Cyber-Management
FR / ENRéserver une consultation

RGPD

Conformité RGPD pour les PME : par quoi commencer, et ce qui peut attendre.

Vous détenez des données de clients ou de salariés ? Le RGPD s’applique. Voici par où commencer.

Réserver une consultation gratuite de 25 minutes

Êtes-vous concerné ?

Il vous concerne presque sûrement. Par où commencer ?

Ce qui change pour vous

Connaître vos données, les protéger, et savoir répondre.

Le RGPD vous demande de savoir quelles données personnelles vous détenez, et pourquoi. Vous devez aussi ne pas les garder plus que nécessaire, les protéger et pouvoir le prouver par écrit. Vous devez répondre aux demandes des personnes sur leurs données sous un mois. Et vous devez notifier une violation de données à la CNIL sous 72 heures, sauf si elle ne présente pas de risque pour les personnes.

Pour une petite entreprise, le vrai risque est souvent une plainte, un client perdu ou un audit client raté, plus qu’une amende. La réponse tient en quelques documents tenus à jour. Ce sont le registre des traitements, les mentions d’information, les contrats sous-traitants et une procédure de violation.

Par où commencer

Commencer par une vue claire de vos données.

Ce que nous livrons

  • Un point sur où vous en êtes et ce qui manque, classé par risque
  • Votre registre des traitements : quelles données, pourquoi, combien de temps, pour qui
  • Des mentions d’information et une façon simple de répondre aux demandes des personnes
  • Une procédure de violation que vos équipes savent suivre sous 72 heures
  • Des contrats avec les sous-traitants qui traitent des données pour vous

Qui fait quoi

Nous pilotons la conformité. Votre prestataire informatique garde la partie technique.

Ce que nous pilotons

  • Cartographier vos données et rédiger le registre des traitements
  • Rédiger les mentions, les politiques et la procédure de violation
  • Revoir les contrats avec vos sous-traitants
  • Piloter les analyses d’impact quand elles sont nécessaires
  • Former vos équipes et rendre compte à la direction

Ce qui reste chez votre prestataire informatique

  • Mettre en place les droits d’accès, les sauvegardes et le chiffrement
  • Configurer les durées de conservation et la suppression dans vos outils
  • Contenir une violation et conserver les journaux

Nous vérifions que les mesures techniques correspondent à ce que promettent vos documents.

Pour commencer

Première étape : un point de conformité.

En deux semaines environ, vous savez où vous en êtes, ce qui manque et quoi corriger d’abord. La suite est dimensionnée à votre entreprise et à vos données, au forfait.

Prix
Forfait fixe
Durée
Environ 2 semaines
Votre temps
2 à 4 courts entretiens

Devis ferme après l'appel gratuit.

Réserver une consultation gratuite de 25 minutes

Pour votre DSI, DPO ou DAF

Sept principes que toute activité de traitement doit respecter.
  1. 01Art. 5(1)(a)

    Licéité, loyauté et transparence

    Le traitement doit reposer sur une base légale, être loyal envers les personnes concernées et transparent quant à l'usage de leurs données.

  2. 02Art. 5(1)(b)

    Limitation des finalités

    Les données collectées pour une finalité ne peuvent être utilisées pour une finalité différente et incompatible sans nouvelle base légale.

  3. 03Art. 5(1)(c)

    Minimisation des données

    Ne collecter que des données personnelles adéquates, pertinentes et limitées à ce qui est nécessaire à la finalité déclarée.

  4. 04Art. 5(1)(d)

    Exactitude

    Les données personnelles doivent être exactes et tenues à jour. Les données inexactes doivent être effacées ou rectifiées sans tarder.

  5. 05Art. 5(1)(e)

    Limitation de la conservation

    Les données ne doivent pas être conservées plus longtemps que nécessaire. Des durées de conservation documentées sont obligatoires.

  6. 06Art. 5(1)(f)

    Intégrité et confidentialité

    Les données doivent être protégées contre l'accès non autorisé, la perte ou la destruction par des mesures techniques et organisationnelles appropriées (article 32).

