L’idée reçue
“Je ne suis qu’une petite entreprise. L’autorité de contrôle a mieux à faire que de me donner une amende. Ces amendes RGPD sont pour Google et Facebook, pas pour moi.”
C’est une pensée logique. Vous lisez dans les actualités les amendes de milliards pour Meta et Amazon. Pourquoi l’autorité de contrôle se soucierait-elle de votre boulangerie, boutique en ligne ou cabinet de conseil ?
Mais la réalité est plus nuancée - et plus dangereuse que vous ne le pensez.
Ce ne sont pas que les méga-amendes
Les grosses amendes font la une. L’amende de 1,2 milliard d’euros pour Meta en 2023 était dans tous les journaux. Mais en dessous se trouve un iceberg d’amendes plus petites que vous ne voyez jamais dans les actualités :
- En Allemagne, l’autorité de contrôle de Basse-Saxe a infligé une amende de 12 500 euros à une petite entreprise sans registre des traitements
- En Espagne, un cabinet dentaire a reçu une amende de 5 000 euros pour l’envoi d’e-mails marketing sans consentement
- En Roumanie, une petite boutique en ligne a été sanctionnée de 3 000 euros pour ne pas avoir répondu à une demande d’accès
- En Belgique, l’APD a imposé une amende de 15 000 euros à une PME qui utilisait des données personnelles à une fin différente de celle pour laquelle elles avaient été collectées
Ce ne sont pas des incidents isolés. Selon le GDPR Enforcement Tracker, plus de 2 100 amendes ont été infligées en Europe depuis 2018, et une part significative concerne des entreprises de moins de 50 employés.
L’amende n’est pas votre plus grand risque
C’est là que cela devient vraiment intéressant. Pour la plupart des PME, l’amende elle-même n’est pas le plus gros problème. Ce sont les coûts et conséquences associés :
Plaintes de clients
Quand un client dépose une plainte auprès de l’autorité de contrôle (le RGPD rend cela délibérément facile), vous devez répondre. Cela vous coûte :
- Du temps : vous devez fournir des documents, donner des explications, répondre à des questions
- De l’argent : vous aurez peut-être besoin de conseil juridique
- Du stress : une enquête de l’autorité de contrôle est désagréable pour tout entrepreneur
Plaintes d’employés
Les anciens employés qui découvrent que leurs données n’ont pas été correctement traitées sont une source croissante de plaintes. Surtout quand le départ ne s’est pas passé en douceur.
Atteinte à la réputation
Si un client découvre que vous traitez les données personnelles avec négligence, vous perdez la confiance. À une époque où les consommateurs sont de plus en plus soucieux de leur vie privée, cela peut vous coûter des clients.
Proportionnelle, mais pas indolore
Le RGPD exige que les amendes soient “effectives, proportionnées et dissuasives”. Cela signifie que les autorités de contrôle tiennent compte de la taille de votre entreprise. Un indépendant ne recevra pas la même amende qu’Amazon.
Mais proportionnelle ne signifie pas indolore :
- Une amende de 5 000 euros est un coup dur pour un entrepreneur individuel
- Une amende de 25 000 euros peut représenter un trimestre de bénéfices pour une PME de 10 employés
- Les coûts administratifs d’une enquête s’ajoutent à cela
Et n’oubliez pas : l’autorité de contrôle peut également imposer une astreinte. Cela signifie que vous devez cesser une certaine infraction, et pour chaque jour où vous ne le faites pas, vous payez un montant. Cela s’accumule rapidement.
Ce que vous devez faire
1. Arrêtez de vous comparer à Google
La question n’est pas de savoir si vous recevrez la même amende qu’un géant de la tech. La question est de savoir si vous avez les bases en ordre quand une plainte arrive.
2. Mettez les bases en ordre
Les infractions les plus courantes des petites entreprises sont étonnamment simples :
- Pas de registre des traitements
- Pas de contrats de sous-traitance avec les sous-traitants
- Pas de réponse aux demandes des personnes concernées (accès, suppression)
- E-mails marketing sans consentement valide
Ce sont autant de choses que vous pouvez régler en quelques semaines.
3. Pensez au client, pas à l’amende
La meilleure motivation pour la conformité RGPD n’est pas la peur de l’amende. C’est la confiance de vos clients. Les clients choisissent de plus en plus des entreprises transparentes et soigneuses avec leurs données.
4. Voyez-le comme de l’hygiène d’entreprise
Tout comme vous tenez votre comptabilité en ordre et souscrivez une assurance, la conformité RGPD fait partie d’une bonne gestion d’entreprise. Ce n’est pas un luxe, c’est une nécessité.
GDPRWise scanne votre site web et vous donne une image complète de votre statut RGPD. En 15 minutes, vous saurez ce qui est en ordre et ce qu'il reste à faire.