RGPD dans une TPE : les obligations de base

Une TPE qui conserve des coordonnées de clients, des candidatures ou des adresses électroniques traite des données personnelles. Le RGPD s’applique donc aussi aux petites structures, même si leurs démarches peuvent rester proportionnées à leur activité.

Une entreprise artisanale peut commencer par repérer ses fichiers, expliquer leur usage et limiter les accès. Ces gestes concrets donnent un cadre simple aux obligations essentielles présentées ci-dessous.

A retenir :

• Repérage clair des données personnelles collectées et utilisées
• Registre adapté aux traitements réguliers de la TPE
• Information lisible, droits accessibles et consentement valable
• Sécurité proportionnée, conservation limitée et prestataires encadrés

RGPD en TPE : identifier les traitements et informer

Ce premier repérage permet ensuite de distinguer les données utiles des informations conservées par habitude. Selon la CNIL, une donnée personnelle peut identifier quelqu’un directement ou indirectement, comme une adresse électronique ou une adresse IP.

Registre des traitements : décrire les usages réels

Pour remplir le registre des traitements, une TPE peut partir de ses opérations quotidiennes, plutôt que d’un inventaire théorique. Un fichier clients, la facturation et la gestion des salariés constituent déjà des traitements distincts.

Pour chacun, notez la finalité, les catégories de données, les destinataires, la base légale, la durée de conservation et les mesures de sécurité. Selon la CNIL, son modèle simplifié aide les petites structures à organiser ces informations.

Exemples de traitements courants :

• Gestion des commandes : coordonnées nécessaires à l’exécution du contrat
• Facturation : informations conservées pour respecter les obligations légales
• Infolettre : adresse utilisée après recueil d’un consentement valable
• Recrutement : CV accessibles aux seules personnes concernées par la sélection

Traitement	Exemples de données	Base légale fréquente
Commande client	Nom, adresse, coordonnées	Exécution du contrat
Facturation	Identité et éléments de facture	Obligation légale
Infolettre	Adresse électronique	Consentement, selon le contexte
Gestion des salariés	Coordonnées et informations de paie	Obligation légale ou contrat

Information des personnes et consentement

Une fois les traitements recensés, expliquez leur usage au moment où les données sont recueillies. Une politique de confidentialité claire peut préciser l’identité du responsable, les finalités, les destinataires, la durée prévue et les droits des personnes.

Le consentement n’est pas la base légale de tous les traitements : une commande repose généralement sur le contrat, tandis qu’une obligation comptable relève de la loi. Pour les cookies non essentiels ou certaines communications commerciales, vérifiez les règles applicables et conservez la preuve du choix exprimé.

Sur un site, un formulaire sans explication laisse le visiteur dans le flou ; une mention courte, visible et compréhensible améliore l’information des personnes. Cette transparence prépare aussi la gestion des demandes et la sécurisation des données.

RGPD pour une TPE : droits des personnes et sécurité

Après avoir clarifié les usages, l’entreprise doit pouvoir répondre aux personnes et réduire les risques d’accès abusif. Une organisation simple, connue de l’équipe, évite que les demandes restent dans une boîte de réception oubliée.

Répondre aux droits dans les délais

Les personnes peuvent demander l’accès à leurs données, leur rectification ou leur effacement, sous réserve des limites prévues par la loi. Selon le RGPD, la réponse intervient en principe dans un délai d’un mois, avec une prolongation possible dans certains cas complexes.

Une adresse de contact dédiée et un suivi écrit suffisent souvent pour une petite structure. Vérifiez l’identité du demandeur de façon proportionnée, recherchez les données concernées, puis consignez la réponse et sa date.

Sécurité des données et durées de conservation

La protection des données personnelles passe aussi par des mesures adaptées aux risques réels. Des mots de passe robustes, des sauvegardes testées, des mises à jour et des accès limités réduisent les conséquences d’une erreur ou d’un piratage.

Repères utiles pour organiser les durées :

• Factures : conservation pendant dix ans au titre des obligations comptables
• Prospects : suppression ou réexamen après trois ans sans contact pertinent
• Vidéosurveillance : durée généralement limitée à un mois
• Candidatures non retenues : conservation encadrée et information des candidats

Catégorie	Repère de conservation	Action après échéance
Factures	Dix ans pour les pièces comptables	Suppression selon les règles applicables
Prospects inactifs	Trois ans comme repère CNIL	Effacement ou nouvelle justification
Images de vidéosurveillance	En principe, un mois au maximum	Effacement automatique si possible
Candidatures non retenues	Jusqu’à deux ans dans certains cas	Effacement ou archivage justifié

En cas de violation, comme un ordinateur volé ou un envoi au mauvais destinataire, documentez l’incident et évaluez le risque. Selon la CNIL, une notification est requise dans les 72 heures lorsque la violation présente un risque pour les droits des personnes.

Des règles de conservation et de sécurité bien tenues rendent les responsabilités plus faciles à assumer ; reste à vérifier les prestataires qui manipulent les fichiers.

Obligations RGPD d’une TPE : prestataires et organisation

La sécurité interne ne suffit pas toujours, car un hébergeur, un comptable ou un éditeur logiciel peut traiter des données pour l’entreprise. Leur intervention doit être encadrée avant que des fichiers clients ne circulent entre outils.

Encadrer les sous-traitants et désigner un référent

Vérifiez les garanties du prestataire et formalisez les clauses requises dans un contrat de sous-traitance. Celui-ci précise notamment les instructions, la confidentialité, la sécurité, l’assistance aux demandes et le sort des données en fin de prestation.

Un délégué à la protection des données n’est pas automatiquement obligatoire pour une TPE. L’obligation dépend notamment de la nature et de l’ampleur des traitements ; un référent interne peut néanmoins suivre le registre et orienter les demandes.

Priorités de conformité pour une petite structure

Une démarche pragmatique commence par les fichiers les plus sensibles ou les plus exposés. Pour une petite entreprise, traiter ces points dans l’ordre rend le travail plus concret et permet de corriger d’abord les risques courants.

Ordre de travail recommandé :

• Inventorier les fichiers clients, salariés, prospects et candidats
• Créer un registre et justifier chaque base légale
• Actualiser les mentions et vérifier les choix de consentement
• Limiter les accès, tester les sauvegardes et revoir les contrats

Le RGPD prévoit des sanctions pouvant atteindre vingt millions d’euros ou quatre pour cent du chiffre d’affaires annuel mondial, selon les cas. La CNIL tient compte des circonstances et de la situation de l’organisme ; tenir des preuves concrètes de ses démarches reste donc essentiel.

Pour une TPE, la conformité repose moins sur une montagne de documents que sur des pratiques cohérentes et régulièrement vérifiées. Un registre vivant, des explications accessibles et une sécurité suivie forment une base durable.

Source : CNIL ; Règlement (UE) 2016/679, notamment articles 5, 12, 28 et 33 ; Légifrance.