- Le RGPD s'apply aux entreprises de toutes tailles, sans aucune exemption liée à la taille de la structure.
- Six ans après son entrée en application, 60 % des PME françaises demeurent non conformes : la CNIL a intensifié ses contrôles via la procédure simplifiée, avec des amendes dès 3 000 € pour les petites structures.
- Huit obligations fondamentales s'imposent à toute PME : base légale, notices d'information, droits des personnes, registre des traitements, sécurité des données, notification des violations, contrats avec les sous-traitants, et consentement aux cookies.
- La plupart des PME ne sont pas tenues de désigner un délégué à la protection des données (DPD) - mais toutes doivent se conformer aux sept autres obligations.
- Les entreprises non européennes vendant à des résidents de l'UE sont soumises au RGPD et doivent désigner un représentant en Europe.
Le RGPD en bref : Le RGPD (Règlement UE 2016/679) est le cadre européen de protection des données personnelles. Il s'applique à toute entreprise traitant des données personnelles de résidents de l'UE, quelle que soit sa taille, son secteur d'activité ou son pays d'établissement. Il est en vigueur depuis le 25 mai 2018 et est contrôlé par les autorités nationales de protection des données de chaque État membre - coordonnées au niveau européen par le Comité européen de la protection des données (CEPD).
Le RGPD continue de prendre les PME de court
Une PME française de 12 salariés, dotée d'un CRM, d'une newsletter et d'un processus de recrutement, traite chaque jour des données personnelles de dizaines ou centaines de personnes. Aux termes du RGPD (Règlement UE 2016/679), cela suffit à déclencher l'intégralité des obligations réglementaires - quels que soient l'effectif, le chiffre d'affaires ou le secteur d'activité.
La CNIL l'a confirmé dans son rapport annuel 2025 : les TPE et PME ne sont plus en dehors du radar. Sa procédure de sanction simplifiée - conçue pour les affaires moins complexes - permet d'infliger des amendes plus rapidement, jusqu'à 20 000 €. Selon le baromètre Themio , le coût moyen d'une mise en conformité réactive, après incident, est estimé à cinq à quinze fois le coût d'une démarche préventive.
Cette checklist couvre ce que votre PME doit mettre en place.
À qui s'applique le RGPD ?
| Profil d'entreprise | Applicable ? | Précisions |
|---|---|---|
| Entreprise établie dans l'UE | ✅ Oui | Application intégrale - quelle que soit la taille ou le secteur |
| Entreprise EEE (Norvège, Islande, Liechtenstein) | ✅ Oui | Via l'accord EEE ; mêmes obligations que les entreprises de l'UE |
| Entreprise non-UE ayant des clients dans l'UE | ✅ Oui | Article 3(2) : champ territorial étendu si vous proposez des biens/services à des résidents UE ou surveillez leur comportement |
| Entreprise non-UE sans lien avec l'UE | ❌ Non | Le RGPD ne s'applique pas - vérifiez votre base clients réelle |
| Entreprise d'un pays candidat à l'UE (Serbie, Ukraine, Albanie, etc.) | ⚠️ Partiel | Des lois nationales équivalentes au RGPD s'appliquent ; le RGPD s'applique directement si vous servez des résidents UE |
| Seuil d'effectif | Aucun | Le RGPD s'applique dès le premier salarié et le premier client |
| Secteur d'activité | Tous | Aucune exemption sectorielle - catégories particulières (santé, RH, biométrie) soumises à des règles renforcées |
La checklist RGPD en 8 points
1. Identifier une base légale pour chaque traitement (Article 6)
Le RGPD exige que vous justifiiez pourquoi vous traitez chaque catégorie de données personnelles, avant tout traitement. Les six bases légales sont : le consentement, l'exécution d'un contrat, le respect d'une obligation légale, la sauvegarde des intérêts vitaux, l'exécution d'une mission d'intérêt public, et l'intérêt légitime.
