par exemple) ; (6) le traitement à grande échelle de données personnelles ; (7) le croisement d’ensembles de données ; (8) des usages innovants ou l’application de nouvelles technologies (objets connectés, par exemple) ; (9) l’exclusion du bénéfice d’un droit, d’un service ou d’un contrat (liste noire). Si un traitement répond à au moins deux de ces neuf critères, une analyse d’impact sur la protection des données (PIA) doit être conduite avant le démarrage.
7.3 En complément du registre et de la description des traitements, cette analyse d’impact permet d’identifier les risques associés aux données personnelles et de définir les mesures de réduction des risques. Lorsque des transferts de données en dehors de l’Union européenne sont envisagés, il convient de vérifier si le pays de destination dispose d’une législation de protection des données reconnue adéquate par la Commission européenne ou, à défaut, de mettre en place des garanties juridiques (clauses contractuelles, BCR, etc.).
7.4 Dans certains cas, les entreprises peuvent être conduites à désigner un délégué à la protection des données. Cette désignation est obligatoire pour certaines entreprises opérant des traitements à grande échelle présentant des risques particuliers, et recommandée lorsque l’activité impose une analyse approfondie du RGPD. Le délégué peut être interne, externe ou mutualisé entre plusieurs organismes.
8.1 La protection des données personnelles des collaborateurs sur leur lieu et pendant leur temps de travail est un moyen de renforcer le lien de confiance nécessaire au bon fonctionnement de l’entreprise. De nombreuses données relatives aux employés sont nécessaires pour la gestion de leur carrière : rémunération et déclarations sociales obligatoires, registre unique du personnel, gestion administrative (type de permis de conduire, coordonnées de personnes à prévenir en cas d’urgence), organisation du travail (photographie facultative pour les annuaires internes et organigrammes), action sociale prise en charge par l’employeur (informations concernant les ayants droit).
8.2 L’employeur doit se limiter aux informations utiles pour accomplir les missions et éviter de traiter des données sensibles (activité syndicale, opinions politiques, religion, origine ethnique, santé) sauf obligations particulières. Il détient des informations à risque (coordonnées bancaires pour la paie, numéro de sécurité sociale pour les déclarations sociales) et doit en garantir la confidentialité et la sécurité : seules les personnes habilitées doivent y accéder, et les actions sur les données doivent être enregistrées (journalisation des connexions et opérations).
8.3 Les collaborateurs doivent être informés à chaque fois que des informations sont demandées (mise à jour des données administratives, demande de formation, formulaire d’entretien d’évaluation, etc.). Ils peuvent demander une copie de toutes les données les concernant (bulletins de paie, état de compte épargne-temps, enregistrements téléphoniques, relevés de badgeuses, messages envoyés via la messagerie professionnelle), y compris lorsqu’ils ne sont plus en poste ou en litige.
8.4 Lors du recrutement d’un nouveau collaborateur, seules les informations utiles au regard du poste à pourvoir peuvent être collectées. Des informations sur l’emploi occupé par les membres de la famille n’ont pas de lien avec les compétences du candidat, et il est inutile de demander le numéro de sécurité sociale à ce stade. Les candidats doivent être informés de ce qui sera fait de leurs données, des personnes qui y auront accès (service RH, prestataire), de la durée de conservation et des modalités d’exercice de leurs droits. Une fois le choix effectué, les informations sur les candidats non retenus doivent être supprimées, sauf accord pour rester dans un vivier pour une durée limitée (2 ans).
8.5 Le code du travail permet de contrôler l’activité des employés, mais ceux-ci conservent un droit au respect de la vie privée et à la protection de leurs données personnelles. Deux règles structurent les limites du contrôle : (1) ne pas abuser du pouvoir de surveillance (la surveillance doit reposer sur un intérêt légitime, ne pas être permanente, et ne pas détourner un outil de son objectif déclaré, par exemple la géolocalisation ne doit pas servir à contrôler la vitesse en temps réel) ; (2) être transparent (consultation des instances représentatives du personnel, information des employés par note de service, avenant au contrat, mention sur l’intranet, courrier joint au bulletin de paie, etc.).
8.6 La sensibilisation et la formation des collaborateurs sont essentielles : tous les employés doivent être informés des droits des personnes concernées, des règles internes de gestion des données (accès limité, non-divulgation à des tiers non autorisés, accès restreint aux archives, sauvegardes régulières) et des règles élémentaires de sécurité (identifiants et mots de passe personnels complexes, verrouillage du poste de travail, non-stockage de documents professionnels sur des outils personnels). La diffusion d’une charte informatique accompagne cette démarche.
9.1 Lorsque l’entreprise utilise un site internet ou des comptes sociaux pour communiquer, elle doit vérifier la protection des données personnelles des visiteurs. Sur un site vitrine avec formulaire de contact et abonnement à une lettre d’information, il convient de prévoir des mentions CNIL en bas du formulaire, un moyen de contact pour l’exercice des droits et des mentions légales identifiant l’éditeur. Sur les réseaux sociaux, il est recommandé de rendre accessible une page d’information sur les droits et de préparer des réponses types aux internautes exerçant leur droit d’opposition.
