L’idée reçue
“Le RGPD, c’est uniquement pour les grandes entreprises tech, non ? On n’est que cinq, ça ne nous concerne pas.”
C’est peut-être l’idée reçue la plus répandue sur le RGPD. Et on comprend comment elle est née : les actualités parlent toujours d’amendes pour Google, Meta ou Amazon. De là, beaucoup d’entrepreneurs concluent que le RGPD est un problème pour les grands acteurs, pas pour les PME.
Mais le texte de la loi est limpide.
Ce que dit réellement la loi
L’article 2 du RGPD décrit son champ d’application. Le règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.
Nulle part il n’est écrit : “uniquement si vous avez plus de X employés” ou “uniquement si votre chiffre d’affaires dépasse Y.”
Toute organisation qui traite des données personnelles est soumise au RGPD. Point final.
Qu’est-ce qui compte comme traitement de données personnelles ?
Le traitement est un concept large. Il comprend :
- Collecter des données personnelles (un formulaire de contact sur votre site web)
- Stocker des données personnelles (une liste de clients dans Excel ou votre CRM)
- Utiliser des données personnelles (envoyer une newsletter)
- Partager des données personnelles (transmettre des données clients à votre comptable)
- Conserver des données personnelles (dossiers du personnel dans votre armoire ou sur votre serveur)
Si vous faites ne serait-ce qu’une de ces choses - et quasiment toute entreprise le fait - vous êtes soumis au RGPD.
Que signifie cela concrètement pour les petites entreprises ?
Ce que vous DEVEZ faire
Quelle que soit la taille de votre entreprise, vous êtes tenu de :
- Avoir une base juridique pour chaque traitement de données personnelles (consentement, contrat, obligation légale, intérêt légitime, etc.)
- Être transparent sur ce que vous faites avec les données personnelles (politique de confidentialité)
- Conclure des contrats de sous-traitance avec les parties qui traitent des données pour votre compte
- Répondre aux demandes des personnes concernées (accès, suppression, rectification) dans les 30 jours
- Signaler les violations de données à l’autorité de contrôle dans les 72 heures s’il y a un risque pour les personnes concernées
- Tenir un registre des traitements (en pratique obligatoire pour quasiment toute entreprise)
Où vous obtenez des allègements
Il existe quelques allègements pour les petites organisations :
- Vous n’avez pas toujours besoin de nommer un Délégué à la Protection des Données (DPO), sauf si votre activité principale consiste à traiter des catégories spéciales de données ou à effectuer un suivi à grande échelle
- Une Analyse d’Impact relative à la Protection des Données (AIPD) n’est obligatoire que pour les traitements à haut risque
- Les obligations de documentation peuvent être proportionnelles à la taille de votre entreprise
Mais attention : ces allègements concernent des exigences supplémentaires spécifiques. Les obligations de base s’appliquent à tous.
Exemples réels
Ce n’est pas de la théorie. Les autorités de contrôle en Europe sanctionnent activement les petites organisations :
- Grèce (2023) : un petit employeur a reçu une amende de 8 000 euros pour l’installation de caméras sans informer adéquatement les employés
- Espagne (2023) : une salle de sport locale a été sanctionnée de 7 000 euros pour avoir partagé les données de santé de ses membres sans consentement
- Italie (2022) : une petite boutique en ligne a reçu une amende de 10 000 euros pour ne pas avoir honoré une demande de suppression
- Pologne (2024) : un entrepreneur individuel a reçu une amende de 4 500 euros pour l’absence de registre des traitements
Les autorités de contrôle ont souligné à plusieurs reprises que la taille de l’entreprise ne dispense pas du RGPD.
Pourquoi c’est en fait une opportunité
Au lieu de voir le RGPD comme un fardeau qui ne vous concerne pas, vous pouvez le voir autrement. En tant que petite entreprise, vous avez un avantage : vous traitez probablement moins de données personnelles qu’une grande entreprise, ce qui signifie que votre mise en conformité est plus simple.
La plupart des PME peuvent mettre leur base RGPD en ordre en quelques semaines. Pas de projets de plusieurs mois, pas de consultants coûteux. Juste bien régler les bases :
1. Cartographiez ce que vous traitez
Faites une liste de toutes les données personnelles que vous traitez : clients, employés, fournisseurs, visiteurs du site web. C’est votre registre des traitements.
2. Organisez vos contrats
Concluez des contrats de sous-traitance avec votre comptable, votre fournisseur d’e-mail, votre fournisseur CRM et autres sous-traitants.
3. Informez vos clients et employés
Rédigez une politique de confidentialité qui correspond à ce que vous faites réellement. Pas un document copié d’internet, mais une explication claire de vos traitements.
4. Préparez un plan pour les demandes et incidents
Sachez quoi faire quand un client demande l’accès ou la suppression. Sachez quoi faire en cas de violation de données.
GDPRWise scanne votre site web et vous donne une image complete de votre statut RGPD. En 15 minutes, vous saurez ce qui est en ordre et ce qu'il reste a faire.