La plupart des PME s'appuient sur : l' exécution d'un contrat (traitement des données client pour la fourniture d'un service), l' obligation légale (paie, obligations fiscales) et l' intérêt légitime (prospection B2B, prévention de la fraude). Le consentement est requis pour les inscriptions à une newsletter et les cookies non essentiels - il doit être libre, spécifique, éclairé et univoque.
Action pratique : Établissez un tableau interne recensant les principales catégories de données que vous traitez (clients, salariés, prospects, fournisseurs) et associez une base légale à chacune.
2. Rédiger des mentions d'information conformes (Articles 13–14)
Toute personne dont vous collectez les données doit recevoir une information claire au moment de la collecte : votre identité, la finalité du traitement, la durée de conservation, les droits dont elle dispose et les destinataires de ses données.
Cela s'applique à votre formulaire de contact, votre processus de candidature, votre parcours d'intégration client et vos dossiers salariés.
Action pratique : Relisez votre politique de confidentialité ou vos mentions d'information actuelles. Vérifiez qu'elles indiquent les bases légales, les durées de conservation, les destinataires (y compris les prestataires cloud) et les modalités d'exercice des droits. La CNIL met à disposition des modèles et un générateur de mentions sur cnil.fr.
3. Mettre en place des procédures pour l'exercice des droits (Articles 15–22)
Les personnes disposent de huit droits en vertu du RGPD : accès (article 15), rectification (article 16), effacement (article 17), limitation du traitement (article 18), portabilité (article 20), opposition (article 21) et droits relatifs aux décisions automatisées (articles 21–22).
Vous devez répondre dans un délai de 30 jours . L'absence de réponse constitue une violation réglementaire, indépendamment de la licéité du traitement sous-jacent.
Action pratique : Créez une adresse email dédiée (ex. : rgpd@masociete.fr) pour les demandes d'exercice des droits, documentez votre processus de réponse interne et vérifiez que vous êtes en mesure de localiser, d'exporter ou de supprimer les données concernées.
4. Tenir un registre des activités de traitement (Article 30)
L'article 30 impose aux responsables de traitement et aux sous-traitants de tenir un registre écrit de toutes les activités de traitement. L'exemption prévue à l'article 30(5) ne s'applique que si les trois conditions suivantes sont réunies simultanément : moins de 250 salariés, traitement occasionnel, et absence de données sensibles ou de données relatives à des condamnations pénales.
En pratique, la plupart des PME - même celles de moins de 250 salariés - traitent des données salariés de manière régulière (paie, RH), des données clients en continu (CRM, facturation) et des données de prospection de façon permanente. Elles ne remplissent donc pas les conditions de l'exemption.
Action pratique : Créez un registre des traitements sous forme de tableau, avec pour chaque traitement : nom et finalité, base légale, catégories de données, destinataires, durée de conservation, mesures de sécurité. Un tableur bien structuré suffit.
5. Mettre en œuvre des mesures de sécurité adaptées (Article 32)
Le RGPD ne prescrit pas de mesures spécifiques - il retient un standard basé sur le risque : les mesures doivent être « appropriées » au regard de la nature, du périmètre et des finalités du traitement, ainsi que des risques pour les personnes concernées.
Pour la plupart des PME, cela implique : contrôle des accès (qui peut voir quoi), politique de mots de passe robuste, chiffrement ou pseudonymisation des données sensibles, sauvegardes régulières et sensibilisation des salariés.
Action pratique : Documentez vos mesures de sécurité dans votre registre ou une politique dédiée. Identifiez les lacunes par rapport aux bonnes pratiques de base (référentiel ISO 27001, guide CNIL pour les PME). Traitez en priorité les risques les plus élevés.
6. Mettre en place une procédure de notification des violations (Articles 33–34)
En cas de violation de données - perte accidentelle, rançongiciel, accès non autorisé - vous devez notifier votre autorité de contrôle dans un délai de 72 heures à compter de la prise de connaissance de l'incident (article 33). Si la violation est susceptible d'entraîner un risque élevé pour les personnes concernées, vous devez également les en informer sans délai indu (article 34).
