RGPD : les 5 obligations essentielles pour une TPE

« Le RGPD, c'est pour les grandes entreprises. » Faux : il s'applique dès qu'on traite des données personnelles — clients, prospects, salariés. La bonne nouvelle, c'est qu'une TPE peut se mettre en conformité avec quelques mesures de bon sens. Voici les 5 essentielles.

Cet article donne des repères pratiques et ne constitue pas un conseil juridique. En cas de doute, rapprochez-vous de la CNIL ou d'un juriste.

1. Tenir un registre des traitements

C'est le document de base. Il recense quelles données vous collectez (clients, prospects, salariés), pourquoi, où elles sont stockées et combien de temps vous les conservez. La CNIL fournit un modèle simplifié adapté aux petites structures. C'est souvent la première chose qu'on vous demandera en cas de contrôle.

2. Informer et recueillir le consentement

Les personnes doivent savoir ce que vous faites de leurs données. Concrètement : une mention d'information sur vos formulaires (contact, newsletter), une politique de confidentialité sur votre site, et un consentement clair (cases non pré-cochées) pour la prospection ou les cookies.

3. Sécuriser les données

Le RGPD impose des mesures de sécurité « appropriées ». Pour une TPE, cela veut dire des choses concrètes : mots de passe robustes et 2FA, postes et serveurs à jour, antivirus, sauvegardes, accès limités aux seules personnes concernées, et chiffrement des données sensibles (notamment les données de santé).

4. Encadrer ses sous-traitants

Vos outils (hébergeur, logiciel de paie, CRM, prestataire informatique) traitent des données pour vous. Vous devez vous assurer qu'ils sont eux-mêmes conformes au RGPD et le prévoir dans un contrat. Privilégiez des prestataires hébergeant les données en Europe.

5. Savoir réagir en cas de violation

Fuite, vol, piratage de données personnelles : en cas de violation présentant un risque, vous devez notifier la CNIL sous 72 heures, et parfois informer les personnes concernées. Avoir un protocole et un interlocuteur technique prêt à réagir fait toute la différence.

En résumé

Registre, information, sécurité, sous-traitants, réaction : cinq réflexes qui mettent l'essentiel d'une TPE en conformité. La plupart relèvent d'une bonne hygiène informatique — celle qu'un partenaire IT met en place avec vous.