Les ressources essentielles pour vos premiers pas en entrepreneuriat

Petite entreprise et RGPD : les réflexes indispensables pour protéger les données clients

Pourquoi le RGPD concerne aussi les petites entreprises

Le RGPD s’applique à toute organisation qui traite des données à caractère personnel, quelle que soit sa taille. Une TPE ou une PME est donc concernée dès lors qu’elle collecte, par exemple, un nom, une adresse e-mail, un numéro de téléphone, une adresse de livraison, une adresse IP ou des informations liées à une commande. La collecte peut avoir lieu via un site marchand, un formulaire de contact, un logiciel de caisse, une newsletter ou un fichier commercial.

La taille de l’entreprise ne dispense pas du respect des règles. Elle peut toutefois influencer certaines obligations, notamment la tenue du registre des activités de traitement. Pour être guidée dans sa mise en conformité, l’entreprise peut consulter les ressources de la CNIL, qui propose notamment un parcours dédié aux TPE et PME.

Définir un traitement licite et une finalité précise

Avant de collecter une donnée, l’entreprise doit savoir pourquoi elle en a besoin et vérifier que le traitement repose sur une base légale. Les principales bases prévues par le RGPD sont :

l’exécution d’un contrat, par exemple pour traiter une commande ou livrer un produit ;
le respect d’une obligation légale, notamment pour certaines obligations comptables ;
l’intérêt légitime, à condition de mettre en balance cet intérêt avec les droits des personnes ;
le consentement, qui doit être libre, spécifique, éclairé et univoque ;
la sauvegarde des intérêts vitaux ou l’exécution d’une mission d’intérêt public, dans des situations plus particulières.

Une donnée ne doit pas être collectée « au cas où ». Le principe de minimisation impose de ne recueillir que les informations nécessaires à la finalité annoncée. Par exemple, un formulaire de demande de devis n’a pas systématiquement besoin de la date de naissance du prospect.

Informer clairement les clients au moment de la collecte

L’entreprise doit fournir une information compréhensible, accessible et facilement consultable. Une politique de confidentialité ou une mention d’information peut notamment préciser :

l’identité du responsable du traitement et ses coordonnées ;
les finalités de la collecte et sa base légale ;
le caractère obligatoire ou facultatif des champs ;
la durée de conservation ou les critères permettant de la déterminer ;
les destinataires des données et les éventuels transferts hors de l’Union européenne ;
les droits des personnes et la manière de les exercer ;
la possibilité d’introduire une réclamation auprès de la CNIL.

Le consentement à recevoir une newsletter ne doit pas être déduit du simple fait qu’un client passe une commande. Il doit être recueilli séparément lorsque la prospection commerciale l’exige, avec un mécanisme de désinscription simple.

Organiser la conservation et l’exercice des droits

Le RGPD n’impose pas une durée unique de conservation pour toutes les données. Celle-ci dépend de la finalité et peut être encadrée par d’autres textes. Les données nécessaires à la gestion d’une relation commerciale peuvent ainsi être conservées pendant la durée utile au contrat, puis archivées ou supprimées selon les obligations applicables. Les prospects inactifs doivent faire l’objet d’une politique distincte.

L’entreprise doit également être capable de répondre aux demandes d’accès, de rectification, d’effacement, de limitation ou d’opposition. En principe, elle dispose d’un délai d’un mois pour répondre, avec une prolongation possible de deux mois si la demande est complexe, à condition d’en informer la personne. Il est utile de désigner un interlocuteur, de vérifier l’identité du demandeur lorsque cela est nécessaire et de conserver la trace des réponses apportées.

Sécuriser les données et encadrer les prestataires

Le responsable du traitement doit mettre en place des mesures de sécurité adaptées aux risques. Pour une petite entreprise, les mesures concrètes peuvent inclure :

des mots de passe robustes et l’authentification multifacteur lorsque cela est disponible ;
des accès limités aux seules personnes qui en ont besoin ;
des sauvegardes régulières, testées et protégées ;
des mises à jour des logiciels et des équipements ;
un chiffrement ou une protection renforcée des ordinateurs et supports mobiles ;
une sensibilisation des salariés au phishing et aux erreurs d’envoi.

Un prestataire qui héberge un site, gère une newsletter ou traite la paie peut être un sous-traitant au sens du RGPD. Le contrat doit alors encadrer ses instructions, sa sécurité, la confidentialité, l’assistance en cas de demande d’un client et la gestion des violations de données. Le choix d’un outil ne transfère pas automatiquement la responsabilité à l’éditeur.

