RGPD pour PME — checklist conformité 2026

Le RGPD (Règlement Général sur la Protection des Données) est en vigueur depuis 2018 et la CNIL contrôle plus activement chaque année. Les sanctions peuvent atteindre 4 % du chiffre d'affaires mondial — chiffre théorique, mais les amendes annuelles infligées en France se comptent désormais en millions d'euros, y compris contre des PME. La bonne nouvelle : la mise en conformité d'une PME B2B classique tient sur une checklist d'une dizaine d'actions, dont la plupart sont des documents à rédiger une fois et à maintenir. Ce guide passe en revue ces actions par ordre de priorité.

1. Le registre des traitements

Le registre des activités de traitement est l'épine dorsale de la conformité RGPD. Toute entreprise de plus de 250 salariés doit en tenir un ; pour les PME, il est obligatoire dès lors que les traitements ne sont pas occasionnels (ce qui est le cas dès que vous avez un fichier clients ou un fichier salariés). Le registre liste, pour chaque traitement : la finalité (gestion clients, paie, prospection), la base légale (contrat, consentement, obligation légale, intérêt légitime), les catégories de données, les destinataires, les durées de conservation, les mesures de sécurité. Un modèle vide se télécharge sur cnil.fr.

2. Les mentions d'information

Chaque fois que vous collectez des données personnelles — formulaire de contact, inscription newsletter, signature de devis — vous devez afficher une mention informant la personne :

  • Qui collecte les données (responsable de traitement)
  • Pourquoi (finalité)
  • Sur quelle base légale
  • À qui les données sont communiquées (destinataires)
  • Combien de temps elles sont conservées
  • Quels sont les droits de la personne (accès, rectification, effacement, opposition, portabilité)
  • Comment exercer ces droits (e-mail, adresse postale)

3. La politique de confidentialité du site web

Votre site doit héberger une page "Politique de confidentialité" qui détaille l'ensemble des traitements et qui complète les mentions courtes affichées sur chaque formulaire. La page doit être accessible depuis chaque page (lien dans le footer), à jour, et datée. Une politique de confidentialité copiée-collée d'un autre site est un signal d'alarme pour la CNIL en cas de contrôle. Idéalement, faites-la relire par un juriste — comptez 500 à 1500 € pour un audit ponctuel par un avocat en protection des données.

4. Cookies et traceurs

Les cookies non strictement nécessaires (analytics, publicité, réseaux sociaux) requièrent un consentement préalable explicite. La règle : aucun cookie non essentiel ne se dépose avant que l'utilisateur ait cliqué "Accepter" sur une bannière de consentement. Refuser doit être aussi simple qu'accepter (pas de "refuser tout" caché derrière 3 clics). Les outils gratuits ou payants (Tarteaucitron, Axeptio, OneTrust) gèrent cette logique. La CNIL a infligé plusieurs sanctions de 60 k€ à 100 k€ à des PME pour bannière non conforme.

5. Les sous-traitants

Tout prestataire qui traite des données personnelles pour votre compte (hébergeur, outil emailing, service de facturation, agence de paie) est un "sous-traitant" au sens RGPD. Vous devez signer avec chacun un contrat de sous-traitance (DPA — Data Processing Agreement) qui fixe les engagements de sécurité, de confidentialité et de transferts hors UE. La plupart des éditeurs SaaS proposent un DPA standard à signer en ligne. Tenez la liste à jour dans votre registre.

6. Durées de conservation

Vous ne pouvez pas conserver les données indéfiniment. Les durées légales courantes à respecter :

  • Données clients actifs : durée de la relation contractuelle + 3 ans (prospection) ou + 5/10 ans (comptable/fiscal)
  • Données prospects : 3 ans à compter du dernier contact
  • Données candidats recrutement non retenus : 2 ans après le dernier contact
  • Données salariés : durée du contrat + 5 ans (jusqu'à 50 ans pour la paie)
  • Logs de connexion : 1 an maximum
  • Cookies analytiques : 13 mois maximum

7. Sécurité minimale

Le RGPD exige des mesures de sécurité "appropriées" — la CNIL attend a minima : mots de passe robustes et changés régulièrement, accès aux données limité par profil, sauvegardes régulières testées, mises à jour de sécurité appliquées, sensibilisation des équipes une fois par an, plan de réaction en cas de fuite de données. Une fuite de données personnelles doit être notifiée à la CNIL dans les 72 heures via le formulaire dédié sur cnil.fr.

Questions fréquentes

Ma PME doit-elle nommer un DPO ?

Le DPO (Délégué à la Protection des Données) n'est obligatoire que pour les organismes publics, les entreprises dont l'activité principale repose sur du traitement à grande échelle de données sensibles, ou celles qui surveillent systématiquement les personnes. Pour une PME B2B classique, le DPO n'est pas obligatoire mais conseillé à partir d'une cinquantaine de salariés. Il peut être interne ou externe (DPO mutualisé).

Combien de temps pour répondre à une demande d'accès ?

1 mois à compter de la réception de la demande, prolongeable de 2 mois supplémentaires si la demande est complexe (avec motivation transmise au demandeur). L'absence de réponse est une infraction caractérisée, lourdement sanctionnée par la CNIL.

Que faire en cas de fuite de données ?

Documenter l'incident (date, nature, volume, personnes concernées), notifier la CNIL dans les 72 heures via le formulaire en ligne, et — si le risque est élevé pour les personnes — informer également les personnes concernées sans délai. La non-notification est une circonstance aggravante en cas de sanction.

Les transferts hors UE sont-ils interdits ?

Non, mais ils sont encadrés. Pour les transferts vers les États-Unis, vous pouvez vous appuyer sur le Data Privacy Framework si le sous-traitant y est certifié (Microsoft, Google, AWS le sont). Sinon, vous devez signer des Clauses Contractuelles Types (SCC) et réaliser une étude d'impact (TIA).

Faut-il un consentement pour la prospection B2B ?

Non, pas un consentement RGPD au sens strict — la base légale peut être l'intérêt légitime, à condition que la prospection concerne l'activité professionnelle de la personne et que vous offriez un moyen simple de s'opposer (lien de désabonnement, opt-out). Pour la prospection B2C, le consentement préalable est en revanche obligatoire (loi LCEN).

Quelles sont les amendes typiques pour une PME ?

Les amendes "PME" infligées par la CNIL se situent généralement entre 5 k€ et 100 k€, selon la gravité et la coopération. Les manquements les plus sanctionnés : absence de mentions d'information, cookies déposés sans consentement, non-réponse aux demandes de droits, durées de conservation excessives, sécurité insuffisante.

Voir les tarifs 4invoices →

Informations générales sur la conformité RGPD. La mise en conformité d'une entreprise nécessite une analyse de ses traitements spécifiques. Consultez un avocat en protection des données ou un DPO externe pour un audit adapté à votre situation.