Direction conformité & gouvernance à temps partagé

contact@philopartners.fr 07 68 25 99 03
PhiloPartners

RGPD : les repères et outils pour votre TPE ou PME

Clients, prospects, salariés, prestataires : votre entreprise utilise des données personnelles au quotidien. Retrouvez ici les règles essentielles, les ressources officielles et les outils pour organiser leur gestion.

Contenu vérifié le 9 novembre 2026 sur le RGPD et les publications de la CNIL
Accueil · Ressources · RGPD pour TPE et PME

1.Comprendre les règles essentielles

Sept notions structurent la plupart des questions pratiques. Chacune se vérifie traitement par traitement.

Règles essentielles du RGPD : définition et exemple en entreprise
NotionDéfinition courteExemple en entreprise
Donnée personnelle et traitement Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Un traitement est toute opération réalisée sur ces données : collecte, enregistrement, consultation, transmission, conservation, suppression. Le nom et l'e-mail d'un client sur un devis, un bulletin de paie, une adresse IP dans un journal de connexion.
Finalité L'objectif du traitement, déterminé avant la collecte, précis, explicite et légitime. Les données ne sont pas réutilisées pour un but incompatible. « Établir et suivre les factures » est une finalité ; « usages commerciaux futurs » est trop vague.
Base légale Le fondement qui rend le traitement licite : consentement, contrat, obligation légale, intérêt légitime, mission d'intérêt public, sauvegarde d'intérêts vitaux. Chaque finalité repose sur une base légale. La paie relève d'une obligation légale et de l'exécution du contrat de travail ; l'envoi d'une newsletter à des particuliers repose en principe sur leur consentement.
Minimisation Seules les données adéquates, pertinentes et nécessaires à la finalité sont collectées. Un formulaire de contact demande un nom, un e-mail et un message, pas une date de naissance.
Information des personnes Les personnes savent qui traite leurs données, pourquoi, pendant combien de temps, et comment exercer leurs droits. Une mention sous le formulaire de contact, une politique de confidentialité sur le site, une note remise aux candidats et aux salariés.
Conservation Les données ne sont pas gardées plus longtemps que nécessaire à la finalité. L'entreprise fixe des durées, puis les applique. Une durée définie pour les candidatures non retenues et une suppression régulière, plutôt qu'un classement sans limite dans la messagerie.
Sécurité et responsabilité L'entreprise met en place des mesures techniques et organisationnelles adaptées, et doit pouvoir montrer ce qu'elle a décidé et mis en œuvre. Accès limités par fonction, double authentification, sauvegardes testées, registre et procédures tenus à jour.
Le consentement n'est pas la seule base légale. Une case « J'accepte le RGPD » ne constitue pas une solution générale : le consentement doit être libre, spécifique, éclairé et univoque, et il ne s'applique que lorsqu'il est la base légale adaptée au traitement. Pour beaucoup de traitements courants (facturation, paie, obligations légales), une autre base s'applique et le consentement n'est pas demandé.

Sources : Les six grands principes du RGPD (CNIL) (nouvel onglet) · Choisir une base légale (CNIL) (nouvel onglet) · Texte du règlement (CNIL) (nouvel onglet)

2.Identifier les traitements de votre entreprise

Ce tableau donne des points de départ pour examiner vos pratiques. Il ne propose pas de réponse unique : la réponse dépend de la situation de chaque entreprise.

