Le RGPD s’applique intégralement aux PME : il n’existe aucune exemption générale liée à la taille. La seule dérogation notable — l’exception de l’article 30(5) pour les organismes de moins de 250 personnes — ne joue pas lorsque le traitement présente un risque, n’est pas occasionnel ou porte sur certaines catégories de données. Les activités habituelles de paie et de gestion clients doivent donc être examinées et documentées, quelle que soit la taille de la PME. La CNIL dispose aussi d’une procédure de sanction simplifiée, qui n’est pas réservée aux PME.
Voici la checklist des 20 points de contrôle, priorisée, suivie d’un plan d’action en 90 jours réaliste pour une structure sans juriste dédié. Pour la version détaillée tous publics, voir notre checklist RGPD complète et notre guide de mise en conformité.
Les 20 points de contrôle
Socle documentaire (à adapter aux risques et aux traitements)
1. ☐ Un registre des traitements existe, couvre tous les traitements (clients, prospects, RH, paie, vidéosurveillance éventuelle) et reflète les activités actuelles (article 30). 2. ☐ Chaque traitement a une base légale documentée (article 6) — contrat, obligation légale, intérêt légitime avec mise en balance documentée lorsque nécessaire, ou consentement. 3. ☐ Les durées de conservation sont définies par traitement et appliquées (purge ou archivage effectifs, pas seulement déclarés). 4. ☐ Une politique de confidentialité complète (articles 13-14) est accessible sur le site et remise aux salariés et candidats. 5. ☐ Les mentions légales du site sont exactes (LCEN).
Site web et marketing
6. ☐ Le bandeau cookies est conforme : refus aussi simple qu’accepter, aucun traceur soumis au consentement avant le choix, durée du choix adaptée aux recommandations applicables (règles CNIL). 7. ☐ L’information sur les cookies liste les traceurs réellement utilisés, leurs finalités et leurs durées. 8. ☐ La prospection respecte les règles applicables selon le canal et le destinataire (article L34-5 CPCE) ; chaque email contient un lien de désinscription fonctionnel. 9. ☐ Les formulaires ne collectent que le nécessaire (minimisation) et informent au moment de la collecte.
Droits des personnes
10. ☐ Un point de contact est publié (email dédié) et une procédure de gestion des demandes garantit la réponse sous un mois (article 12). 11. ☐ Le personnel en contact avec le public sait reconnaître une demande de droits et à qui la transmettre.
Sous-traitants et contrats
12. ☐ Les prestataires qualifiés comme sous-traitants sont identifiés et leurs traitements sont encadrés par un DPA article 28. 13. ☐ Les transferts hors UE sont identifiés et évalués selon le mécanisme de transfert applicable.
Sécurité
14. ☐ Mots de passe robustes + authentification multifacteur sur la messagerie et les outils critiques (recommandation CNIL, délibération 2022-100). 15. ☐ Sauvegardes régulières, dont une déconnectée, avec tests de restauration selon les risques. 16. ☐ Les accès sont individuels, les habilitations revues, les comptes des partants désactivés rapidement selon le processus de départ (article 32). 17. ☐ Une charte informatique est en vigueur et les salariés sont formés aux réflexes RGPD/sécurité régulièrement selon les risques et les fonctions.
Incidents et gouvernance
18. ☐ Une procédure de violation existe (qui alerter, notification CNIL 72 h) et un registre des violations est tenu (article 33). 19. ☐ La question du DPO est tranchée et documentée : désignation obligatoire (article 37) ou décision motivée de ne pas désigner ; le cas échéant, DPO externalisé déclaré à la CNIL. 20. ☐ Un responsable du sujet RGPD est nommé en interne et y consacre un créneau mensuel : la conformité est un processus, pas un projet — c’est le principe d’accountability (article 5(2)).
Lecture du résultat : ne transformez pas les vingt cases en note de conformité. Une seule lacune grave — sauvegardes inutilisables ou demandes de droits ignorées — peut compter davantage que plusieurs documents déjà rédigés. Classez chaque écart selon les personnes exposées, la probabilité du problème et la facilité de correction, puis attribuez un responsable et une échéance. La checklist sert à choisir des actions, pas à délivrer un certificat.
