Mise en conformité RGPD d'une TPE : le guide complet, du registre à la bannière cookies

Ce que le RGPD demande réellement à une petite entreprise

Le règlement général sur la protection des données s'applique à toute structure qui manipule des données personnelles, quelle que soit sa taille. Une TPE en manipule dès qu'elle tient un fichier clients, envoie des devis, gère une paie ou installe un formulaire de contact sur son site. La bonne nouvelle est que les obligations sont proportionnées : on n'attend pas d'un salon de coiffure ou d'un cabinet de conseil de deux personnes la même organisation que d'une banque. L'article RGPD pour les TPE : par où commencer détaille ce point de départ.

Concrètement, le règlement repose sur quelques principes qu'une petite structure peut appliquer avec du bon sens :

• La finalité : chaque donnée est collectée pour une raison précise, annoncée à la personne, et n'est pas réutilisée pour autre chose sans l'en informer.
• La minimisation : on ne collecte que ce dont on a besoin. Un formulaire de devis n'a pas besoin de la date de naissance.
• La durée limitée : les données ne sont pas gardées indéfiniment ; on fixe une durée cohérente avec l'usage et les obligations comptables ou sociales.
• La transparence : les personnes savent qui collecte, pourquoi, combien de temps, et comment exercer leurs droits.
• La sécurité : les données sont protégées à la mesure des risques, sans exiger un dispositif hors de portée d'une petite entreprise.
• La responsabilité : vous devez pouvoir démontrer ce que vous faites, d'où l'importance des documents écrits.

Ces principes se traduisent en un nombre limité de livrables : un registre des traitements, une politique de confidentialité, des mentions légales, un dispositif de consentement pour les cookies si votre site en dépose, une procédure pour répondre aux demandes et quelques réflexes de sécurité.

Inventorier les données et constituer le registre des traitements

Tout commence par un inventaire honnête. Avant d'écrire la moindre politique, listez ce que vous faites réellement des données : gestion des devis et factures, prospection, newsletter, prise de rendez-vous, recrutement, paie, vidéosurveillance éventuelle, formulaire de contact, statistiques du site. Chaque activité de ce type est un traitement. Le registre des traitements est le document qui les recense et les décrit un par un.

Décrire chaque traitement en six questions

1. Quelle est la finalité ? Par exemple, exécuter le contrat et tenir la comptabilité.
2. Quelles catégories de données ? Identité, coordonnées, données bancaires, historique d'achats.
3. Quelles personnes sont concernées ? Clients, prospects, salariés, candidats, fournisseurs.
4. Sur quelle base légale ? Contrat, obligation légale, intérêt légitime ou consentement.
5. Combien de temps conservez-vous les données, et pourquoi cette durée ?
6. Qui y accède ? Vos collaborateurs, votre expert-comptable, vos logiciels, vos prestataires.

Une TPE à l'activité courante compte le plus souvent entre cinq et une quinzaine de traitements. La difficulté n'est pas juridique, elle tient au temps de recensement et à la discipline de ne rien oublier : la paie, les candidatures reçues par mail ou la caméra à l'entrée du magasin sont les oublis classiques. L'estimateur de temps pour votre registre vous aide à planifier ce travail selon votre activité, votre nombre d'outils et votre effectif.

Décrire des traitements, pas des logiciels

L'erreur la plus fréquente consiste à lister ses outils au lieu de ses activités. Votre logiciel de facturation n'est pas un traitement, c'est un destinataire du traitement « gestion des devis et factures ». Raisonner par finalité rend le registre lisible pour quelqu'un d'extérieur et vous évite de le refaire à chaque changement d'outil.

Rédiger la politique de confidentialité et les mentions légales

Une fois le registre établi, les documents visibles sur votre site s'en déduisent. La politique de confidentialité informe vos visiteurs et vos clients de ce que vous faites de leurs données. Elle reprend, en langage clair, ce que le registre décrit : qui est responsable, quelles données sont collectées, pour quelles finalités, combien de temps, qui les reçoit, et comment exercer ses droits.

