Mise en conformité RGPD d’une PME : méthode, acteurs et obligations

par Camille El Hage | 8/10/2026 | Logiciels

L’essentiel à retenir :

Une PME applique le même socle RGPD qu’une TPE. Ses traitements, ses services et ses prestataires plus nombreux rendent le pilotage plus exigeant.
La CNIL découpe la démarche en six étapes, du pilote à la documentation. Elle encourage la désignation d’un délégué, même hors obligation légale.
Chaque prestataire qui traite des données pour le compte de l’entreprise est lié par un contrat écrit. Ce contrat suit les clauses imposées par l’article 28 du RGPD.
L’analyse d’impact devient obligatoire en cas de risque élevé. C’est le cas d’une surveillance constante des salariés ou d’un profilage RH.
Une violation de données se documente toujours en interne. Elle se notifie à la CNIL sous 72 heures lorsqu’elle présente un risque.
En 2025, 67 des 83 sanctions de la CNIL relèvent de la procédure simplifiée. Son plafond : 20 000 euros d’amende, 100 000 euros au-delà de 50 M€ de chiffre d’affaires.

Une PME de 80 salariés ne gère pas les données personnelles de ses clients comme un artisan seul. Paie, recrutement, prospection, service client, prestataires informatiques : les traitements se multiplient avec les équipes. Les fichiers se dispersent entre plusieurs outils : messagerie, tableurs ou CRM dédié à la gestion commerciale des PME. La conformité RGPD devient alors un sujet d’organisation autant que de droit. Comment une entreprise de cette taille structure-t-elle sa démarche ?

Un socle commun avec les TPE, une organisation à changer d’échelle

Le règlement général sur la protection des données (RGPD) s’applique à toutes les entreprises, sans seuil d’effectif. Le socle reste identique : registre des traitements, collecte limitée, information des personnes et sécurité des données personnelles. Ces quatre obligations sont détaillées dans l’article consacré au RGPD des TPE et au choix de l’hébergement.

La différence tient à l’échelle. Une PME compte plusieurs services, un CSE dès 11 salariés et plusieurs prestataires numériques. Leurs exigences RGPD se cumulent. Selon le Baromètre France Num 2025, seules 41 % des TPE PME tiennent un registre des traitements. Un registre à jour aide pourtant à répondre aux questions des clients et des partenaires.

Les six étapes de la mise en conformité selon la CNIL

La CNIL propose une méthode en six étapes pour la mise en conformité. Avec Bpifrance, elle a aussi publié un guide pratique de sensibilisation au RGPD destiné aux PME.

Étape	Objectif	Document associé
1. Désigner un pilote	Confier une mission d’information, de conseil et de contrôle interne à un « chef d’orchestre »	Désignation du pilote ou du DPO
2. Cartographier les traitements	Recenser chaque traitement par finalité, et non par logiciel	Registre des traitements
3. Prioriser les actions	Classer les chantiers selon les risques pour les personnes	Plan d’action
4. Gérer les risques	Analyser les traitements à risque élevé	Analyse d’impact (AIPD)
5. Organiser les processus internes	Prévoir les réflexes : violations, demandes d’accès, changement de prestataire	Procédures internes
6. Documenter la conformité	Réunir les preuves et les tenir à jour	Dossier de conformité

Délégué à la protection des données : obligatoire ou recommandé ?

Le délégué à la protection des données (DPO) s’impose dans trois cas, fixés par l’article 37 du RGPD. Le premier vise les autorités et organismes publics. Le deuxième concerne les organismes dont l’activité de base implique un suivi régulier et systématique de personnes à grande échelle. Le troisième touche le traitement à grande échelle de données sensibles, comme la santé, ou pénales.

Aucun seuil chiffré ne définit la « grande échelle ». L’analyse se fait au cas par cas, selon le nombre de personnes, le volume de données ou la durée.

Hors de ces cas, la CNIL encourage la désignation d’un DPO, relais interne en matière de protection des données. Ce délégué peut être un salarié ou un prestataire lié par un contrat de service. Sa désignation se déclare uniquement en ligne, via le téléservice de la CNIL. À défaut, la CNIL recommande fortement un pilote doté de relais internes.

Les sous-traitants et le contrat de l’article 28

Un sous-traitant traite des données personnelles pour le compte de l’entreprise. La CNIL cite les hébergeurs, la maintenance informatique, les agences marketing ou la paie externalisée. L’entreprise ne retient que des sous-traitants présentant des garanties suffisantes.