Activités, données couramment utilisées et questions à vérifier
ActivitéDonnées couramment utiliséesQuestions à vérifier
Recrutement CV, coordonnées, parcours, formation, notes d'entretien, parfois références.
  • Les informations demandées sont-elles utiles au poste ?
  • Les candidats sont-ils informés ?
  • Quelle durée pour les candidatures non retenues ?
  • Qui peut consulter les dossiers ?
Gestion du personnel et paie État civil, coordonnées, numéro de sécurité sociale, coordonnées bancaires, contrat, absences, éléments de paie.
  • Qui accède à quoi (RH, direction, comptable, prestataire de paie) ?
  • Les données de santé sont-elles limitées au strict nécessaire ?
  • Les durées diffèrent-elles selon les types de documents ?
  • Le prestataire de paie est-il encadré par un contrat ?
Devis, commandes et suivi des clients Identité, coordonnées, historique des commandes, facturation, échanges.
  • Ces données servent-elles aussi à la prospection ? Si oui, sous quelles conditions ?
  • Les durées distinguent-elles le contrat, la comptabilité et la relation commerciale ?
  • Les clients reçoivent-ils une information claire ?
Prospection Coordonnées professionnelles ou personnelles, secteur, origine du fichier, historique des sollicitations, oppositions.
  • S'agit-il de particuliers ou de professionnels, par e-mail, SMS ou téléphone ?
  • D'où viennent les données ?
  • Les personnes peuvent-elles s'opposer facilement, et l'opposition est-elle conservée ?
Site internet et formulaires Données saisies, adresse IP, identifiants, cookies et traceurs, statistiques de fréquentation.
  • Chaque champ est-il nécessaire ?
  • L'information figure-t-elle là où les données sont collectées ?
  • Quels traceurs sont réellement déposés, et lesquels exigent un consentement ?
  • Quels prestataires reçoivent les données ?
Outils numériques et IA Comptes utilisateurs, journaux de connexion, contenus des messageries, des visioconférences et du CRM, textes saisis dans un outil d'IA.
  • Quelles données les équipes saisissent-elles dans l'outil ?
  • Le fournisseur réutilise-t-il les contenus, et à quelles conditions ?
  • Où les données sont-elles hébergées et qui peut y accéder ?
  • Un contrat encadre-t-il le prestataire ?

Sources : Cartographier vos traitements (CNIL) (nouvel onglet) · RGPD : les premières étapes (CNIL) (nouvel onglet)

3.Préparer et tenir votre registre

À quoi sert-il ? Le registre recense vos traitements de données personnelles. Il est prévu par l'article 30 du RGPD, documente vos pratiques et aide à repérer les points à traiter en priorité pour bâtir un plan d'action.

Informations à réunir pour chaque traitement

  • La finalité du traitement
  • Les catégories de données traitées
  • Les personnes qui y accèdent et les destinataires
  • Les parties prenantes : sous-traitants, éventuels responsables conjoints, représentant
  • La durée de conservation
  • Les mesures de sécurité

Une méthode courte avec les équipes

  1. Lister les activités qui utilisent des données personnelles.
  2. Interroger les responsables de chaque activité sur ce qu'ils font réellement.
  3. Rédiger une fiche par finalité, pas par logiciel.
  4. Compléter avec le site internet : formulaires, cookies, mentions d'information.
  5. Faire relire les fiches par ceux qui les utilisent.

Événements qui nécessitent une mise à jour

  • Un nouvel outil, logiciel ou prestataire
  • Une nouvelle activité ou un nouvel usage des données
  • Une nouvelle catégorie de données collectée
  • Un changement de durée de conservation ou de mesure de sécurité
  • Un nouveau destinataire ou un transfert hors de l'Espace économique européen
  • L'arrêt d'un traitement

Deux précisions

  • Il recense des traitements, pas seulement des logiciels. Un même logiciel peut servir plusieurs finalités, et certains traitements n'utilisent aucun outil spécifique.
  • Les entreprises de moins de 250 salariés ne sont pas toutes dispensées. Elles doivent y inscrire les traitements non occasionnels (paie, gestion des clients), ceux susceptibles de présenter un risque pour les personnes et ceux portant sur des données sensibles. En cas de doute, la CNIL recommande d'inscrire le traitement.
Télécharger le modèle de registre de la CNIL (fichier ODS, nouvel onglet)

Modèle simplifié au format ODS, proposé par la CNIL. Sources : Le registre des activités de traitement (CNIL) (nouvel onglet) · Cartographier vos traitements (CNIL) (nouvel onglet)

4.Organiser les pratiques quotidiennes

Cinq fiches courtes pour traduire les règles en gestes réguliers.