Ce qu'une bonne politique de confidentialité contient

• l'identité et les coordonnées du responsable de traitement, c'est-à-dire votre entreprise ;
• la liste des traitements qui concernent le visiteur : formulaire de contact, commande, newsletter, statistiques ;
• pour chacun, la finalité, la base légale et la durée de conservation ;
• les destinataires et les prestataires qui accèdent aux données, avec mention d'un éventuel hébergement hors Union européenne ;
• les droits des personnes et la manière concrète de les exercer, avec une adresse de contact ;
• la date de dernière mise à jour du document.

Évitez les politiques recopiées d'un grand site : elles décrivent des traitements que vous ne faites pas et omettent ceux que vous faites. Une politique courte, exacte et lisible vaut mieux qu'un texte long et générique. Relisez-la comme le ferait un client.

Les mentions légales, un document distinct

Les mentions légales ne relèvent pas du RGPD mais des règles d'identification de tout site professionnel. Elles indiquent qui édite le site (raison sociale, forme juridique, adresse, immatriculation, contact), qui l'héberge, et, selon l'activité, les informations propres aux professions réglementées. Beaucoup de TPE les confondent avec la politique de confidentialité ; les deux pages se complètent mais répondent à des obligations différentes, et chacune doit être accessible depuis toutes les pages du site.

Cookies et traceurs : bannière, consentement et mesure d'audience

Les cookies sont la partie la plus visible de la conformité, et souvent la plus mal traitée. La règle de fond est simple : les traceurs qui ne sont pas strictement nécessaires au fonctionnement du site (mesure d'audience détaillée, publicité, boutons de partage, vidéos intégrées) ne peuvent être déposés qu'après le consentement du visiteur. L'article Cookies et consentement : ce qu'il faut savoir passe en revue les catégories de traceurs et les conditions d'un consentement valable.

Les conditions d'un consentement valable

• aucun traceur soumis à consentement n'est déposé avant le choix du visiteur ;
• refuser est aussi simple qu'accepter, sur le même écran et avec la même mise en valeur ;
• le visiteur sait à quoi il consent : finalités et liste des outils concernés ;
• le choix peut être modifié à tout moment, par un lien permanent en pied de page ;
• la preuve du consentement est conservée, et son renouvellement est demandé après une durée raisonnable.

Avez-vous vraiment besoin d'une bannière ?

Un site vitrine sans statistiques ni contenu tiers peut se passer de bannière. Un site qui utilise une mesure d'audience configurée pour ne pas suivre individuellement les visiteurs peut, sous conditions, s'en dispenser également. En revanche, dès que vous intégrez un outil publicitaire, une carte interactive ou un lecteur vidéo tiers, la bannière devient nécessaire. Le simulateur de bannière cookies vous indique, selon les outils présents sur votre site, si vous en avez besoin et quelle part de votre audience restera mesurable une fois le refus possible.

Une part des visiteurs refuse les traceurs, et vos statistiques ne reflètent alors qu'une fraction du trafic. Beaucoup de TPE préfèrent une mesure d'audience simplifiée, sans bannière, à des statistiques détaillées mais partielles.

Répondre aux demandes des personnes et réagir à un incident

Toute personne dont vous détenez des données peut vous demander d'y accéder, de les corriger, de les effacer, de s'opposer à certains usages ou de les récupérer dans un format réutilisable. L'article Les droits des personnes : accès, rectification, effacement détaille chaque droit et ses limites, car l'effacement, par exemple, ne s'applique pas aux factures que vous devez conserver.

Une procédure en quatre temps

1. Recevoir : une adresse de contact dédiée, indiquée dans la politique de confidentialité, évite que la demande se perde dans une boîte générique.
2. Vérifier : s'assurer que la personne est bien celle qu'elle prétend être, sans lui réclamer plus de justificatifs que nécessaire.
3. Traiter : rechercher les données dans chaque outil listé au registre, puis répondre par écrit dans le délai fixé par le règlement, qui se compte en semaines et non en mois.
4. Tracer : noter la demande, la date et la réponse apportée, pour pouvoir démontrer le traitement en cas de contrôle.

