Se mettre en conformité RGPD consiste à organiser le traitement des données personnelles de votre entreprise selon le Règlement général sur la protection des données, applicable en France depuis le 25 mai 2018. La CNIL recommande un plan d’action en quatre étapes : cartographier vos traitements, prioriser les actions, gérer les risques et organiser la documentation (CNIL, « RGPD : par où commencer ? »). Toute entreprise qui traite des données personnelles est concernée, même une TPE d’un seul salarié, sans seuil de taille ni de chiffre d’affaires. En cas de manquement grave, la sanction administrative atteint 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (RGPD, art. 83). Ce guide donne la marche à suivre opérationnelle, les obligations réelles selon votre profil, et deux tableaux que les pages officielles ne rassemblent pas.
- Le RGPD s’applique à toute entreprise traitant des données personnelles, sans seuil minimal : l’argument « je suis trop petit » est faux.
- La CNIL structure la démarche en quatre étapes : cartographier, prioriser, gérer les risques, organiser la documentation.
- Le registre des traitements (art. 30) est la pièce maîtresse : obligatoire dès qu’un traitement est non occasionnel, à risque ou porte sur des données sensibles.
- Le DPO n’est obligatoire que dans trois cas (organisme public, suivi régulier à grande échelle, données sensibles à grande échelle) ; ailleurs il est facultatif.
- Les sanctions vont jusqu’à 20 M€ ou 4 % du CA mondial (art. 83), et toute violation de données se notifie à la CNIL sous 72 heures (art. 33).
Qu’est-ce que se mettre en conformité RGPD ?
Se mettre en conformité RGPD est la démarche par laquelle un organisme aligne ses pratiques de collecte, d’usage, de stockage et de partage de données personnelles sur les exigences du Règlement européen 2016/679. Ce n’est pas une formalité unique : c’est un processus continu, fondé sur le principe d’accountability, c’est-à-dire la capacité à prouver à tout moment que l’on respecte les règles.
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable : nom, adresse e-mail, numéro de téléphone, adresse IP, données RH, images de vidéosurveillance. Le support n’a aucune importance : un fichier client papier est concerné au même titre qu’une base de données. Un traitement est toute opération portant sur ces données : collecte, enregistrement, consultation, modification, transmission, suppression.
Le RGPD repose sur six grands principes énoncés à l’article 5 : licéité-loyauté-transparence, finalité déterminée, minimisation des données, exactitude, limitation de la durée de conservation, intégrité et sécurité. Un septième principe, l’accountability, oblige le responsable de traitement à documenter sa conformité. Selon la CNIL, l’autorité française de contrôle, ces principes structurent toute démarche de conformité, quelle que soit la taille de l’organisme.
Mon entreprise est-elle concernée par le RGPD ?
Oui, dès lors que votre entreprise traite des données personnelles, elle est concernée, sans seuil minimal de taille ni de chiffre d’affaires. Une entreprise individuelle avec un simple fichier de clients ou un auto-entrepreneur qui collecte des e-mails de prospects entre dans le champ du RGPD. L’idée reçue « je suis trop petit pour être concerné » est donc fausse.
Le RGPD s’applique aussi à vos sous-traitants. Si vous confiez vos données à un prestataire (paie externalisée, hébergeur, logiciel SaaS, agence marketing), un contrat de sous-traitance conforme à l’article 28 du RGPD est obligatoire. Vous restez responsable du traitement ; le prestataire engage sa propre responsabilité en tant que sous-traitant. Cette exigence vaut pour tous vos outils de gestion : un progiciel de gestion intégré ou un logiciel de gestion de courtage en assurance hébergé chez un éditeur tiers suppose un contrat encadrant le traitement des données qu’il manipule.
Ce qui varie selon votre taille et vos traitements, ce n’est pas l’applicabilité du RGPD, mais l’intensité de certaines obligations : tenue du registre, désignation d’un DPO, réalisation d’une analyse d’impact. Le tableau ci-dessous synthétise ces seuils, que les sources officielles dispersent.
