En 2025, plus de 60% des sanctions prononcées par la CNIL visaient des PME. Le RGPD n’est plus un sujet réservé aux grandes entreprises : toute structure qui collecte des données personnelles, même une simple adresse email dans un formulaire de contact, est concernée.
En 2026, les contrôles se sont durcis. La bonne nouvelle : se mettre en conformité ne demande ni un budget conséquent, ni une expertise juridique poussée. Ce guide fait le tour des obligations concrètes, des erreurs les plus fréquentes, et vous aide à savoir où vous en êtes.
Ce qu’il faut avoir en place
Ce que votre site doit afficher
- Mentions légales : identité de l’éditeur, hébergeur, SIRET
- Politique de confidentialité : quelles données vous collectez, pourquoi, combien de temps
- Bandeau cookies : si vous utilisez des cookies analytics ou publicitaires (obligatoire selon les recommandations de la CNIL)
Attention : refuser les cookies doit être aussi simple qu’accepter. Un bouton « Tout accepter » visible et un lien de refus caché ou discret est un dark pattern sanctionnable par la CNIL.
Formulaires et consentement
Chaque formulaire qui collecte des données doit comporter :
- Un lien vers votre politique de confidentialité
- Une mention explicite de l’usage des données (« Ces informations sont utilisées uniquement pour répondre à votre demande »)
- Une case à cocher pour les newsletters, non pré-cochée
- Une procédure claire pour répondre aux demandes d’exercice des droits (accès, rectification, suppression, portabilité), sous 30 jours, via une adresse dédiée
Le registre des traitements
Vous devez tenir un registre listant tous les traitements de données personnelles dans votre entreprise : formulaire de contact, CRM, fichier clients, newsletter, paie, etc. Pour chaque traitement, identifiez sa base légale (exécution d’un contrat, consentement, obligation légale ou intérêt légitime) et vérifiez que les données obsolètes sont bien supprimées selon les délais recommandés. La CNIL propose un modèle Excel gratuit.
Sécurité et cyber-résilience
Le RGPD impose des mesures techniques et organisationnelles appropriées pour sécuriser les données. En pratique, cela recouvre l’activation du double facteur (MFA) sur les accès distants et outils SaaS sensibles, le chiffrement des disques des ordinateurs portables et des sauvegardes, et une procédure prête à l’emploi pour notifier la CNIL sous 72h en cas de fuite ou d’attaque informatique.
Sous-traitants et IA
Vérifiez que vos prestataires (hébergeur, éditeur SaaS, cabinet comptable) ont signé un contrat encadrant la protection des données (article 28 du RGPD). Sans ce contrat, votre responsabilité reste engagée même si l’erreur vient du prestataire. Si vos données sont hébergées ou transférées hors de l’Espace Économique Européen, assurez-vous d’un cadre légal adapté. Encadrez aussi l’usage des IA génératives comme ChatGPT pour éviter le partage involontaire de données confidentielles.
Gouvernance
Formez régulièrement vos salariés aux risques de phishing et aux bonnes pratiques d’hygiène numérique. Désignez un référent interne ou un DPO externe en charge du suivi de la conformité.
Ce que risque une TPE/PME
En 2025, la CNIL a prononcé 83 sanctions pour un montant total de 486,8 millions d’euros. Plus de 60% de ces sanctions visaient des PME, via une procédure simplifiée qui peut aboutir en quelques semaines, avec des amendes jusqu’à 20 000 euros et une publication nominative possible.
Les trois motifs de sanction les plus fréquents en 2025 : les cookies et traceurs déposés sans consentement valide, la surveillance excessive des salariés, et le défaut de sécurité des données.
La procédure simplifiée ne nécessite pas de plainte préalable ni de contrôle sur place : un agent peut vérifier à distance la conformité d’un bandeau cookies ou d’une politique de confidentialité en quelques minutes. Source : CNIL, sanctions.
Où en êtes-vous ?
Difficile de savoir si votre entreprise est réellement en conformité. Voici quelques signes qui ne trompent pas : si vous en reconnaissez plusieurs, une mise à jour de votre conformité RGPD est probablement nécessaire.
- Mentions légales avec SIRET et hébergeur, à jour
- Politique de confidentialité accessible depuis chaque page
- Bandeau cookies conforme, refus aussi simple qu’acceptation
- Mentions RGPD présentes sous tous les formulaires
- Registre des traitements tenu à jour, avec base légale identifiée
- Procédure de réponse aux demandes de droits en place
- MFA activé sur les accès sensibles
- Contrats de sous-traitance signés avec les prestataires clés
- Référent RGPD ou DPO désigné
Une conformité qui se construit dans la durée
Le RGPD n’est pas qu’une contrainte administrative : c’est aussi l’occasion de mieux connaître ses propres traitements de données, et souvent de simplifier des processus internes au passage.
La conformité RGPD fait partie intégrante de l’audit Maturité Digitale. Je vérifie l’ensemble de vos traitements et vous indique les actions à mener en priorité.
Audit de maturité digitale