9.2 Pour la vente en ligne, des mises à jour techniques et une surveillance régulière de la sécurité du site sont nécessaires. Les données collectées doivent être justifiées par le service rendu (par exemple, date de naissance pour un service lié à l’anniversaire). Le parcours de vente doit intégrer l’information et le consentement des clients. Trois règles sont mises en avant : (1) sécuriser les données en ligne (parcours en https, mots de passe complexes, non-transmission de données personnelles par email, non-conservation des coordonnées bancaires, sécurisation de la transaction bancaire) ; (2) informer les clients via une page « vie privée » accessible et compréhensible ; (3) laisser aux clients la possibilité de contrôler l’utilisation de leurs données (contact dédié pour l’accès, la rectification, l’effacement, signalement de difficultés).
9.3 Si le site dépose des cookies ou autres traceurs sur les terminaux des internautes, il est possible d’analyser leur navigation, leurs déplacements et leurs habitudes de consultation ou de consommation. Selon l’objet du traceur, il est nécessaire soit d’informer l’internaute (cookie de panier d’achat), soit d’obtenir son consentement (cookie publicitaire) avant le dépôt ou la lecture. Lorsque le site utilise des fonctionnalités offertes par d’autres plateformes (solutions de statistiques, boutons sociaux, vidéos intégrées), le consentement des visiteurs est requis.
10.1 La prospection de nouveaux clients repose sur l’utilisation de données personnelles à des fins de sollicitation commerciale (nom, email, numéro de téléphone, adresse postale). Des règles précises s’imposent : ne pas utiliser sans précaution des données librement accessibles sur internet (annuaires, par exemple), être vigilant sur les bases marketing en vente à bas prix (données souvent non fiables ou recueillies illégalement), privilégier des fichiers qualifiés comportant des données fiables sur des personnes susceptibles d’être intéressées par l’offre.
10.2 Selon le mode de prospection, les personnes doivent avoir donné leur accord préalable (opt-in) ou ne pas s’être opposées (opt-out). L’opt-in est requis pour la publicité B2C par email, SMS, MMS, automate d’appels ou fax ; l’opt-out s’applique à la publicité B2B par email et à la publicité B2C par voie postale ou téléphone. Dans tous les cas, les personnes doivent pouvoir refuser de recevoir d’autres sollicitations (lien de désabonnement fonctionnel, gestion des listes d’opposition).
10.3 La fidélisation des clients suppose de faire le tri dans les données (ne collecter que ce qui est nécessaire pour la vente, la facturation, la livraison, la garantie, la relation sur la durée), d’informer les clients sur l’usage de leurs données (rubrique « Protection des données » dans les conditions générales de vente, mentions sur les formulaires de carte de fidélité), de leur fournir un moyen simple et rapide d’exercer leurs droits, et de ne pas conserver indéfiniment les données (suppression en cas d’inactivité prolongée, archivage pour les obligations légales).
11.1 La Commission nationale de l’informatique et des libertés (CNIL) est le régulateur français des données personnelles. Elle accompagne les acteurs privés et publics dans la mise en œuvre de leur conformité, reçoit et traite les réclamations des particuliers, dispose de pouvoirs de contrôle sur place ou en ligne, et peut imposer des mesures correctrices (mise en demeure, sanctions, amendes).
11.2 Bpifrance finance les entreprises à chaque étape de leur développement (crédit, garantie, fonds propres), les accompagne dans leurs projets d’innovation et à l’international, et propose des services de conseil, de mise en réseau et des programmes d’accélération. Bpifrance Le Lab, laboratoire d’idées lancé en 2014, décrypte les déterminants de la croissance et éclaire les dirigeants dans un monde de ruptures économiques, sociétales et environnementales, afin de stimuler la réflexion stratégique et de favoriser la croissance des entreprises.
Type d’acte, par exemple : décret, arrêté, loi, ordonnance, délibération, recommandation, circulaire, instruction, avis, décision, communiqué, rapport, question ministérielle, réponse ministérielle, autre
Guide pratique
Autorité / organisme : Reprendre l’autorité, le ministère, l’institution, l’organisme, l’autorité administrative indépendante ou autorité ayant rendu ce texte officiel
CNIL et Bpifrance
Date du texte sous la forme jour mois année, exemple de sortie : 14 avril 2026
25 mai 2018
Numéro exact du texte sauf si non indiqué
Variantes exactes de recherche :
Guide pratique de sensibilisation au RGPD pour les petites et moyennes entreprises
guide pratique de sensibilisation au rgpd pour les petites et moyennes entreprises
Guide pratique RGPD PME CNIL Bpifrance
Guide pratique CNIL Bpifrance RGPD PME
Guide pratique sensibilisation RGPD PME
CNIL Bpifrance guide RGPD PME
Bpifrance Le Lab guide RGPD PME
Résumé :
Ce guide pratique élaboré par la CNIL et Bpifrance vise à sensibiliser les petites et moyennes entreprises aux exigences du RGPD et à les aider à mettre en place leurs propres dispositifs de protection des données personnelles. Il présente de manière pédagogique les notions clés (données personnelles, traitements), les avantages de la conformité, les principales actions à mener (registre, tri des données, information et droits des personnes, sécurité), ainsi que les obligations liées à la sous-traitance, aux traitements à risque et aux transferts hors UE. Il renvoie vers les ressources et outils disponibles sur le site de la CNIL pour approfondir la mise en conformité.
Approfondir ce sujet :