Plan d’action 90 jours
Jours 1-30 — Le socle. Semaine 1 : désignez le responsable interne (point 20) et tranchez la question DPO (point 19). Semaines 2-4 : construisez le registre des traitements — recensez par service (vente, marketing, RH, compta) ; le nombre de traitements varie selon les activités. Pour chacun : finalité, base légale, données, destinataires, durée. Le registre rend visibles les questions de bases légales, de durées et de sous-traitance ; sa tenue suppose une validation par les métiers. Un outil peut aider à organiser les informations, sans garantir un délai universel de mise en conformité.
Jours 31-60 — Le visible et les contrats. Mettez le site en conformité : politique de confidentialité, mentions légales, bandeau et politique cookies (points 4-7) — ces éléments sont visibles du public et peuvent faire l’objet d’une vérification. En parallèle, envoyez les DPA à vos prestataires (point 12) et identifiez les transferts hors UE (point 13).
Jours 61-90 — Les procédures et l’humain. Adoptez la procédure de droits et la procédure de violation ; ouvrez le registre des violations pour documenter les événements (points 10, 18), déployez MFA et revue des accès (points 14-16), faites passer la charte informatique et organisez la première session de sensibilisation (point 17). Terminez par un mini-audit : re-parcourez la checklist et documentez le résultat — ce document daté est votre première preuve d’accountability.
Adapter l’ordre des actions au risque réel
Le plan sur 90 jours proposé ici est un outil d’organisation, pas un délai légal ni une garantie de conformité. Une PME qui traite des données de santé, une société de services avec de nombreux comptes clients et un commerce local n’auront pas les mêmes priorités. Commencez par recenser les personnes concernées, les systèmes et les prestataires ; identifiez ensuite les dommages plausibles. Si la messagerie n’a pas d’authentification renforcée et contient des dossiers clients, sa sécurisation peut passer avant la réécriture d’une page de confidentialité. Si des demandes de droits attendent déjà, leur réponse prime sur un projet de registre de plusieurs semaines.
La CNIL propose une démarche progressive pour les TPE et PME. Son modèle de registre sert à décrire les traitements réellement effectués ; il n’impose pas un nombre type de lignes. Pour chaque traitement, faites expliquer au métier la finalité, les données nécessaires, les personnes concernées, les destinataires, le fondement juridique et les durées. Une fiche « gestion clients » qui regroupe indistinctement facturation, prospection et support masque des règles différentes. À l’inverse, découper chaque champ de formulaire en traitement séparé rend le registre inutilisable.
L’exception des moins de 250 personnes ne dispense pas globalement de registre : l’article 30(5) cesse de jouer notamment lorsque le traitement n’est pas occasionnel. Une paie mensuelle ou la gestion récurrente des clients ne sont pas des activités occasionnelles. La question utile est donc : quelles activités régulières ou à risque faisons-nous, et où sont-elles documentées ? Le registre des traitements doit suivre les changements de processus ; le RGPD ne prescrit pas une date de mise à jour annuelle universelle.
Vérifier la réalité derrière chaque case cochée
Une politique de conservation peut être complète sur papier alors que les comptes d’anciens clients restent dans le CRM sans échéance. Contrôlez un échantillon : une donnée arrivée à terme a-t-elle réellement été supprimée ou archivée selon la règle ? Une case « contrats de sous-traitance » exige de savoir quels prestataires traitent des données pour votre compte, quelles instructions ils reçoivent et comment ils aident en cas de demande ou de violation. Tous les fournisseurs ne sont pas automatiquement sous-traitants pour toutes leurs opérations ; qualifiez leur rôle avant d’envoyer un accord article 28.
Pour les cookies, examinez les traceurs effectivement déclenchés avant et après le choix, puis comparez leur comportement à l’information et aux paramètres de refus. Une durée précise de conservation du choix peut être recommandée par la CNIL dans un contexte donné ; elle ne doit pas être présentée comme un chiffre universel du RGPD. La conformité du bandeau se vérifie en pratique, sur mobile comme sur ordinateur. Pour la prospection, distinguez les destinataires et les circonstances : une simple étiquette « B2B » dans le CRM ne résout pas toutes les questions de consentement, d’information et d’opposition.
Une procédure de violation ne sert que si les salariés savent où signaler une perte d’appareil ou un mauvais envoi. Le registre des violations reçoit les événements qualifiés, y compris ceux qui ne sont pas notifiés à la CNIL. Testez la chaîne avec un exemple fictif : un salarié du support reçoit un email suspect un vendredi soir ; sait-il qui appeler, et la personne d’astreinte peut-elle retrouver les traitements concernés ? Cette vérification révèle plus qu’une case « procédure adoptée ».