Tenir les documents essentiels et réagir en cas de violation

La petite entreprise doit pouvoir démontrer sa conformité. Elle a intérêt à documenter ses traitements dans un registre, même lorsqu’elle bénéficie d’une dispense limitée. L’exception concernant les organismes de moins de 250 salariés ne s’applique pas lorsque les traitements sont réguliers, présentent un risque pour les personnes ou portent notamment sur des catégories particulières de données.

En cas de perte, de vol, d’envoi au mauvais destinataire ou d’accès frauduleux, il faut rapidement évaluer la violation : quelles données sont concernées, combien de personnes, quels risques ? Lorsqu’elle présente un risque pour les droits et libertés, la violation doit être notifiée à la CNIL dans les 72 heures après sa prise de connaissance. En cas de risque élevé, les personnes concernées doivent également être informées dans les meilleurs délais.

FAQ : les questions fréquentes des petites entreprises

Une TPE doit-elle obligatoirement nommer un DPO ?

Non, pas du seul fait de sa taille ou de l’application du RGPD. La désignation d’un délégué à la protection des données devient notamment obligatoire lorsque les activités principales impliquent un suivi régulier et systématique des personnes à grande échelle ou un traitement à grande échelle de données sensibles. Une analyse au cas par cas est nécessaire.

Faut-il demander le consentement pour chaque donnée client ?

Non. Le consentement n’est qu’une des bases légales possibles. Une commande peut généralement être traitée sur la base de l’exécution du contrat, tandis qu’une newsletter peut nécessiter un consentement selon le contexte. Chaque finalité doit être analysée séparément.

La politique de confidentialité suffit-elle à être conforme ?

Non. Elle constitue un élément d’information, mais la conformité repose aussi sur la minimisation des données, la sécurité, la gestion des durées de conservation, les procédures d’exercice des droits et l’encadrement des sous-traitants.

Que faire en priorité pour commencer ?

Cartographier les traitements, supprimer les données inutiles, rédiger les mentions d’information, sécuriser les accès, vérifier les contrats des prestataires et formaliser une procédure de réponse aux demandes et aux violations.

En savoir plus à ce sujet :

Small business office with one person working at a desk, focusing on data protection documents and a laptop in a well-lit, modern workspace.

22/10/2026

Petite entreprise et RGPD : les réflexes indispensables pour protéger les données clients

Pourquoi le RGPD concerne aussi les petites entreprises Le RGPD s’applique à toute organisation qui traite des données à caractère personnel, quelle que soit sa taille. Une TPE ou...

Table de bureau avec contrat, stylo, ordinateur affichant un site d'achat en ligne avec case à cocher, dans un espace lumineux et moderne

20/10/2026

Sécuriser vos ventes grâce à des CGV adaptées

Non. En B2B, elles doivent être communiquées à l’acheteur professionnel qui les demande. En B2C, le professionnel doit fournir les informations précontractuelles imposées par le...

Un entrepreneur travaille à son bureau sur ordinateur portable, factures et calculatrice à portée de main, dans un bureau moderne et lumineux.

18/10/2026

Franchise en base de TVA : comprendre les seuils, le fonctionnement et la sortie du régime

La franchise en base de TVA est un régime fiscal qui dispense certaines entreprises de facturer la TVA à leurs clients et de la déclarer à l’administration. Elle concerne...

Trois dossiers de couleurs différentes, ouverts sur un bureau moderne avec un ordinateur portable, un carnet, un stylo et une tasse de café, dans une lumière naturelle et une ambiance professionnelle.

13/10/2026

Micro-entreprise, EI ou société : comment choisir la forme juridique adaptée à votre projet ?

Le choix entre micro-entreprise, entreprise individuelle (EI) et société n’est pas qu’une formalité administrative. Il détermine votre régime fiscal, votre mode de protection sociale, votre...

09/12/2024

Comment l'intégration de l'IA dans les logiciels de gestion de Wolters Kluwer a préparé le terrain pour une nouvelle ère d'information d'entreprise

L'intelligence artificielle a profondément modifié la manière dont les entreprises traitent et analysent l'information. Grâce à l'automatisation des processus complexes...

09/12/2024

La gestion de la performance d'entreprise à l'ère de l'information : comment les outils numériques transforment les pratiques organisationnelles

Historiquement, la gestion de la performance reposait sur des méthodes traditionnelles, souvent manuelles, centrées sur l'évaluation des résultats financiers et opé...