Checklist de mise en conformité RGPD : 10 étapes pour une TPE-PME
Une mise en conformité RGPD n’est pas un projet documentaire sans fin. Pour une TPE ou une PME, elle tient en une dizaine d’étapes, à mener dans un ordre qui traite d’abord les risques les plus visibles. Cette checklist reprend la démarche que nous appliquons lors de nos accompagnements.
Les 10 étapes
1. Désigner un pilote
Une personne doit porter le sujet : dirigeant, référent interne ou DPO externe. La désignation d’un DPO n’est obligatoire que dans certains cas, mais quelqu’un doit avoir la responsabilité du suivi.
2. Recenser les traitements dans un registre
Le registre des activités de traitement (article 30) liste chaque usage des données : gestion des clients, prospection, paie, recrutement, vidéosurveillance, site internet. Pour chacun : finalité, catégories de données et de personnes, destinataires, durée de conservation, mesures de sécurité.
3. Vérifier la base légale et minimiser
Chaque traitement repose sur une base légale (contrat, obligation légale, intérêt légitime, consentement…). Supprimez les données collectées « au cas où » et fixez des durées de conservation réalistes.
4. Mettre le site internet en ordre
Bandeau cookies, formulaires, pages juridiques, outils tiers : c’est la partie la plus visible et la plus contrôlée. Voir l’audit RGPD de site internet et le guide bandeau cookies conforme CNIL.
5. Informer les personnes
Clients, prospects, salariés, candidats : chacun doit savoir ce qui est fait de ses données. Politique de confidentialité, mentions sous les formulaires, note d’information aux salariés. Voir mentions légales et politique de confidentialité.
6. Encadrer les sous-traitants
Hébergeur, éditeur de logiciel, agence web, expert-comptable, outil d’e-mailing : l’article 28 impose un contrat qui précise les obligations du sous-traitant. Vérifiez que les contrats ou conditions générales contiennent ces clauses. Voir sous-traitants, hébergement et flux.
7. Identifier les transferts hors UE
Un outil américain, une assistance basée hors de l’Union : chaque transfert doit être encadré (décision d’adéquation, clauses contractuelles types…). Voir transferts hors UE.
8. Sécuriser
Mots de passe robustes et authentification à deux facteurs sur les comptes sensibles, sauvegardes testées, mises à jour, droits d’accès limités, chiffrement des postes nomades. Le guide de la sécurité des données personnelles de la CNIL est une bonne grille. Voir sécurité des données.
9. Organiser les demandes de droits
Une adresse dédiée, une personne responsable et un délai : la réponse doit intervenir dans un délai d’un mois, prolongeable de deux mois en cas de complexité, en informant la personne.
10. Prévoir la gestion des violations de données
Toute violation doit être documentée en interne. Si elle présente un risque pour les personnes, elle doit être notifiée à la CNIL dans les 72 heures ; si le risque est élevé, les personnes concernées doivent aussi être informées. Les traitements à risque élevé exigent en outre une analyse d’impact (AIPD) préalable.
Dans quel ordre avancer
| Horizon | Actions |
|---|---|
| Premières semaines | Site internet (cookies, formulaires, pages juridiques), sécurité de base, adresse pour les droits |
| 1 à 3 mois | Registre, durées de conservation, contrats de sous-traitance, transferts |
| En continu | Sensibilisation des équipes, revue annuelle, suivi des nouveaux outils |
Pour savoir où vous en êtes avant de commencer, l’autodiagnostic RGPD donne une première photographie en quelques minutes. La formation RGPD aide ensuite les équipes à tenir la conformité dans la durée.
Les documents à conserver
- le registre des traitements ;
- les contrats avec les sous-traitants ;
- les mentions d’information et leurs versions successives ;
- les preuves de consentement lorsque le consentement est la base légale ;
- le registre des violations de données ;
- les analyses d’impact éventuelles ;
- les rapports d’audit et la trace des corrections.
Ces documents constituent la preuve de conformité attendue par le principe de responsabilité. Si vous voulez être accompagné pour les produire, voir la remédiation RGPD ou les tarifs.
Questions fréquentes
La mise en conformité RGPD est-elle obligatoire pour une petite entreprise ?
Oui. Le RGPD s’applique à toute entreprise qui traite des données personnelles, quelle que soit sa taille : fichier clients, salariés, prospects, site internet. Les obligations sont proportionnées aux risques, mais elles existent dès le premier fichier.
Une TPE doit-elle tenir un registre des traitements ?
En pratique, oui. L’exemption prévue pour les structures de moins de 250 salariés ne joue pas lorsque les traitements sont réguliers, ce qui est le cas de la gestion des clients, des fournisseurs ou de la paie. La CNIL propose un modèle de registre simplifié adapté aux petites structures.
Faut-il obligatoirement désigner un DPO ?
Non, sauf pour les organismes publics, les entreprises dont l’activité principale implique un suivi régulier et systématique à grande échelle des personnes, ou un traitement à grande échelle de données sensibles. Les autres peuvent désigner un référent interne ou recourir à un DPO externe de manière volontaire.
Combien coûte une mise en conformité RGPD ?
Cela dépend du nombre de traitements, des outils et du niveau de documentation existant. Commencer par un audit permet de chiffrer précisément les corrections au lieu d’acheter un forfait générique.
Faire vérifier votre site
Un audit du site public relève les écarts visibles (cookies, formulaires, pages juridiques, outils tiers, sécurité apparente) et les classe par priorité, avec les corrections à appliquer.