RGPD pour une TPE de l'Yonne : les 5 obligations concrètes à cocher

Document posé sur un bureau avec des enveloppes

Beaucoup d'artisans et de TPE de l'Yonne pensent que le RGPD ne concerne que les grandes entreprises ou les géants du numérique. En réalité, dès que vous collectez un nom, un e-mail, un numéro de téléphone ou une adresse — sur un devis, un formulaire de contact ou une fiche client — vous traitez des données personnelles, et la réglementation s'applique à vous aussi, quelle que soit votre taille.

Pas de panique pour autant : pour une structure de quelques personnes, le RGPD ne demande pas un service juridique dédié. Il se traduit par une poignée d'actions concrètes, réalistes à mettre en place sans DPO ni cabinet d'avocats. Voici les cinq obligations qui comptent vraiment, dans l'ordre où les traiter.

Pourquoi le RGPD concerne aussi les artisans et TPE de l'Yonne

Un électricien qui garde les coordonnées de ses clients dans un tableur, un restaurateur qui collecte des e-mails pour sa newsletter, un artisan qui utilise une caméra de vidéosurveillance devant son atelier : tous traitent des données personnelles. La taille de l'entreprise ne change rien à l'obligation, seulement à l'ampleur de ce qu'il faut mettre en place.

La bonne nouvelle, c'est que la CNIL (l'autorité qui veille à l'application du RGPD en France) propose des outils et des modèles pensés pour les petites structures. L'objectif n'est pas de produire une documentation irréprochable, mais de pouvoir démontrer, le jour où on vous le demande, que vous savez ce que vous collectez, pourquoi, et comment vous le protégez.

Obligation 1 : tenir un registre de traitement simplifié

Le registre de traitement est le document de base du RGPD. Il liste, pour chaque activité qui implique des données personnelles (facturation, newsletter, vidéosurveillance, gestion des candidatures), quelles données vous collectez, pour quelle finalité, qui y a accès, combien de temps vous les conservez et où elles sont stockées.

Pour une TPE, ce registre n'a pas besoin d'être complexe. Un simple tableau avec une ligne par activité suffit dans la grande majorité des cas. La CNIL met à disposition un modèle gratuit pensé pour les petites structures, à adapter à votre activité. L'important est de le tenir à jour : une activité ajoutée (un nouvel outil de prise de rendez-vous en ligne, par exemple) doit être intégrée dès sa mise en place.

Ce registre n'est pas qu'une formalité administrative. C'est aussi, concrètement, l'occasion de faire le point sur ce que vous conservez réellement, et souvent de réaliser que certaines données n'ont plus d'utilité et peuvent être supprimées.

Obligation 2 : mentions légales et politique de confidentialité à jour

Si vous avez un site internet, deux pages sont attendues : les mentions légales (identité de l'entreprise, hébergeur, directeur de publication) et une politique de confidentialité qui explique, en langage clair, quelles données votre site collecte, pourquoi, et comment un visiteur peut exercer ses droits.

Ces deux pages doivent correspondre à la réalité de votre site : si vous utilisez un formulaire de contact, un outil de prise de rendez-vous ou un système de newsletter, chacun doit apparaître dans la politique de confidentialité. Une politique copiée sur un autre site, sans rapport avec vos propres outils, est pire que l'absence de politique : elle montre que la conformité n'a pas été pensée pour votre activité.

Pensez aussi à dater la dernière mise à jour de ces pages, et à les revoir chaque fois que vous changez d'outil ou de prestataire qui traite des données (nouvelle solution de paiement en ligne, nouvel hébergement, nouveau logiciel de facturation).

Obligation 3 : le consentement cookies, bien géré

Dès que votre site dépose des cookies qui ne sont pas strictement nécessaires à son fonctionnement (statistiques détaillées, publicité, boutons de réseaux sociaux), vous devez demander le consentement du visiteur avant de les activer, et lui laisser la possibilité de refuser aussi facilement que d'accepter.

Un bandeau cookies mal configuré est l'une des non-conformités les plus fréquentes et les plus visibles : bouton « Refuser » caché ou plus petit que « Accepter », cookies déposés avant même le clic, absence de moyen de revenir sur son choix plus tard. Ce sont précisément les points que la CNIL contrôle lors de ses vérifications, et ils sont faciles à corriger une fois identifiés.

Si vous utilisez des outils de mesure d'audience réellement anonymisés et conformes aux recommandations de la CNIL, le consentement n'est pas toujours nécessaire. Dans le doute, mieux vaut un bandeau de consentement simple et honnête qu'un outil de tracking non déclaré.

Obligation 4 : répondre aux droits d'accès et de suppression des clients

Tout client ou prospect a le droit de vous demander quelles données vous détenez sur lui, de les faire corriger si elles sont inexactes, ou de demander leur suppression. Vous avez un mois pour répondre à ce type de demande.