Décider ce qui nécessite une expertise ciblée
Une petite équipe peut tenir son registre et organiser ses réponses aux personnes. Elle peut avoir besoin d’un appui ponctuel pour une analyse d’impact, un transfert international complexe, une surveillance de salariés ou une violation grave. La question de l’AIPD se tranche selon le risque du traitement, pas selon la taille de l’entreprise. De même, la désignation d’un DPO dépend des critères de l’article 37 ; une fonction de coordination interne peut être utile même lorsqu’un DPO formel n’est pas obligatoire.
Prévoyez une revue à chaque changement important : nouveau logiciel RH, prestataire de marketing, collecte de données supplémentaires, automatisation de décision ou ouverture d’un autre marché. Le responsable du sujet demande aux métiers ce qui a changé, met à jour les fiches pertinentes et vérifie les actions en retard. Un calendrier fixe aide à tenir cette discipline, mais ne remplace pas la réaction à un changement réel. Si le télétravail fait partie de l’organisation, une charte adaptée peut rendre concrètes les règles de sécurité hors des locaux. Conservez les décisions, leurs motifs et la date de revue : c’est la partie de l’accountability que la PME peut démontrer sans dispositif disproportionné.
Erreurs courantes des PME
- Croire que « le RGPD, c’est pour les gros » : la procédure de sanction simplifiée de la CNIL peut traiter des dossiers de complexité ou gravité limitée, quelle que soit la taille de l’organisme ; les droits des personnes s’appliquent aussi aux PME.
- Acheter des documents types sans registre : politique de confidentialité générique + zéro registre = façade sans fondation ; le registre est la pièce maîtresse.
- Déléguer 100 % à l’expert-comptable ou au prestataire web : leur rôle juridique dépend des opérations confiées ; qualifiez-le avant tout accord de sous-traitance. La responsabilité du traitement confié à un prestataire ne disparaît pas pour autant.
- Confondre conformité et paperasse ponctuelle : sans créneau mensuel (nouveaux outils, nouveaux traitements, purges), la conformité de mars est morte en septembre.
- Ignorer les traitements RH : paie, badgeage, vidéosurveillance, recrutement — les traitements RH exposent également les salariés à des risques (RGPD et RH).
FAQ
Une PME de moins de 250 personnes est-elle dispensée de registre ?
Pas automatiquement. L’exception de l’article 30(5) ne couvre pas les traitements non occasionnels, ceux qui présentent un risque ou certaines catégories de données — or la paie, la gestion clients et la prospection sont des traitements réguliers. La CNIL confirme cette lecture et propose d’ailleurs un modèle de registre simplifié pour les PME, ainsi qu’un parcours d’accompagnement dédié aux TPE-PME dans sa rubrique « RGPD : passer à l’action ».
Combien coûte la mise en conformité d’une PME ?
Il n’existe pas de prix standard : le coût dépend des traitements, des outils, des contrats et des écarts déjà identifiés. Chiffrez le temps interne, les mesures de sécurité, l’appui juridique éventuel et les prestations nécessaires. Comparez un devis à des livrables vérifiables plutôt qu’à un prix « conformité RGPD ». Notre guide du coût de la conformité aide à structurer le budget.
Une PME risque-t-elle vraiment un contrôle CNIL ?
Oui. La CNIL peut contrôler un organisme de toute taille, sur pièces, sur place ou en ligne selon le cas. Une plainte, une campagne thématique ou des éléments publics peuvent attirer son attention ; il serait trompeur de prédire la probabilité d’un contrôle pour une PME donnée. Voir comment se préparer à un contrôle.
Par quoi commencer si on ne peut faire qu’une seule chose ?
Le registre des traitements. Il force le recensement de tout le reste (bases légales, durées, sous-traitants, sécurité), il est obligatoire, et il constitue une pièce centrale de la documentation. Un registre exact aide à identifier les risques et à démontrer les choix faits, mais ne suffit pas si les pratiques réelles restent défaillantes.
Conclusion
Vingt points et un calendrier de travail adaptable : la démarche doit partir des traitements et des risques réels. Commencez par le socle documentaire (registre, bases légales, durées), enchaînez sur le site et les contrats, terminez par les procédures et la formation. Puis institutionnalisez le créneau mensuel — c’est lui qui fait la différence entre une conformité de classeur et une conformité qui tient le jour où la CNIL, un client grand compte ou un salarié en contentieux vient vérifier.