Qui doit faire quoi selon sa taille et ses traitements ?
| Obligation | TPE / PME < 250 salariés, traitements courants | Entreprise ≥ 250 salariés OU traitements à risque |
|---|---|---|
| Respecter les 6 principes (art. 5) | Oui, sans exception | Oui, sans exception |
| Informer les personnes + recueillir le consentement | Oui | Oui |
| Tenir le registre des traitements (art. 30) | Oui pour les traitements non occasionnels, à risque ou portant sur des données sensibles | Oui, registre complet obligatoire |
| Désigner un DPO | Seulement si suivi régulier à grande échelle ou données sensibles à grande échelle | Souvent oui (à apprécier selon les traitements) |
| Réaliser une AIPD (analyse d’impact) | Si liste CNIL ou ≥ 2 critères de risque sur 9 | Fréquemment oui |
| Notifier une violation à la CNIL | Oui, sous 72 h | Oui, sous 72 h |
Source : CNIL et service-public.gouv.fr (fiche F24270), consultées en juin 2026.
Par où commencer concrètement la mise en conformité ?
Commencez par lister tous les traitements de données de votre entreprise, puis désignez un référent interne : ces deux actions débloquent tout le reste. La CNIL recommande une méthode en quatre temps qui peut s’amorcer en une journée pour une TPE à faible maturité. Le minimum vital, lui, est actionnable immédiatement.
- Recensez où sont vos données personnelles : fichier clients, base prospects, dossiers RH, vidéosurveillance, cookies du site web.
- Désignez une personne responsable du sujet (le dirigeant lui-même dans une TPE).
- Vérifiez vos mentions d’information sur les formulaires de collecte et votre politique de confidentialité.
- Mettez à jour les mots de passe et les droits d’accès aux fichiers sensibles.
Cette amorce ne remplace pas la démarche complète, mais elle traite les manquements les plus visibles et les plus faciles à sanctionner. Les fonctions RH sont souvent les premières concernées : la gestion de la fiche de paie et la conservation des dossiers du personnel mobilisent des données sensibles dont la durée de conservation et la sécurité doivent être maîtrisées dès le départ.
Quelles sont les étapes de la mise en conformité RGPD selon la CNIL ?
La CNIL décompose la mise en conformité en quatre étapes : cartographier, prioriser, gérer les risques, organiser la documentation (CNIL, « RGPD : par où commencer ? »). Cette séquence transforme une obligation abstraite en plan d’action concret, applicable quelle que soit la taille de l’entreprise.
Étape 1 : cartographier. Recensez tous vos traitements dans un registre des activités de traitement. Pour chaque traitement, notez la finalité, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité. Le registre est la colonne vertébrale de la conformité. La fin de vie des données fait partie de cette cartographie : prévoir la destruction sécurisée des archives et des supports en fin de durée de conservation est une exigence directe du principe de limitation.
Étape 2 : prioriser. Confrontez chaque traitement aux principes du RGPD et identifiez les écarts : finalité floue, données collectées en trop, durée de conservation excessive, absence de base légale. Traitez d’abord les traitements à risque et ceux portant sur des données sensibles.
Étape 3 : gérer les risques. Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits des personnes, une analyse d’impact relative à la protection des données (AIPD) est obligatoire. Elle l’est si le traitement figure sur la liste CNIL ou s’il remplit au moins deux des neuf critères de risque (scoring, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, usage innovant, exclusion d’un droit ou d’un contrat).
Étape 4 : organiser et documenter. Mettez en place des mesures techniques et organisationnelles proportionnées (mots de passe robustes, chiffrement, sauvegardes, gestion des habilitations, journalisation des accès) et tenez à jour la preuve de votre conformité : registre, contrats de sous-traitance, mentions d’information, politique de gestion des cookies, procédure de réponse aux demandes de droits, registre des violations. C’est l’accountability. Cette traçabilité documentaire vaut aussi pour vos pièces commerciales et comptables : une facture acquittée ou un fichier de devis contiennent des données personnelles de clients qui relèvent des mêmes principes de finalité et de conservation.
Le registre des activités de traitement n’est pas une corvée administrative : c’est le seul document qui permet à un dirigeant de savoir réellement quelles données il détient et pourquoi. Sans lui, toute la conformité repose sur de la mémoire, et la mémoire ne tient pas devant un contrôle.
Dois-je nommer un délégué à la protection des données (DPO) ?
La désignation d’un DPO est obligatoire dans trois cas seulement : lorsque vous êtes un organisme public, lorsque votre activité principale implique un suivi régulier et systématique des personnes à grande échelle, ou un traitement à grande échelle de données sensibles ou relatives à des condamnations. En dehors de ces situations, le DPO est facultatif mais recommandé dès que les traitements deviennent nombreux.
