Protection des données personnelles : les obligations des entreprises

Un client m'appelle en panique un mardi matin. La CNIL venait de lui envoyer un courrier : une personne avait demandé l'accès à ses données, il n'avait jamais répondu, et 30 jours plus tard c'était devenu un dossier de plainte. Il gérait tout ça dans un tableur Excel oublié sur le Drive d'un stagiaire parti depuis. Sa question : « C'est si grave que ça ? » Oui. Et le pire, c'est qu'il aurait pu régler le problème en vingt minutes avec un process correct.

La protection des données personnelles : obligations pour les entreprises n'est plus un sujet réservé aux juristes ou aux grosses boîtes avec un DPO à temps plein. Depuis que le RGPD est appliqué, chaque TPE, chaque freelance, chaque association qui collecte un email est concerné. Et en 2026, les contrôles se sont banalisés : la CNIL cible désormais les petites structures autant que les grands groupes, parce que c'est là que les manquements sont les plus visibles.

Dans cet article, je vous explique ce que vous devez réellement mettre en place, dans quel ordre, et surtout ce qui compte vraiment quand on n'a ni budget illimité ni équipe juridique. Je vais aussi vous raconter les erreurs que j'ai commises moi-même en mettant des boîtes en conformité, parce qu'elles sont plus instructives que les listes parfaites qu'on trouve partout.

Qui est vraiment concerné par le RGPD ?

J'ai longtemps cru, au début, que le RGPD ne visait que les entreprises qui traitaient « beaucoup » de données. Faux. Le texte ne fixe aucun seuil de taille, de chiffre d'affaires ou de volume. Un auto-entrepreneur qui gère une newsletter de 40 abonnés est soumis aux mêmes principes qu'un groupe de 5 000 salariés. La différence se joue sur l'ampleur des mesures, pas sur l'existence de l'obligation.

Trois cas concrets que je rencontre tout le temps

Prenons une boutique en ligne qui expédie des colis. Elle traite des noms, adresses, emails, données de paiement. Elle est responsable de traitement. Point. Le prestataire qui héberge le site, lui, est sous-traitant : il agit pour le compte de la boutique et doit signer un contrat de sous-traitance. Et le service de newsletter externe ? Aussi sous-traitant.

Ce qui compte, c'est de savoir qui décide pourquoi et comment les données sont utilisées. Celui qui décide est responsable. Celui qui exécute est sous-traitant. Retenez cette distinction, elle détermine qui porte la responsabilité en cas de fuite.

• Une association qui gère une liste d'adhérents : responsable de traitement.
• Un cabinet comptable qui traite les paies de ses clients : sous-traitant pour la paie, responsable pour ses propres salariés.
• Un site vitrine qui n'a qu'un formulaire de contact : concerné, oui, mais avec des obligations proportionnées.
• Un développeur qui installe un outil d'analytics avec cookies non consentis.

Le principe de responsabilité (accountability) signifie que vous devez pouvoir prouver que vous respectez le RGPD. Pas juste le faire. Le prouver. C'est ce qui change tout dans la pratique : on documente, on trace, on archive.

Le registre des traitements, point de départ de tout

Franchement, le registre des traitements, c'est le document que tout le monde repousse et qui rend tout le reste possible. Je l'ai vu être bâclé dans 8 entreprises sur 10 que j'ai accompagnées. Résultat : impossible de répondre à une demande d'accès sans fouiller pendant deux jours.

Un registre, c'est un inventaire de tous les traitements de données que vous réalisez. Pour chacun, vous notez : la finalité, les catégories de données, les personnes concernées, les destinataires, la durée de conservation, et les mesures de sécurité. C'est tout. Mais c'est exhaustif.

À quoi ça sert vraiment, au-delà de la case à cocher ?

Quand une personne vous demande ce que vous savez sur elle, le registre vous donne la réponse en cinq minutes. Quand un salarié part et qu'on se demande quels accès couper, il liste les outils. Quand la CNIL contrôle, c'est la première chose qu'elle demande. Ce document n'est pas une contrainte administrative : c'est votre carte du territoire.

Mon conseil après plusieurs ratés : ne cherchez pas la version parfaite. Commencez par un tableur avec une ligne par traitement. J'ai vu des PME passer trois mois à vouloir un outil logiciel sophistiqué avant d'écrire la première ligne. Elles n'ont jamais commencé. Un tableur imparfait vaut mieux qu'un projet jamais lancé.