La plupart des PME n'ont jamais anticipé ce qu'elles feraient dans les 72 premières heures suivant la découverte d'une violation. Il s'agit d'une lacune qui expose directement à des sanctions.
Action pratique : Rédigez un protocole de réponse aux violations en une page : qui est informé en interne, qui évalue la nécessité de notifier la CNIL, qui rédige la notification. La CNIL met à disposition un formulaire de notification sur notifications.cnil.fr .
7. Signer des contrats de sous-traitance avec tous vos prestataires (Article 28)
Tout prestataire tiers qui traite des données personnelles pour votre compte - hébergement cloud, CRM, messagerie, logiciel de paie, SIRH - est un sous-traitant au sens du RGPD. Vous devez disposer d'un accord de traitement des données (ATD) écrit avec chacun d'eux.
Les grands éditeurs (AWS, Google Workspace, HubSpot, Salesforce, Stripe) proposent des ATD standard et les font accepter en ligne. Le risque porte surtout sur les prestataires locaux ou les fournisseurs de niche avec lesquels aucun accord n'a jamais été formalisé.
Action pratique : Listez tous vos outils SaaS et sous-traitants. Vérifiez qu'un ATD est en place pour chacun. Pour les sous-traitants situés hors de l'EEE, vérifiez la présence d'une décision d'adéquation ou de clauses contractuelles types (CCT).
8. Mettre en place un mécanisme de consentement aux cookies conforme (Directive ePrivacy + RGPD)
En vertu de la directive ePrivacy (transposée en France à l'article L.34-5 du CPCE) et du RGPD, les cookies non essentiels - analytics, publicité, contenus tiers intégrés - requièrent un consentement préalable avant leur dépôt. Le consentement doit être libre : l'option « refuser » doit être aussi accessible que l'option « accepter ».
La CNIL contrôle activement les bandeau cookies. Les pratiques trompeuses - cases pré-cochées, absence de bouton de refus, consentement enfoui dans les paramètres - sont traitées comme des violations.
Action pratique : Auditez votre bandeau cookies actuel. Vérifiez que : (1) aucun cookie n'est déposé avant recueil du consentement ; (2) le refus est aussi simple à effectuer que l'acceptation ; (3) le consentement est enregistré et horodaté ; (4) une notice cookies complète est accessible depuis le bandeau.
Faut-il désigner un délégué à la protection des données (DPD) ?
Un DPD est obligatoire en vertu de l'article 37 dans trois situations seulement : vous êtes une autorité publique, vous effectuez un suivi systématique à grande échelle de personnes, ou vous traitez des données sensibles à grande échelle. La plupart des PME ne se trouvent dans aucune de ces situations.
Si vous traitez des données de santé, des données biométriques ou des volumes importants de données RH sensibles, évaluez si vous dépassez le seuil de « grande échelle » - les lignes directrices du CEPD sur les DPD font foi.
Calendrier des obligations clés
| Obligation | Délai / Déclencheur | Référence |
|---|---|---|
| Notification d'une violation à la CNIL | 72 heures à compter de la prise de connaissance | Article 33 |
| Réponse aux demandes d'exercice des droits | 30 jours (prorogeable à 3 mois pour les demandes complexes) | Articles 12, 15–22 |
| Accord de sous-traitance | Avant le premier échange de données avec le sous-traitant | Article 28 |
| Mentions d'information | Au moment de la collecte des données | Articles 13–14 |
| Évaluation AIPD | Avant le démarrage d'un traitement à risque élevé | Article 35 |
| Désignation d'un représentant UE (entreprises non-UE) | Avant de proposer des services à des résidents UE | Article 27 |
Pour les entreprises non-UE et les pays candidats à l'UE
Entreprises non-UE (États-Unis, Royaume-Uni post-Brexit, Turquie, etc.) : Le RGPD s'applique en vertu de l'article 3(2) dès lors que vous proposez des biens ou services à des résidents UE - y compris via un site web accessible à des clients européens. Vous devrez probablement désigner un représentant en vertu de l'article 27 - une personne physique ou morale établie dans l'UE servant d'interlocuteur auprès des autorités de contrôle et des personnes concernées.
