Par quelles étapes passer pour mettre une TPE en conformité RGPD sans rien oublier ?
Cette checklist s'adresse aux dirigeants de TPE et aux indépendants qui veulent structurer leur mise en conformité RGPD sans cabinet. Elle suit l'ordre décrit dans RGPD pour les TPE : par où commencer : comprendre quelles données circulent, les documenter, sécuriser, puis organiser la réponse aux demandes. Elle se coche à la main et se planifie avec l'estimateur de temps pour votre registre.
Date : ______________ Réalisé par : ____________________
Étape 1 : faire l'inventaire des données que l'entreprise manipule
Lister les grandes activités qui utilisent des données de personnes : prospection, devis et facturation, paie, service client, site web
Pour chaque activité, noter quelles catégories de personnes sont concernées : clients, prospects, salariés, fournisseurs, visiteurs du site
Repérer les données sensibles éventuelles : santé, opinions, données bancaires, numéro de sécurité sociale, et les traiter à part
Identifier les outils qui stockent ces données : messagerie, tableur, logiciel de facturation, CRM, prestataire de paie, hébergeur
Noter d'où viennent les données : formulaire, échange direct, achat de fichier, import depuis un autre outil
Vérifier qu'aucune donnée n'est collectée sans usage réel derrière, et supprimer les champs inutiles des formulaires
Désigner la personne qui pilote la conformité dans l'entreprise, même sans délégué officiel
Étape 2 : constituer et tenir le registre des traitements
Créer une fiche par traitement identifié à l'étape précédente, avec un nom clair et compréhensible
Indiquer pour chaque traitement sa finalité, c'est-à-dire ce à quoi servent concrètement les données
Choisir et noter la base qui justifie le traitement : contrat, obligation légale, intérêt légitime, consentement
Préciser les destinataires internes et externes qui accèdent aux données
Fixer une durée de conservation par traitement, en distinguant usage courant et archivage
Signaler les éventuels transferts de données hors de l'Union européenne et l'outil concerné
Dater le registre et prévoir une relecture à chaque changement d'outil ou d'activité
Conserver le registre dans un endroit connu de l'équipe, en version imprimée ou numérique
Étape 3 : mettre à jour le site web et l'information des personnes
Publier des mentions légales complètes : identité de l'éditeur, contact, hébergeur, directeur de publication
Rédiger une politique de confidentialité lisible qui décrit les traitements réels, pas un texte générique copié
Ajouter une mention d'information courte sous chaque formulaire de contact, de devis ou d'inscription
Faire l'inventaire des cookies et traceurs déposés par le site, y compris ceux des outils tiers
Mettre en place une bannière cookies qui permet de refuser aussi simplement que d'accepter, si des traceurs non exemptés sont utilisés
Vérifier que les outils de mesure d'audience et de vidéo ne se déclenchent pas avant le choix du visiteur
Indiquer une adresse de contact dédiée aux questions sur les données personnelles
Relire les documents publiés au moins une fois par an ou à chaque évolution du site
Étape 4 : sécuriser les données et cadrer les sous-traitants
Activer un mot de passe distinct et robuste sur chaque outil, avec double authentification quand elle existe
Limiter les accès aux seules personnes qui en ont besoin et retirer les accès des anciens collaborateurs
Mettre en place une sauvegarde régulière des données et tester une restauration
Chiffrer ou protéger par mot de passe les appareils mobiles et les supports amovibles
Lister les sous-traitants qui traitent des données pour l'entreprise : hébergeur, prestataire de paie, outil d'emailing, logiciel en ligne
Vérifier que chaque sous-traitant fournit un contrat ou des conditions qui encadrent le traitement des données
Localiser où sont hébergées les données de chaque outil et noter les garanties annoncées
Sensibiliser l'équipe aux messages frauduleux et aux bonnes pratiques de base
Étape 5 : organiser la réponse aux demandes et aux incidents
Définir qui reçoit et traite les demandes d'accès, de rectification, d'effacement ou d'opposition
Préparer un modèle de réponse et une procédure de vérification de l'identité du demandeur
Tenir un suivi daté des demandes reçues et des réponses apportées
Décrire par écrit la marche à suivre en cas de fuite ou de perte de données : qui prévenir, quoi documenter
Vérifier les délais de réponse et de notification applicables, à contrôler selon les textes en vigueur
Faire un point annuel sur les demandes et incidents de l'année pour ajuster les pratiques
Comment utiliser ce modèle
Cette checklist se parcourt une première fois de bout en bout, puis se reprend à chaque nouvel outil, nouveau formulaire ou nouvelle activité.
Elle est en général remplie par le dirigeant ou la personne désignée pour piloter la conformité, avec l'aide du prestataire informatique si besoin.
Elle se conserve avec le registre des traitements et la dernière version des documents publiés sur le site, pour retrouver l'état de la démarche à une date donnée.
Les points relatifs aux délais et aux obligations formelles sont à vérifier selon les textes en vigueur ; la checklist ne remplace pas un conseil juridique.
Une TPE de deux personnes doit-elle vraiment tenir un registre des traitements ?
La question dépend de la nature des traitements réalisés et des exceptions prévues par les textes, à vérifier selon les textes en vigueur. Dans les faits, un registre même court reste le moyen le plus simple de prouver la démarche et de retrouver ce que l'entreprise fait des données.
Dans quel ordre traiter les cinq étapes de la checklist ?
L'inventaire vient toujours en premier, car les documents publiés et le registre découlent de ce que l'entreprise fait réellement. Le site web et la sécurité peuvent avancer en parallèle ensuite, et l'organisation des réponses aux demandes se met en place dès que le registre existe.
Combien de temps prévoir pour parcourir cette checklist ?
Cela varie selon le nombre d'outils et d'activités. Une TPE avec un site vitrine, une facturation et une messagerie boucle souvent l'inventaire et le registre en quelques heures réparties sur plusieurs jours ; l'estimateur de temps du site donne un ordre de grandeur adapté à votre situation.
Faut-il refaire la checklist chaque année ?
Un passage complet chaque année est une bonne habitude, mais l'essentiel est de reprendre les points concernés à chaque changement : nouvel outil, nouveau formulaire, nouveau prestataire ou départ d'un collaborateur qui avait des accès.