Beaucoup de petits entrepreneurs pensent que le Règlement Général sur la Protection des Données (RGPD) ne concerne que les grands groupes et les multinationales. C'est une idée reçue dangereuse.
Le RGPD s'applique à toute organisation qui collecte ou traite des données personnelles de résidents de l'Union Européenne — qu'elle compte 5 ou 50 000 salariés. Si vous avez un formulaire de contact sur votre site, une liste email, ou si vous utilisez Google Analytics : vous collectez des données personnelles. Et vous devez être en conformité.
La bonne nouvelle : pour une petite structure, la mise en conformité est accessible. Voici ce qu'il faut savoir.
Une donnée personnelle, c'est toute information qui permet d'identifier directement ou indirectement une personne physique :
En d'autres termes : quand quelqu'un remplit votre formulaire de contact, quand vous collectez un email pour votre newsletter, quand votre site web installe des cookies sur l'ordinateur de vos visiteurs — vous collectez des données personnelles et le RGPD s'applique.
Vous devez avoir une raison légale (une "base légale") pour collecter et traiter des données. Les plus utilisées pour les PME :
Vous devez informer les personnes sur l'utilisation de leurs données : qui les collecte, pourquoi, combien de temps elles sont conservées, quels sont leurs droits.
Ne collectez que les données strictement nécessaires à votre objectif. Si vous avez besoin de l'email pour envoyer une newsletter, n'exigez pas aussi la date de naissance et le numéro de téléphone.
Vous ne pouvez pas garder des données indéfiniment. Définissez des durées de conservation pour chaque type de données et supprimez-les quand elles ne sont plus nécessaires.
Vous devez protéger les données que vous collectez contre les accès non autorisés, les violations, et les pertes.
Votre site web doit afficher des mentions légales (identité du responsable de traitement, hébergeur) et une politique de confidentialité (quelles données collectées, pourquoi, combien de temps, droits des utilisateurs).
Ces documents ne doivent pas être des copier-coller de templates obscurs. Ils doivent refléter fidèlement vos pratiques réelles.
Si votre site utilise des cookies non essentiels (Google Analytics, publicités, réseaux sociaux...), vous devez afficher une bannière de cookies permettant aux utilisateurs d'accepter ou refuser. Le refus doit être aussi simple que l'acceptation — un seul clic.
Votre formulaire de contact doit être sécurisé (connexion HTTPS obligatoire), et les données collectées ne doivent être accessibles qu'aux personnes qui en ont besoin.
Si vous avez une newsletter :
💡 Conseil Pro : Conservez les preuves de consentement. Quand quelqu'un s'inscrit à votre newsletter, enregistrez la date, l'heure, et l'adresse IP. Si la CNIL vous demande un jour de prouver que vous avez bien eu le consentement de vos abonnés, vous pourrez le justifier.
Les entreprises de moins de 250 salariés sont en principe exonérées de tenir un registre complet des traitements — sauf si elles traitent des données sensibles ou des données à grande échelle. Mais il est fortement recommandé de tenir à jour un document listant vos traitements principaux : newsletter, fichier clients, candidatures RH...
Toute personne dont vous traitez les données dispose de droits :
Vous avez généralement 1 mois pour répondre à ces demandes.
Les amendes maximales du RGPD sont impressionnantes : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Mais ces montants concernent les grandes entreprises.
Pour les PME, la CNIL (l'autorité française de contrôle) adopte une approche plus pédagogique, en particulier pour les premières infractions. Elle privilégie la mise en demeure et la mise en conformité avant de prononcer des sanctions financières.
Cela dit, ne comptez pas sur la clémence systématique. Une plainte d'un utilisateur peut déclencher un contrôle. Et si vous êtes victime d'une violation de données (hack, fuite), l'obligation de notification à la CNIL dans les 72 heures s'applique dès le premier incident.
Listez toutes les façons dont vous collectez des données : formulaire de contact, newsletter, commandes en ligne, prises de rendez-vous, cartes de fidélité, candidatures RH...
Si vous utilisez des outils tiers (MailChimp, Google Analytics, Stripe, Calendly...), assurez-vous qu'ils offrent des garanties RGPD (DPA - Data Processing Agreement disponible, hébergement en Europe ou garanties équivalentes).
Même si vous êtes seul, vous devez connaître les bases. Si vous avez des collaborateurs qui accèdent aux données clients, sensibilisez-les à la confidentialité.
Le RGPD n'est pas une contrainte insurmontable pour une petite entreprise. Avec quelques heures d'investissement et les bons outils, vous pouvez être en conformité avec les obligations essentielles. Et cette conformité est aussi une garantie de confiance pour vos clients.
Chez Stackup Agency, nous intégrons les exigences RGPD dans tous les sites que nous créons : mentions légales, politique de confidentialité, gestion des cookies, formulaires conformes. Votre conformité est notre priorité dès le départ.
Premier RDV gratuit, devis sous 24h, sans engagement.
Prendre rendez-vous →