L’article 28 du RGPD impose un contrat écrit, y compris au format électronique. Ce contrat précise l’objet, la durée, la nature et la finalité du traitement. Il décrit aussi les types de données et les catégories de personnes concernées. Le prestataire s’y engage notamment à :

agir uniquement sur instruction documentée ;
garantir la confidentialité des personnes autorisées ;
appliquer les mesures de sécurité de l’article 32 ;
ne recourir à un autre sous-traitant qu’avec une autorisation écrite ;
aider à répondre aux demandes d’exercice des droits ;
supprimer ou restituer les données en fin de prestation ;
démontrer sa conformité et accepter un audit.

Le prestataire signale aussi toute violation de données à son client, dans les meilleurs délais. L’entreprise reste toutefois responsable du traitement envers les personnes. Côté CRM, Cirrus Shield indique par exemple héberger ses serveurs et ses données en France, chez OVH à Roubaix. Les mesures techniques d’un tel outil sont présentées dans l’article sur la sécurité des données clients dans un CRM.

L’analyse d’impact (AIPD) : dans quels cas elle s’impose

L’analyse d’impact relative à la protection des données précède tout traitement susceptible d’engendrer un risque élevé pour les personnes. Elle devient obligatoire dans deux situations. Soit le traitement figure sur la liste publiée par la CNIL. Soit il remplit au moins deux des neuf critères européens. Ces critères viennent du G29, devenu le Comité européen de la protection des données (CEPD). Parmi eux figurent le profilage, la surveillance systématique, les données sensibles et les personnes vulnérables, salariés compris.

Pour une PME, deux entrées de la liste CNIL retiennent l’attention. La surveillance constante de l’activité des salariés exige une AIPD, par exemple l’analyse des courriels sortants pour détecter des fuites. Le profilage à des fins de ressources humaines aussi, comme un algorithme de tri des candidatures. En revanche, la gestion courante du personnel en est dispensée dans les entreprises de moins de 250 personnes, hors profilage. Si le risque résiduel reste élevé, la CNIL est consultée avant la mise en œuvre.

Données des salariés et des prospects B2B

Salariés et prospects concentrent une large part des traitements d’une PME. Les pratiques autorisées diffèrent pour chaque population.

Les salariés

Le code du travail fixe le cadre légal du contrôle de l’activité. L’article L1222-4 interdit de collecter des informations sur un salarié par un dispositif non porté préalablement à sa connaissance. Dès 50 salariés, l’article L2312-38 impose de consulter le CSE avant toute décision de mise en place. Le dispositif reste enfin proportionné au but recherché.

Les prospects B2B

La prospection par courriel auprès de professionnels ne requiert pas de consentement préalable. Le message porte alors sur un sujet en lien avec la profession du destinataire. La personne est informée de la collecte et peut s’opposer simplement et gratuitement. Les adresses génériques de type contact@ ou info@ échappent à ces règles. Une demande d’exercice des droits reçoit en principe une réponse sous un mois, sauf exceptions.

Violation de données : la procédure des 72 heures

Une fuite, une perte ou un accès non autorisé à des données à caractère personnel constitue une violation de données. Chaque incident se documente en interne, quel que soit son niveau de risque. S’il présente un risque pour les personnes, la CNIL reçoit une notification sous 72 heures après sa découverte.

La notification peut se faire en deux temps : un signalement initial, puis un complément. Au-delà de 72 heures, l’entreprise justifie son retard. En cas de risque élevé, les personnes concernées sont aussi informées. La CNIL a reçu 6 167 notifications de violations en 2025, dont une sur deux liée à un piratage. Les manquements en matière de cybersécurité constituent d’ailleurs un tiers des contrôles et près de 30 % des sanctions.

Contrôles et sanctions de la CNIL

En 2025, la CNIL a mené 323 contrôles et reçu 20 150 plaintes. Elle a prononcé 83 sanctions, dont 67 selon la procédure simplifiée. Ce circuit vise les dossiers peu complexes ou de faible gravité. Les amendes concernent des entreprises de toutes tailles et de tous secteurs. En procédure simplifiée, les manquements portaient surtout sur la sécurité, la non-réponse à la CNIL et les droits des personnes.

Le registre des traitements, obligation légale, est demandé systématiquement lors d’un contrôle CNIL. Ce contrôle intervient en principe sans préavis. Les plafonds diffèrent selon la procédure suivie.

Procédure	Dossiers visés	Amende maximale	Astreinte maximale
Ordinaire (formation restreinte)	Tous les manquements	20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu	100 000 euros par jour de retard
Simplifiée (président ou membre désigné)	Dossiers peu complexes ou de faible gravité	20 000 euros, ou 100 000 euros au-delà de 50 millions d’euros de chiffre d’affaires annuel mondial	100 euros par jour de retard, ou 500 euros au-delà du même seuil

Les plafonds de la procédure simplifiée ont été relevés par une loi du 26 mai 2026.

L’amende tient compte de la nature, de la gravité et de la durée du manquement. Le degré de coopération avec la CNIL entre aussi dans le calcul.