Dans une TPE, ce droit se traduit très concrètement : si un ancien client vous écrit pour demander la suppression de ses coordonnées de votre fichier clients, vous devez pouvoir le faire réellement, pas seulement dans votre logiciel de facturation mais aussi dans votre messagerie, votre outil de newsletter et vos sauvegardes si elles sont facilement accessibles.

Le point le plus souvent oublié n'est pas la volonté de répondre, mais la capacité technique à le faire rapidement. Si vos données clients sont dispersées entre plusieurs outils sans aucune organisation, répondre à une demande devient un casse-tête. Un accès bien organisé à vos outils et à vos mots de passe facilite grandement ce travail, car vous savez exactement où chercher.

Obligation 5 : vérifier que vos sous-traitants et hébergeurs sont RGPD-compliant

Vous êtes responsable des données que vous collectez, même quand elles sont stockées chez un prestataire tiers : hébergeur de site, logiciel de facturation en ligne, outil de newsletter, solution de sauvegarde cloud. Le RGPD vous demande de vérifier que ces prestataires respectent eux-mêmes la réglementation, et d'avoir avec eux un contrat ou des conditions qui le prévoient.

Un point d'attention particulier concerne la localisation des données. Un service hébergé hors de l'Union européenne, sans garanties suffisantes, peut poser problème au regard du RGPD. Privilégier des solutions hébergées en France ou en Europe, idéalement chez des hébergeurs qui communiquent clairement sur leurs engagements RGPD, simplifie cette vérification. C'est l'un des arguments en faveur d'un cloud souverain hébergé en France pour vos fichiers professionnels plutôt qu'une solution grand public dont l'hébergement est flou.

Avant de signer avec un nouveau prestataire qui va traiter des données de vos clients, posez-lui simplement la question : où sont hébergées les données, et avez-vous un contrat de sous-traitance RGPD à nous fournir ? Un prestataire sérieux saura répondre sans détour.

Les sanctions réelles encourues

Pour une TPE, le risque n'est pas théorique mais il est généralement progressif. La CNIL commence le plus souvent par un contrôle, un signalement ou une plainte d'un client, suivi d'une mise en demeure qui laisse un délai pour corriger les manquements constatés. C'est à ce stade que la grande majorité des petites structures se mettent en conformité, sans sanction financière.

Si les manquements persistent après la mise en demeure, des sanctions financières sont possibles, et leur montant est fixé au cas par cas par la CNIL en fonction de la gravité et de la taille de l'entreprise. Au-delà du risque financier, une non-conformité rendue publique — notamment en cas de fuite de données clients — abîme durablement la confiance d'une clientèle locale, souvent plus sensible encore à ce type de problème dans une petite ville ou un village de l'Yonne qu'ailleurs.

La bonne nouvelle, répétons-le : la CNIL privilégie l'accompagnement pour les petites structures de bonne foi qui corrigent rapidement. Les cinq obligations ci-dessus suffisent, dans l'immense majorité des cas, à sortir de la zone de risque.

Questions fréquentes

Dois-je nommer un DPO (délégué à la protection des données) dans ma TPE ?

Non, dans la grande majorité des cas. La désignation d'un DPO est obligatoire seulement pour certaines structures (administrations, ou activités impliquant un suivi à grande échelle ou des données sensibles). Une TPE artisanale ou commerciale classique n'y est en général pas tenue, mais reste soumise à toutes les autres obligations du RGPD.

Un simple tableau Excel suffit-il comme registre de traitement ?

Oui, c'est même la forme recommandée par la CNIL pour les petites structures. L'important n'est pas l'outil mais le contenu : une ligne par activité de traitement, avec les informations essentielles (finalité, données concernées, durée de conservation, accès). Un tableau tenu à jour vaut mieux qu'un document complexe jamais mis à jour.

Que faire en cas de fuite de données (piratage, perte d'un fichier) ?

Si la fuite présente un risque pour les personnes concernées, vous devez la notifier à la CNIL dans les 72 heures, et informer les personnes concernées si le risque est élevé pour elles. C'est une raison supplémentaire de sécuriser vos accès et vos sauvegardes en amont : plus votre protection contre les incidents de sécurité est solide, moins ce scénario a de chances de se produire. Une fuite chez un prestataire tiers peut aussi vous concerner sans faute de votre part : voir notre analyse de la fuite de données Infogreffe et comment évaluer son exposition.

Conclusion : une checklist, pas un chantier sans fin

Le RGPD pour une TPE de l'Yonne se résume à cinq actions concrètes : un registre de traitement simplifié, des mentions légales et une politique de confidentialité qui correspondent à la réalité de votre site, un bandeau cookies honnête, une organisation qui permet de répondre aux demandes de vos clients, et des prestataires vérifiés sur leur conformité. Aucune de ces actions ne demande un budget disproportionné ni une expertise juridique poussée.

Si vous souhaitez qu'on fasse ce point ensemble pour votre activité — site internet, outils utilisés, hébergement de vos données clients — écrivez-nous pour en discuter simplement, sans jargon.

À lire aussi :