Le DPO peut être interne (un salarié) ou externe (un prestataire mutualisé entre plusieurs entreprises). Pour une PME, le DPO externe mutualisé est souvent l’option la plus rationnelle : il évite de former un salarié à temps plein sur un sujet juridique pointu. Ses missions : conseiller, contrôler la conformité, sensibiliser les équipes, être le point de contact de la CNIL.
Combien de temps et de moyens cela demande-t-il ? Aucune source officielle ne chiffre l’effort, c’est l’angle aveugle du sujet. En pratique, une TPE peut réaliser l’essentiel de sa mise en conformité seule, en s’appuyant sur les modèles gratuits de la CNIL (registre, mentions d’information), sans budget dédié au-delà du temps passé. Une PME avec des traitements complexes, des données sensibles ou un site e-commerce a intérêt à externaliser tout ou partie de la démarche. La règle pratique : plus vos traitements sont nombreux et sensibles, plus l’accompagnement externe devient rentable face au risque de sanction. Si votre conformité touche surtout la paie et les dossiers du personnel, mutualiser ce sujet avec un emploi en comptabilité ou un prestataire déjà au contact de ces données limite l’effort.
Quels sont les droits des personnes que je dois respecter ?
Toute personne dont vous traitez les données dispose de droits que vous devez pouvoir exercer, prévus aux articles 15 à 22 du RGPD : droit d’accès, de rectification, d’effacement (droit à l’oubli), de portabilité, d’opposition et de limitation. Vous devez répondre à une demande de droit dans un délai d’un mois maximum à compter de la réception (CNIL, art. 12 du RGPD).
Ce délai peut être prolongé de deux mois en cas de complexité ou de nombre élevé de demandes, à condition d’en informer la personne. En cas de collecte indirecte de données (vous récupérez des données sans les avoir collectées directement auprès de la personne), vous devez également informer la personne dans un délai maximal d’un mois.
L’information et le consentement sont au cœur de ces droits. Lorsque vous fondez un traitement sur le consentement, celui-ci doit remplir quatre conditions cumulatives : libre, éclairé, spécifique et univoque (CNIL). Les cases pré-cochées sont interdites : elles ne constituent pas un consentement univoque. Le consentement n’est d’ailleurs que l’une des six bases légales prévues à l’article 6 du RGPD, aux côtés du contrat, de l’obligation légale, de l’intérêt légitime, de la mission d’intérêt public et de la sauvegarde des intérêts vitaux.
Un consentement valable ne se présume jamais : une case déjà cochée, un silence ou la simple poursuite de la navigation ne valent pas accord. Le caractère univoque suppose un acte positif clair de la personne, que vous devez pouvoir prouver.
Quelles sanctions en cas de non-conformité au RGPD ?
Les sanctions du RGPD sont à la fois administratives et pénales, et elles sont lourdes. Sur le plan administratif, l’article 83 prévoit deux paliers : la CNIL peut prononcer une amende allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour un manquement aux obligations de conformité, et jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour une atteinte aux droits des personnes et aux principes (CNIL, RGPD art. 83). Dans chaque cas, le montant le plus élevé des deux est retenu.
Sur le plan pénal, le Code pénal sanctionne certaines infractions. Le défaut d’information donne lieu à une amende de 1 500 € (entrepreneur individuel) ou 7 500 € (société). Le détournement de finalité ou le traitement sans consentement est puni jusqu’à 5 ans d’emprisonnement et 300 000 € d’amende pour un entrepreneur individuel, et jusqu’à 1 500 000 € pour une société (Code pénal, art. 226-21).
Sanctions RGPD : administratif vs pénal
| Type | Manquement visé | Plafond | Source |
|---|---|---|---|
| Administratif (CNIL) | Manquement aux obligations (registre, sécurité, sous-traitance) | 10 M€ ou 2 % du CA annuel mondial | RGPD, art. 83 |
| Administratif (CNIL) | Atteinte aux droits des personnes / principes | 20 M€ ou 4 % du CA annuel mondial | RGPD, art. 83 |
| Pénal | Défaut d’information | 1 500 € (personne physique) / 7 500 € (société) | Code pénal / service-public |
| Pénal | Détournement de finalité, traitement sans consentement | 5 ans + 300 000 € (personne physique) / 1 500 000 € (société) | Code pénal, art. 226-21 |
Au-delà des amendes, une violation de données (piratage, fuite, perte) doit être notifiée à la CNIL dans un délai de 72 heures après en avoir pris connaissance (RGPD, art. 33). Cette obligation, peu connue, est l’un des angles morts des entreprises non préparées : un retard de notification doit être justifié et a déjà valu des sanctions.