  7. 07Art. 5(2)

    Responsabilité

    Les organisations doivent pouvoir démontrer leur conformité — pas simplement la revendiquer. Documentation, politiques, registre des traitements et preuves servent à cela.

Les chiffres qui font les titres — et ce qui déclenche réellement les amendes.

Le plafond le plus élevé est de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total — selon le plus élevé — pour les violations les plus graves (base légale, principes, droits des personnes, transferts internationaux). Les violations moindres sont plafonnées à 10 millions d'euros ou 2 %. Le défaut de désignation d'un DPO lorsqu'il est requis constitue en lui-même une infraction, passible du plafond de 10 M€ ou 2 % (article 83, paragraphe 4), indépendamment de toute autre violation.

Pour les PME, les principes qui déclenchent le plus de sanctions sont la limitation des finalités (utilisation au-delà des finalités déclarées), la minimisation des données (collecte de plus que nécessaire) et la limitation de conservation (rétention trop longue). Les droits qui génèrent le plus de plaintes sont l'accès (demandes d'accès) et l'effacement (droit à l'oubli). Et la base légale la plus contestée par les autorités est l'intérêt légitime.

  • Manquements les plus graves

    20 M€ / 4 %

    selon le plus élevé, du chiffre d'affaires annuel mondial total.

  • Autres manquements

    10 M€ / 2 %

    selon le plus élevé — pour manquements procéduraux et défaut de DPO.

  • Notification violation

    72 heures

    depuis la prise de connaissance, vers le portail de votre autorité — CNIL en France, APD en Belgique, CNPD au Luxembourg.

Calendrier type

Les missions RGPD s'adaptent à la maturité de votre point de départ.

  1. 4–8 semaines

    Sprint de mise en conformité

    Analyse d'écarts, registre des traitements, politiques et notices prioritaires, processus de violation — suffisant pour défendre un contrôle ou satisfaire un audit client.

  2. 3–6 mois

    Programme complet de conformité

    Bibliothèque de politiques complète, workflows pour les 8 droits des personnes, processus AIPD, contrats sous-traitants, formation et cadence de revue continue.

FAQ

Ce que nous demandent DSI et DPO sur le RGPD.