Serbie - Statut d'adhésion UE : candidate (négociations en cours). La loi serbe sur la protection des données personnelles (LPDP, 2018) is matériellement alignée au RGPD. Les entreprises serbes exportant vers l'UE ou levant des fonds européens ont intérêt à s'aligner dès maintenant - les acheteurs et investisseurs UE exigent de plus en plus un niveau de conformité RGPD dans leurs procédures de diligence.
Ukraine - Statut d'adhésion UE : candidate (juin 2022). La loi ukrainienne sur les données personnelles a été révisée pour s'aligner aux standards européens. Le RGPD s'applique directement aux entreprises ayant des clients UE ; l'alignement domestique s'accélère dans le cadre de l'acquis d'adhésion.
Albania, Monténégro, Macédoine du Nord - Ces trois pays disposent de lois nationales équivalentes au RGPD en vigueur. Les entreprises de ces marchés qui exportent vers l'UE doivent traiter la conformité RGPD comme une condition d'accès au marché, non comme une obligation future.
Questions fréquentes
Le RGPD s'applique-t-il à mon entreprise si j'ai moins de 10 salariés ?
Oui. Le RGPD s'applique à toute entité qui traite des données personnelles, sans aucune exemption fondée sur l'effectif. Une micro-entreprise de trois salariés avec une base clients est pleinement assujettie aux obligations du RGPD.
Qu'est-ce que la procédure de sanction simplifiée de la CNIL, et peut-elle concerner ma PME ?
La procédure simplifiée permet à la CNIL d'infliger des amendes jusqu'à 20 000 € de manière plus rapide et avec moins de formalisme que la procédure ordinaire. Elle est précisément conçue pour les violations moins complexes - c'est-à-dire exactement les manquements typiques des PME : absence de mentions d'information, bandeau cookies non conforme, absence de réponse à une demande de droits. En 2025, la CNIL a prononcé 87 sanctions.
Dois-je tenir un registre des traitements (RT) si mon entreprise compte moins de 250 salariés ?
Probablement oui. L'exemption prévue à l'article 30(5) requiert que les trois conditions soient simultanément remplies : moins de 250 salariés, traitement occasionnel (non systématique ni régulier), et absence de données sensibles. La plupart des PME avec des données clients, salariés ou prospects régulières ne remplissent pas ces conditions, leurs traitements étant continus et non occasionnels.
Nous sommes une société américaine avec quelques clients en France. Le RGPD s'applique-t-il ?
Oui, en vertu de l'article 3(2). Dès lors que vous proposez des biens ou des services à des résidents UE - y compris via un site web accessible à des clients français - le RGPD s'applique au traitement de leurs données. Vous devrez probablement désigner un représentant en UE en application de l'article 27, et mettre en œuvre l'ensemble des obligations du RGPD pour les données personnelles de résidents UE.
Quelle est la différence entre une politique de confidentialité et une mention d'information ?
La politique de confidentialité est généralement le document complet publié sur votre site, couvrant l'ensemble des activités de traitement. La mention d'information (articles 13-14) est l'information fournie à la personne au moment précis où ses données sont collectées - elle peut prendre la forme d'une version plus courte et contextualisée. Le RGPD exige que les deux soient claires, accessibles et exactes.
Quel est le délai de notification d'une violation de données en vertu du RGPD ?
En vertu de l'article 33 du RGPD, toute violation de données personnelles doit être notifiée à l'autorité de contrôle nationale compétente (la CNIL, en France) dans un délai de 72 heures à compter de la prise de connaissance. Si la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, celles-ci doivent également être informées sans délai indu, en application de l'article 34.
Themio.ai automatise l'analyse des écarts de conformité RGPD et de l' AI Act pour les PME - identifiant votre exposition réelle sur les 8 obligations en moins de 2 minutes, sans expertise juridique requise. Pour un comparatif détaillé des outils RGPD, consultez notre guide sur les meilleurs outils de conformité . Découvrez comment →