Une entreprise de 3 salariés traite autant de catégories de données personnelles qu’un grand groupe, à l’échelle près. Fichier clients, candidatures, paie, prospects : le RGPD pour TPE s’applique dès la première ligne de tableur, sans seuil d’effectif.
Ainsi, la difficulté à respecter ces réglementations porte moins sur le principe que sur la méthode.
Les équipes de notre CRM personnalisable et flexible accompagnent des dirigeants qui structurent leur conformité RGPD sans avoir à mobiliser de direction juridique.
Dans cet article vous trouverez les 4 obligations qui s’appliquent à votre structure, la méthode pour tenir votre registre des traitements, et les conséquences du lieu d’hébergement sur votre responsabilité de dirigeant.
- Champ d’application : le RGPD couvre toute structure qui traite des données personnelles, sans condition de taille ni de chiffre d’affaires.
- Registre des traitements : il constitue la pièce centrale de votre dossier de conformité.
- Minimisation : la collecte se limite aux données utiles à la finalité annoncée, avec une durée de conservation définie pour chacune.
- Violation de données : la notification à la CNIL intervient dans un délai de 72 heures après la découverte de l’incident.
- Hébergement : le lieu de stockage engage la responsabilité de votre entreprise, en qualité de responsable de traitement.
Une TPE est-elle vraiment concernée par le RGPD ?
Oui, une TPE entre pleinement dans le champ du RGPD dès qu’elle traite des données personnelles. La CNIL le rappelle sans ambiguïté : le règlement ne prévoit aucun seuil d’effectif. Un artisan qui conserve les coordonnées de ses clients traite donc des données personnelles, au même titre qu’une entreprise de 500 personnes.
De plus, le critère porte sur l’activité et non sur le statut juridique. Les mêmes principes gouvernent ainsi les structures à but non lucratif, avec quelques particularités que détaille notre article sur les obligations RGPD d’une association.
En revanche, la taille de la structure change l’intensité des mesures attendues, pas leur nature : la mise en conformité RGPD d’une PME mobilise ainsi davantage de services et de prestataires. La CNIL apprécie ces mesures au regard du risque que chaque traitement fait peser sur les personnes concernées.
Les 4 obligations qui s’appliquent concrètement
Pour une petite structure, le RGPD tient en 4 obligations opérationnelles. Les traiter dans l’ordre donne une conformité lisible, sans documentation pensée pour une direction juridique. Le guide de la CNIL et de Bpifrance suit la même progression. Voici ces 4 obligations :
- Le registre : recensez vos traitements dans un document unique, qui liste ce que vous collectez, pourquoi, et pendant combien de temps.
- La minimisation : réduisez la collecte aux seules données utiles à la finalité annoncée, en supprimant les champs hérités d’anciens formulaires.
- L’information : prévenez les personnes concernées dès la collecte, puis répondez à leurs demandes d’accès, de rectification ou d’effacement.
- La sécurité : protégez l’accès aux fichiers et notifiez toute violation à la CNIL sous 72 heures, délai qui court dès la découverte de l’incident.
La désignation d’un délégué à la protection des données s’impose à 3 catégories d’organismes seulement, dont aucune ne vise la TPE classique. Rien n’empêche toutefois de confier le sujet à une personne identifiée en interne. Nos observations sur le terrain : les structures qui nomment un référent, même à temps très partiel, tiennent leur registre à jour dans la durée.
Le registre des traitements, pièce maîtresse du dossier
Le registre des activités de traitement recense l’ensemble des usages que vous faites des données personnelles. Il montre en quelques minutes le sérieux de votre démarche, ce qui en fait la première pièce à produire.
Pour une TPE, il couvre en pratique les traitements du quotidien : gestion des clients, prospection commerciale, relations fournisseurs, recrutement, paie, et vidéosurveillance quand elle existe. Chaque fiche indique la finalité poursuivie, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité retenues.
L’enjeu se déplace ensuite sur la mise à jour. Un nouvel outil ou un nouveau formulaire, et le registre décroche : inscrivez sa révision au même moment que la clôture comptable, une fois par an.
L’hébergement de vos données, un critère de conformité
Le lieu de stockage de vos données engage la responsabilité de votre entreprise, quel que soit le prestataire retenu. Un transfert hors Union européenne impose en effet des garanties supplémentaires que peu de petites structures savent documenter. Choisir un hébergement européen supprime donc cette complexité.
Nous avons construit Cirrus Shield sur ce principe : nous hébergeons les serveurs et les données de nos clients en France, chez OVH, à Roubaix. Le chiffrement couvre les données en transit comme au repos, et les sauvegardes quotidiennes s’appuient sur une redondance multi-zones.
Notre CRM pensé pour les TPE centralise contacts, devis et échanges au même endroit, ce qui réduit mécaniquement le nombre de fichiers à inscrire au registre. Son paramétrage low-code laisse adapter les champs collectés à votre activité, sans développement ni budget de projet, ce qui sert directement la minimisation des données voulue par le RGPD.
Lorsqu’un dirigeant nous demande où sont hébergées ses données, il attend une réponse claire plutôt qu’un développement juridique. Nous lui indiquons la France, et cette précision le rassure aussitôt.
FAQ – RGPD et TPE
Que risque une TPE en cas de manquement au RGPD ?
En cas de manquement, une TPE s’expose aux sanctions de la CNIL, qui visent les structures de toutes tailles. Selon la gravité, elle prononce un rappel à l’ordre, une mise en demeure, une injonction sous astreinte ou une amende. Une plainte déposée par un salarié ou par un client suffit à déclencher un contrôle.
Le registre des traitements est-il obligatoire sous 250 salariés ?
Oui dans la quasi-totalité des cas. La dispense prévue pour les organismes de moins de 250 salariés couvre les seuls traitements occasionnels et sans risque. Or la gestion des clients, de la paie ou du recrutement relève de traitements réguliers, donc inscriptibles au registre.
Faut-il un délégué à la protection des données dans une TPE ?
La désignation s’impose à 3 catégories d’organismes : les autorités publiques, ceux qui suivent des personnes à grande échelle, et ceux qui traitent des données sensibles à grande échelle. Une TPE classique désigne donc un référent interne par choix, pour maintenir la démarche dans la durée.
Combien de temps conserver les données de ses clients ?
La durée se définit selon la finalité poursuivie. La CNIL retient 3 ans après le dernier contact pour les données de prospection commerciale, tandis que le code de commerce impose 10 ans pour les pièces comptables. Inscrivez chaque durée au registre, puis programmez une purge annuelle.
Que faire en cas de fuite de données ?
Documentez l’incident, mesurez le risque pour les personnes, puis notifiez la CNIL dans les 72 heures lorsque ce risque existe. Si la violation expose fortement les personnes concernées, prévenez-les également, en termes clairs et sans jargon technique.
- Appliquer le RGPD dans une TPE ou PME, les questions-réponses de la CNIL
- Le registre des activités de traitement, CNIL
- Les grandes étapes pour protéger les données, guide CNIL et Bpifrance