À qui le RGPD s’applique-t-il exactement ?
En pratique, à quiconque traite des données personnelles de personnes situées dans l'UE : entreprises avec des clients ou visiteurs européens, tout employeur dans l'UE (RH, paie, recrutement), entreprises B2B (fichier clients, e-mailing et support concernent des personnes nommées), et sous-traitants agissant pour d'autres, comme les éditeurs SaaS, agences, cabinets de paie et infogéreurs, soumis à l'article 28 et aux contrats de sous-traitance. Le RGPD est le règlement (UE) 2016/679. Les autorités de contrôle (la CNIL en France, DROM compris, l'APD en Belgique, la CNPD au Luxembourg) évaluent la conformité au regard de ses principes.
Le RGPD s'applique-t-il à mon entreprise si nous sommes hors UE ?
Oui si vous offrez des biens ou services à des résidents européens, ou suivez leur comportement dans l'UE. L'article 3 a une portée extraterritoriale. Une entreprise américaine, britannique ou australienne avec des clients ou visiteurs UE dont elle suit le comportement est soumise au RGPD — et peut devoir désigner un représentant UE sous l'article 27.
Et pour une entreprise suisse ?
En Suisse, le Préposé fédéral à la protection des données applique la loi fédérale sur la protection des données. Le RGPD ne vise une entreprise suisse que si elle cible ou suit des personnes situées dans l'UE (article 3, paragraphe 2).
Le RGPD s'applique-t-il dans les DROM — Guadeloupe, Martinique, Guyane, La Réunion, Mayotte ?
Oui, de plein droit. Ces cinq territoires, comme Saint-Martin, sont des régions ultrapériphériques de l'Union au sens des articles 349 et 355, paragraphe 1, du TFUE : le droit de l'Union s'y applique intégralement. Le RGPD, règlement directement applicable, y crée les mêmes obligations qu'en métropole, sous le contrôle de la CNIL. Seules les collectivités relevant du régime des pays et territoires d'outre-mer suivent un régime distinct.
Qu'est-ce qu'une AIPD et quand est-elle obligatoire ?
Une analyse d'impact relative à la protection des données (AIPD) identifie et réduit les risques d'un traitement pour la vie privée avant son démarrage. Selon l'article 35, elle est obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les personnes, notamment le profilage systématique et extensif, le traitement à grande échelle de données sensibles (santé, génétique, biométrie, opinions) et la surveillance systématique de zones accessibles au public.
Avons-nous besoin d'un Délégué à la Protection des Données (DPO) ?
L'article 37 rend le DPO obligatoire pour les autorités publiques, les organisations dont les activités principales impliquent un suivi systématique à grande échelle des personnes, et les organisations qui traitent des catégories particulières de données à grande échelle. Même quand il n'est pas strictement obligatoire, de nombreuses PME en désignent un volontairement — soit parce que les clients l'exigent, soit parce que le rôle apporte une supervision continue qui réduit le risque de violation.
Quelle est la différence entre responsable de traitement et sous-traitant ?
Le responsable de traitement décide pourquoi et comment les données personnelles sont traitées. Le sous-traitant les traite pour son compte, selon ses instructions. Beaucoup de PME sont les deux : responsable pour leurs propres données salariés et clients, sous-traitant pour les données de leurs clients, avec les deux jeux d'obligations.
Combien de temps pouvons-nous conserver des données personnelles sous le RGPD ?
Il n'y a pas de durée unique prescrite — cela dépend des données, de la finalité et des obligations légales. Les organisations doivent documenter leurs durées de conservation dans une politique de conservation et les appliquer de manière cohérente. Lorsqu'une obligation légale impose une durée plus longue que ce que la finalité originale justifierait (registres fiscaux, droit du travail), la base légale d'obligation légale prévaut.
Que devons-nous faire en cas de violation de données personnelles ?
Cinq étapes : (1) contenir la violation et préserver les preuves ; (2) évaluer le risque pour les personnes ; (3) s'il y a un risque, notifier votre autorité de contrôle dans les 72 heures de la prise de connaissance — via le portail de l'autorité (CNIL en France, APD en Belgique, CNPD au Luxembourg, etc.) ; (4) si la violation présente un risque élevé pour les personnes, les en informer directement sans retard injustifié ; (5) tout documenter dans votre registre des violations sous l'article 33(5), y compris les violations que vous décidez de ne pas déclarer.
Comment le RGPD s'applique-t-il à l'IA ?
Les systèmes d'IA qui traitent des données personnelles relèvent à la fois du RGPD et du Règlement européen sur l'IA, y compris de l'avis 28/2024 du CEPD sur les modèles d'IA et les données personnelles. L'AIPD de l'article 35 s'articule avec l'analyse d'impact sur les droits fondamentaux de l'article 27 du Règlement IA : un seul processus peut servir les deux. Notre service Gouvernance de l'IA couvre ce recouvrement.

À découvrir

Souvent menés en parallèle.

ISO 27001

Couvre directement l'article 32 du RGPD — les mesures techniques et organisationnelles de sécurité que le RGPD exige.

En savoir plus

ISO 27701

La norme certifiable de management de la vie privée, autonome depuis son édition 2025 : une façon reconnue de montrer à vos clients comment vous gérez les données personnelles. Ce n'est pas une certification RGPD.

En savoir plus

ISO 42001

Pour les systèmes d'IA qui traitent des données personnelles : la norme SMIA structure la gouvernance spécifique à l'IA que le RGPD seul ne couvre pas — y compris les considérations de l'avis 28/2024 du CEPD.

En savoir plus

Règlement IA

Dès que des données personnelles alimentent l'IA, le Règlement IA s'empile sur le RGPD — l'EIDF de l'Article 27 s'intègre à l'AIPD du RGPD, et l'avis 28/2024 du CEPD encadre l'intersection.

En savoir plus

DPO externalisé

Lorsque l'article 37 impose un DPO et qu'une embauche à temps plein est disproportionnée à votre échelle.

En savoir plus
Retour au hub conformité