Attribuer et retirer les accès

Ce qu'il faut prévoir
  • Des accès accordés selon la fonction et le besoin réel
  • Des comptes nominatifs
  • Un retrait à chaque départ ou changement de poste
  • La double authentification sur la messagerie et les comptes d'administration
Exemple de trace ou de support
Tableau des accès par poste ; liste de contrôle d'arrivée et de départ datée.
Ressource officielle
Sécurité des données : les règles essentielles (CNIL) (nouvel onglet)

Examiner les prestataires

Ce qu'il faut prévoir
  • Identifier le rôle de chacun : sous-traitant ou autre
  • Un contrat écrit qui précise les instructions, la sécurité et le sort des données en fin de contrat
  • Les éventuels sous-traitants ultérieurs et la localisation des données
Exemple de trace ou de support
Liste des prestataires rattachée au registre ; contrat ou avenant conservé.
Ressource officielle
RGPD : comment bien identifier son rôle (CNIL) (nouvel onglet) · Clauses contractuelles types responsable–sous-traitant (CNIL) (nouvel onglet)

Recevoir et traiter une demande de droits

Ce qu'il faut prévoir
  • Un point d'entrée connu des équipes (adresse de contact, interlocuteur)
  • Une réponse dans un délai maximal d'un mois à compter de la réception
  • Une vérification d'identité seulement en cas de doute raisonnable
Exemple de trace ou de support
Registre des demandes : date, nature, décision, réponse envoyée.
Ressource officielle
Répondre aux demandes d'exercice des droits (CNIL) (nouvel onglet) · Les droits des personnes sur leurs données (CNIL) (nouvel onglet)

Signaler et gérer une violation de données

Une violation de données est un incident de sécurité qui entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Trois niveaux sont à distinguer :

1. DocumenterToutes les violations sont consignées en interne, y compris celles qui ne sont pas notifiées.
2. Notifier la CNILDans les 72 heures lorsque la violation présente un risque pour les droits et libertés des personnes. En l'absence de risque, la notification n'est pas requise.
3. Informer les personnesLorsque le risque est élevé, sauf exception prévue par le RGPD.

Toute erreur ne doit donc pas être notifiée automatiquement : la décision découle de l'évaluation du risque, qui est elle-même consignée.

Ce qu'il faut prévoir
  • Un réflexe de signalement interne et une personne à prévenir
  • Une grille simple d'évaluation du risque (nature des données, nombre de personnes, conséquences possibles)
  • Les premières mesures à prendre : isoler, sécuriser, demander de l'aide
Exemple de trace ou de support
Registre des violations : faits, données concernées, effets, mesures prises, décision de notifier ou non et sa justification.
Ressource officielle
Sécurité : gérer les incidents et les violations (CNIL) (nouvel onglet) · Téléservice de notification d'une violation (CNIL) (nouvel onglet)

5.Examiner les situations qui demandent une attention particulière

Ces sujets appellent un examen au cas par cas. Chaque bloc donne quelques repères et un lien officiel pour approfondir.

Achat de fichiers et prospection
  • E-mail, SMS, automate d'appel : pour les particuliers, le consentement préalable est requis ; pour les professionnels, la personne doit être informée et pouvoir s'opposer simplement, le message devant rester en rapport avec sa profession.
  • Téléphone : depuis le 11 août 2026, les consommateurs ne peuvent être démarchés par téléphone sans leur consentement préalable, sauf exceptions (par exemple un appel lié à un contrat en cours). Pour les professionnels, l'information préalable et le droit d'opposition s'appliquent.
  • Fichiers achetés ou loués : le RGPD ne les interdit pas, mais l'entreprise vérifie l'origine des données, l'information des personnes et le consentement lorsqu'il est requis.
  • Oppositions : une personne qui s'est opposée ne doit plus être sollicitée ; une liste d'opposition permet de le respecter.

Pour approfondir : La prospection commerciale (CNIL) (nouvel onglet) · Prospection par téléphone : quelles règles (CNIL) (nouvel onglet) · Vente de fichiers clients (CNIL) (nouvel onglet) · Utiliser une liste d'opposition (CNIL) (nouvel onglet)

Cookies et traceurs
  • Les traceurs qui ne sont pas strictement nécessaires au service demandé nécessitent en principe le consentement préalable du visiteur.
  • Les traceurs strictement nécessaires sont exemptés. La mesure d'audience peut l'être aussi, sous conditions précisées par la CNIL.
  • Refuser doit être aussi simple qu'accepter.
  • Un bandeau standard ne suffit pas à lui seul : il faut savoir quels traceurs le site dépose réellement, y compris ceux des outils et services intégrés.