Élément du registre	Pourquoi c'est obligatoire	Erreur fréquente
Finalité du traitement	Justifie la licéité de la collecte	Écrire « gestion commerciale » trop vague
Durée de conservation	Évite de garder les données indéfiniment	Laisser « illimitée » par défaut
Destinataires	Identifie qui reçoit les données	Oublier les prestataires cloud
Mesures de sécurité	Prouve la protection mise en place	Recopier la même ligne partout

Le registre est vivant : dès que vous changez d'outil, ajoutez un formulaire, changez de prestataire, il faut le mettre à jour. C'est là que la plupart des entreprises décrochent.

Répondre aux droits des personnes concernées sans se noyer

Voilà le point qui a coûté le plus cher à mes clients. Les droits des personnes concernées ne sont pas une option : accès, rectification, effacement, opposition, portabilité, limitation. Et le délai est d'un mois, prolongeable à trois dans les cas complexes.

Le piège, c'est de croire qu'il faut un service juridique dédié. Non. Il faut un process. Une adresse email dédiée, un modèle de réponse, une procédure interne pour retrouver les données d'une personne. J'ai mis en place ça chez un client de 12 salariés en une demi-journée, et il n'a plus jamais eu de stress sur ce sujet.

Combien de temps pour répondre à une demande d'accès ?

Un mois calendaire à compter de la réception. Si la demande est manifestement infondée ou excessive, vous pouvez refuser, mais il faut le justifier. Sinon, vous répondez, même si vous n'avez aucune donnée sur la personne : dans ce cas, vous le dites par écrit.

1. Accuser réception de la demande dans les 48 heures.
2. Vérifier l'identité du demandeur en cas de doute raisonnable.
3. Rassembler les données depuis le registre.
4. Répondre par écrit, de façon claire et lisible.
5. Archiver la demande et la réponse.

Ne facturez jamais une première réponse. C'est gratuit, sauf en cas de demandes répétitives et abusives, et là encore, il faut le démontrer. J'ai vu un dirigeant tenter de facturer 50 euros « pour le temps passé ». La CNIL n'a pas apprécié.

Sécurité des données : ce qu'on attend concrètement de vous

La sécurité des données est l'obligation la plus mal comprise. On croit qu'il faut un pare-feu dernier cri. En réalité, on attend des mesures appropriées au risque. Pour une TPE, ça veut souvent dire : mots de passe robustes, chiffrement des ordinateurs portables, sauvegardes testées, gestion des accès.

Le vrai sujet, ce n'est pas la technologie. C'est l'humain. La majorité des fuites que j'ai vues ne venaient pas d'un piratage sophistiqué, mais d'un email envoyé au mauvais destinataire, d'un accès partagé qui traîne, d'un fichier en clair sur une clé USB perdue.

Les mesures qui changent vraiment la donne

• Un gestionnaire de mots de passe pour toute l'équipe, avec double authentification.
• Le chiffrement des disques durs des portables et des téléphones.
• Une politique d'accès : chacun voit ce qui le concerne, pas tout.
• Des sauvegardes régulières, et un test de restauration au moins une fois par an.
• Une procédure claire pour supprimer les données d'un salarié qui part.

Mon astuce d'expérience : commencez par les accès. C'est le point le plus souvent négligé et le plus facile à corriger. J'ai réduit de moitié le périmètre de données accessibles chez un client simplement en révoquant les comptes des anciens prestataires. Aucun coût, effet immédiat.

Violations, sanctions et déclaration CNIL

Une violation de données, c'est tout accès, perte ou divulgation non autorisée de données personnelles. Dès que vous en avez connaissance, vous devez la documenter. Et si elle présente un risque pour les personnes, la notifier à la CNIL dans les 72 heures. Pas 72 heures ouvrées. 72 heures.

La déclaration CNIL dont on parlait avant le RGPD (le fameux « déclarer son fichier ») a disparu. Mais la notification des violations, elle, est bien réelle et le délai est court. Beaucoup d'entreprises confondent les deux et croient qu'elles n'ont plus rien à déclarer. C'est une erreur qui peut coûter cher.