Fuite, perte ou accès non autorisé

Un ordinateur portable volé, un fichier clients envoyé au mauvais destinataire, un compte piraté : ce sont des violations de données, et elles arrivent aussi aux petites structures. L'article Réagir à une demande ou à une fuite de données décrit les réflexes à avoir. En résumé : contenir l'incident, évaluer les données concernées et le risque pour les personnes, documenter les faits dans un registre des violations, puis notifier l'autorité de contrôle dans le court délai prévu si le risque le justifie, et informer les personnes si le risque est élevé.

Sécuriser les données et maîtriser la chaîne de sous-traitance

La conformité documentaire ne vaut rien si les données sont accessibles à n'importe qui. Le règlement demande des mesures de sécurité adaptées au risque, ce qui, pour une TPE, se traduit par des gestes simples et réguliers plutôt que par des équipements coûteux. L'article Sécuriser les données personnelles au quotidien en dresse la liste ; en voici l'essentiel.

• des mots de passe distincts par service, gérés dans un gestionnaire, et la double authentification partout où elle existe ;
• des comptes nominatifs, avec des accès limités à ce dont chaque personne a besoin, et fermés dès le départ d'un collaborateur ;
• des sauvegardes régulières, testées au moins une fois, et conservées hors du poste de travail ;
• des mises à jour appliquées sans attendre sur les ordinateurs, les téléphones et le site ;
• des documents papier rangés sous clé, et une destruction propre des fichiers et des supports en fin de vie ;
• une vigilance partagée sur les mails frauduleux, qui restent la porte d'entrée la plus courante.

Hébergeurs, logiciels, prestataires : qui est responsable de quoi

Votre hébergeur, votre outil d'emailing, votre logiciel de facturation en ligne, votre expert-comptable ou votre agence web accèdent à des données pour votre compte : ce sont des sous-traitants au sens du règlement. Vous restez responsable du traitement, mais eux ont leurs propres obligations. L'article Sous-traitants et hébergeurs : la chaîne de responsabilité explique ce qu'il faut vérifier avant de confier des données.

En pratique, pour chaque prestataire listé au registre, assurez-vous qu'un contrat ou des conditions générales encadrent la protection des données, que la localisation des serveurs est connue, qu'un transfert hors Union européenne, s'il existe, repose sur un cadre reconnu, et que vous pouvez récupérer ou faire supprimer vos données à la fin de la relation. Gardez une trace de ces vérifications.

Organiser la démarche : plan en quatre semaines, coût et maintenance

Pour une TPE à l'activité courante, la mise en conformité initiale tient en quelques semaines de travail réparti, à condition de suivre un ordre logique et de ne pas viser la perfection au premier passage.

1. Semaine 1, inventaire : lister les activités qui touchent à des données, les outils utilisés et les prestataires. Fixer une durée de conservation pour chaque catégorie.
2. Semaine 2, registre : rédiger une fiche par traitement à partir des six questions de la deuxième section.
3. Semaine 3, documents et site : produire la politique de confidentialité et les mentions légales, ajouter une mention d'information sous chaque formulaire, régler la question des cookies.
4. Semaine 4, organisation : écrire la procédure de réponse aux demandes et la fiche réflexe en cas d'incident, vérifier les prestataires, appliquer les mesures de sécurité prioritaires.

Cabinet, autonomie ou logiciel guidé

Trois voies s'offrent à vous. Un cabinet spécialisé apporte une expertise juridique et convient aux activités sensibles ou complexes, au prix d'honoraires initiaux puis de mises à jour facturées. La démarche en autonomie ne coûte que votre temps, ce qui est loin d'être gratuit lorsqu'on le valorise au taux horaire de votre activité. Un logiciel guidé, comme RGPDKit ou d'autres solutions comparables, se place entre les deux : il pose les questions, génère les documents et les tient à jour, pour un abonnement modeste et quelques heures de saisie. Le comparateur de coût de conformité RGPD ramène ces trois options à un coût total sur plusieurs années, avec vos propres chiffres.

Maintenir la conformité dans le temps

La conformité n'est pas un état acquis mais une pratique. Un nouvel outil, un premier salarié ou un changement d'hébergeur modifient le registre et, par ricochet, la politique de confidentialité. Prévoyez une revue annuelle à date fixe et un réflexe au fil de l'eau : chaque service souscrit qui touche à des données ajoute une ligne au registre et au tableau des prestataires.