Pour approfondir : Cookies et autres traceurs : les règles (CNIL) (nouvel onglet) · Solutions pour les outils de mesure d'audience (CNIL) (nouvel onglet)

Données sensibles, notamment de santé
  • Les données sensibles comprennent notamment les données de santé, les données biométriques servant à identifier une personne, l'appartenance syndicale, les convictions religieuses ou philosophiques, les opinions politiques et l'origine ethnique.
  • Le RGPD pose un principe d'interdiction de leur traitement, assorti d'exceptions limitativement prévues (article 9) : il faut identifier celle qui s'applique.
  • En entreprise, ces données peuvent apparaître dans la gestion des absences, des aptitudes ou du handicap : la collecte se limite au strict nécessaire et les accès sont restreints.
  • Les traitements de données sensibles sont à inscrire au registre, et ils peuvent conduire à s'interroger sur une analyse d'impact.

Pour approfondir : Donnée sensible (CNIL) (nouvel onglet)

Utilisation d'outils d'IA
  • Tout outil d'IA n'est pas interdit : l'usage s'examine selon les données saisies et les conditions du fournisseur.
  • Points à vérifier : les données personnelles saisies, la réutilisation éventuelle des contenus par le fournisseur, son rôle (sous-traitant ou non), le lieu d'hébergement et d'accès, l'information des personnes concernées.
  • Les équipes ont besoin d'une règle claire sur ce qui peut ou non être saisi dans un outil, en particulier pour les données sensibles ou confidentielles.
  • Les décisions fondées uniquement sur un traitement automatisé et produisant des effets significatifs sur une personne font l'objet de règles spécifiques.

Pour approfondir : Utiliser l'IA générative dans les TPE et PME (CNIL, France Num, CPME) (nouvel onglet) · Intelligence artificielle (CNIL) (nouvel onglet)

Hébergement, accès et transferts hors Espace économique européen
  • Un hébergement en France ne garantit pas à lui seul la conformité : le contrat, la sécurité, les sous-traitants ultérieurs et les accès à distance restent à examiner.
  • Un accès aux données depuis un pays situé hors de l'Espace économique européen (maintenance, support) peut constituer un transfert.
  • Un transfert hors de l'Espace économique européen suppose un encadrement : décision d'adéquation de la Commission européenne, clauses contractuelles types ou autre outil prévu par le RGPD, avec, le cas échéant, une analyse d'impact du transfert.
  • Le registre mentionne les transferts et l'outil d'encadrement retenu.

Pour approfondir : Transférer des données hors de l'UE (CNIL) (nouvel onglet) · La protection des données dans le monde (CNIL) (nouvel onglet) · Clauses contractuelles types de transfert (CNIL) (nouvel onglet) · Guide d'analyse d'impact des transferts (CNIL) (nouvel onglet)

Désignation d'un DPO et analyse d'impact (AIPD)
  • DPO : toute entreprise n'a pas besoin d'un délégué à la protection des données. La désignation est obligatoire notamment lorsque l'activité de base suppose un suivi régulier et systématique des personnes à grande échelle, ou un traitement à grande échelle de données sensibles (article 37 du RGPD). Une désignation volontaire reste possible.
  • AIPD : une analyse d'impact est nécessaire lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. La CNIL publie des listes de traitements pour lesquels elle est requise ou non.
  • La situation de l'entreprise se vérifie à partir de la nature, du volume et de la sensibilité des données traitées.

Pour approfondir : Le délégué à la protection des données (CNIL) (nouvel onglet) · L'analyse d'impact (AIPD) (CNIL) (nouvel onglet) · Listes des traitements avec ou sans AIPD (CNIL) (nouvel onglet)

6.Accéder aux outils officiels

Documents et pages de référence, regroupés par besoin. Les liens s'ouvrent dans un nouvel onglet.

Commencer une démarche

Construire le registre

Informer les personnes

Gérer la sécurité

Traiter un incident

Encadrer la prospection et les cookies

Être accompagné dans la mise en pratique

Si vous préférez ne pas avancer seul, PhiloPartners peut vous accompagner sur les étapes suivantes :

  • cartographie des traitements ;
  • préparation et accompagnement au renseignement du registre ;
  • fourniture de trames et aide à leur utilisation ;
  • formalisation des processus ;
  • sensibilisation des équipes ;
  • organisation du suivi et des mises à jour.