Comment maintenir sa conformité RGPD dans le temps ?
La conformité RGPD n’est pas un état acquis une fois pour toutes : c’est un processus vivant fondé sur le principe de protection des données dès la conception (privacy by design). Une entreprise conforme un jour peut cesser de l’être dès qu’elle lance un nouveau traitement, change de prestataire ou collecte un nouveau type de données.
Trois réflexes maintiennent la conformité : réviser annuellement les habilitations d’accès aux fichiers, tenir le registre à jour à chaque nouveau traitement, et disposer d’une procédure de gestion des violations prête à déclencher la notification sous 72 heures. Intégrer la protection des données dès la conception de chaque nouveau projet évite de devoir corriger après coup, ce qui coûte toujours plus cher.
Quels sont les délais légaux à respecter en matière de RGPD ?
Au-delà des sanctions, le RGPD impose des délais de réaction précis. Les dépasser constitue lui-même un manquement.
| Obligation | Délai | Source |
|---|---|---|
| Réponse à une demande de droit (accès, effacement, etc.) | 1 mois (prolongeable de 2 mois si demande complexe) | Service-Public |
| Information en cas de collecte indirecte | Dans un délai maximal d’1 mois | Service-Public |
| Réponse à une demande de portabilité | 1 à 3 mois selon la complexité | Service-Public |
| Notification d’une violation de données à la CNIL | 72 heures après en avoir pris connaissance | RGPD art. 33 |
La notification de violation sous 72 heures est l’angle mort le plus fréquent : elle s’impose dès qu’une violation est susceptible d’engendrer un risque pour les personnes (service-public.gouv.fr).
FAQ : se mettre en conformité RGPD
Une micro-entreprise est-elle concernée par le RGPD ?
Oui. Le RGPD s’applique sans seuil de taille. Dès qu’un micro-entrepreneur détient un fichier de clients, de prospects ou de fournisseurs comportant des données personnelles, il doit respecter les principes de l’article 5, informer les personnes et sécuriser les données.
Le RGPD se résume-t-il au bandeau cookies ?
Non. Le bandeau de consentement aux cookies n’est qu’une partie visible de la conformité. Le RGPD couvre l’ensemble des traitements de données personnelles : RH, clients, prospects, vidéosurveillance, sous-traitance, sécurité. Se limiter au bandeau cookies laisse l’essentiel des obligations non traitées.
Le registre des traitements est-il obligatoire pour une PME ?
Oui dans la plupart des cas. Il est systématiquement obligatoire au-delà de 250 salariés. En dessous, il reste obligatoire pour tout traitement non occasionnel, à risque ou portant sur des données sensibles, ce qui couvre la quasi-totalité des PME ayant des salariés ou un fichier clients actif.
Quand l’analyse d’impact (AIPD) est-elle obligatoire ?
Une AIPD est obligatoire dès qu’un traitement est susceptible d’engendrer un risque élevé pour les droits des personnes. Concrètement, lorsque le traitement figure sur la liste publiée par la CNIL, ou lorsqu’il remplit au moins deux des neuf critères de risque définis par les autorités européennes.
Peut-on se mettre en conformité RGPD seul, sans prestataire ?
Oui pour une TPE à traitements simples, en utilisant les modèles gratuits de la CNIL (registre, mentions d’information). Une PME avec des traitements complexes, des données sensibles ou un site e-commerce a intérêt à se faire accompagner, voire à désigner un DPO externe mutualisé.
Quel est le délai pour répondre à une demande d’accès aux données ?
Un mois maximum à compter de la réception de la demande, délai pouvant être prolongé de deux mois en cas de complexité particulière ou de nombre élevé de demandes. Ce délai s’applique aux droits d’accès, de rectification, d’effacement et d’opposition.
Ce guide a une vocation informative et ne constitue pas un conseil juridique. Pour les traitements sensibles ou en cas de doute, consultez la CNIL (cnil.fr) ou un professionnel du droit. Données et chiffres vérifiés en juin 2026.