Les sanctions, elles, restent proportionnées. La CNIL privilégie souvent l'accompagnement pour les petites structures de bonne foi. Mais l'amende peut grimper vite en cas de négligence répétée, et surtout, la mauvaise publicité fait plus de dégâts que l'amende elle-même. J'ai vu un client perdre deux partenaires après un article de presse sur une fuite. Le coût réel n'était pas la sanction, c'était la confiance.

Par où commencer quand on part de zéro

Si vous lisez ceci et que vous n'avez rien mis en place, ne paniquez pas et ne cherchez pas à tout faire en une semaine. Voici l'ordre que j'applique systématiquement, et qui fonctionne.

1. Listez vos traitements dans un tableur. Une heure suffit pour une petite structure.
2. Identifiez ce qui est vraiment sensible : données de santé, données bancaires, données de mineurs.
3. Sécurisez les accès et les mots de passe. C'est le meilleur rapport effort/risque.
4. Créez une adresse dédiée aux demandes de droits et un modèle de réponse.
5. Rédigez une politique de confidentialité compréhensible, pas un pavé juridique.
6. Notez dans votre agenda une revue du registre tous les six mois.

Ce qui distingue une entreprise conforme d'une autre, ce n'est pas le budget. C'est la régularité. Une petite structure qui tient son registre à jour et répond à ses obligations vaut mieux qu'un grand groupe avec une documentation parfaite mais jamais appliquée.

La conformité RGPD n'est pas un projet qu'on termine. C'est une hygiène. Et comme toute hygiène, elle se pratique un peu chaque semaine, pas une fois par an dans la douleur.

Ce qu'il faut retenir et la prochaine étape

La protection des données personnelles n'est pas un mur administratif : c'est une manière de traiter les gens avec respect, doublée d'une obligation légale. Le registre des traitements est votre boussole. Les droits des personnes concernées sont votre échéance la plus stricte. La sécurité des données se juge sur des gestes concrets, pas sur des intentions. Et la conformité RGPD se construit par petites touches, pas en un week-end.

Mon client du début de cet article ? Il a mis en place un registre, une adresse dédiée et une procédure de réponse. Il a répondu à la CNIL, expliqué la situation, montré les mesures prises. Il s'en est sorti avec un rappel à l'ordre et aucune amende. Mais surtout, il ne refera plus l'erreur.

Votre prochaine action, concrète, maintenant : ouvrez un tableur et écrivez la première ligne de votre registre. Juste une. Le nom du traitement, la finalité, qui est concerné. C'est le pas qui déclenche tout le reste, et il vous prendra moins de dix minutes. Faites-le avant d'oublier pourquoi vous avez lu cet article.

Questions fréquentes

Le RGPD s'applique-t-il à une entreprise d'une seule personne ?

Oui. Aucun seuil de taille n'existe dans le texte. Dès que vous collectez une donnée personnelle (un email, un nom, un numéro), vous êtes concerné. Les mesures doivent simplement être proportionnées à votre activité et aux risques réels.

Faut-il encore déclarer ses fichiers à la CNIL ?

Non, la déclaration préalable des fichiers a disparu avec le RGPD. En revanche, vous devez tenir un registre des traitements, et notifier à la CNIL toute violation de données présentant un risque pour les personnes, dans les 72 heures.

Un DPO est-il obligatoire pour toutes les entreprises ?

Non. Le délégué à la protection des données est obligatoire dans certains cas précis : traitement à grande échelle de données sensibles, suivi régulier et systématique de personnes à grande échelle, ou secteur public. Pour la plupart des TPE et PME, il n'est pas imposé, mais désigner un référent interne est une bonne pratique.

Que risque une entreprise qui ne répond pas à une demande d'accès ?

Une plainte de la personne auprès de la CNIL, un contrôle, et potentiellement une sanction. Au-delà de l'amende, c'est l'atteinte à la réputation qui coûte le plus cher. Le délai de réponse est d'un mois, et il court dès la réception de la demande.

Combien de temps peut-on conserver les données d'un client inactif ?

Il n'y a pas de durée universelle : elle dépend de la finalité et des obligations légales. Pour de la prospection commerciale, la conservation est généralement limitée à trois ans après le dernier contact. Pour des données comptables, les durées légales s'appliquent. L'essentiel : fixer une durée, la documenter dans le registre, et la respecter.