Quelles sont les obligations RGPD d'une entreprise ?

Le RGPD, ou Règlement général sur la protection des données, encadre la manière dont les entreprises collectent, utilisent, conservent et sécurisent les données personnelles. Il concerne les entreprises de toutes tailles, y compris les indépendants, les micro-entrepreneurs, les TPE et les PME.

Un simple fichier clients, un formulaire de contact, des CV, des factures nominatives ou des dossiers salariés peuvent être concernés. Le RGPD ne s'applique donc pas uniquement aux grandes entreprises ou aux sites de commerce en ligne.

1. Qu'est-ce qu'une donnée personnelle ?

Une donnée personnelle est une information qui concerne une personne physique identifiée ou identifiable, directement ou indirectement.

Les fichiers papier sont également concernés. Dès qu'une entreprise collecte, consulte, modifie, transmet ou supprime des données personnelles, elle doit respecter les règles applicables.

2. Quelles sont les principales obligations RGPD ?

La conformité repose sur plusieurs obligations complémentaires. Leur mise en œuvre dépend notamment des données traitées, des objectifs poursuivis et des risques associés.

3. Le registre des traitements est-il obligatoire ?

Le registre des activités de traitement permet de recenser les différentes utilisations des données personnelles dans l'entreprise. Il constitue un document de référence pour identifier les informations collectées, leurs finalités, les personnes qui y accèdent et les mesures de protection prévues.

Pour les structures de moins de 250 salariés, l'obligation comporte des exceptions limitées. Elle s'applique notamment lorsque les traitements sont non occasionnels, présentent certains risques ou portent sur des données sensibles ou des données relatives aux condamnations pénales. Les traitements habituels de clients, de prospects, de fournisseurs ou de salariés sont donc généralement à inscrire au registre.

Que doit contenir le registre RGPD ?

• Le nom et les coordonnées du responsable du traitement et, le cas échéant, des intervenants concernés.
• Les objectifs de chaque traitement.
• Les catégories de personnes concernées : clients, prospects, salariés, candidats, etc.
• Les catégories de données collectées.
• Les destinataires des données, y compris les prestataires.
• Les durées de conservation prévues.
• Une description générale des mesures de sécurité.
• Les éventuels transferts de données hors de l'Union européenne.

4. Faut-il une politique de confidentialité ?

Lorsqu'un site internet collecte des données personnelles, notamment par un formulaire de contact, une demande de devis, une inscription à une newsletter ou un espace client, les personnes doivent recevoir une information claire sur l'utilisation de leurs données.

Une politique de confidentialité, également appelée page « vie privée », permet généralement de présenter ces informations de façon accessible. Elle doit être adaptée aux traitements réellement effectués par l'entreprise.

Quelles informations faut-il communiquer ?

• L'identité et les coordonnées du responsable du traitement.
• Les objectifs de la collecte et la base légale utilisée.
• Les données demandées et leur caractère obligatoire ou facultatif.
• Les destinataires ou catégories de destinataires.
• Les durées de conservation ou les critères qui permettent de les déterminer.
• Les droits des personnes et la manière de les exercer.
• La possibilité de déposer une réclamation auprès de la CNIL.
• Les éventuels transferts de données hors de l'Union européenne.

Cette information doit être accessible au bon moment, notamment lors de la collecte. Une page de confidentialité ne remplace pas les autres obligations applicables au site, telles que les mentions légales ou les règles relatives aux cookies.

5. Les cookies et les formulaires du site internet

Un site internet doit vérifier quels traceurs et outils de mesure d'audience il utilise. Certains cookies sont nécessaires au fonctionnement du service, tandis que d'autres, notamment ceux destinés à la publicité ou à certains suivis statistiques, nécessitent généralement un consentement préalable.

Lorsque le consentement est requis, l'internaute doit pouvoir accepter ou refuser les traceurs concernés librement, avec une facilité comparable. Les cookies soumis au consentement ne doivent pas être déposés avant que ce consentement soit obtenu.

Pour les formulaires de contact ou de devis, il convient notamment de :

• Ne demander que les informations utiles au traitement de la demande.
• Présenter une information RGPD accessible à proximité du formulaire.
• Préciser les finalités et la manière d'exercer les droits.
• Ne pas confondre une demande de devis avec une inscription à une newsletter.
• Prévoir un consentement distinct lorsque celui-ci est nécessaire à une prospection ou à une autre finalité.

6. Comment protéger les données de ses clients et salariés ?

L'entreprise doit mettre en place des mesures techniques et organisationnelles adaptées à la nature des données et aux risques. Il n'existe pas une solution unique valable pour toutes les structures : les mesures doivent correspondre à la situation réelle de l'entreprise.

7. Que faire en cas de fuite de données ?

Une violation de données peut résulter d'un piratage, d'une perte d'ordinateur, d'un envoi erroné, d'un accès non autorisé ou d'une destruction accidentelle de données.

En cas d'incident, l'entreprise doit rapidement évaluer la situation, contenir l'incident, protéger les personnes concernées et documenter les faits ainsi que les mesures prises.

Les violations doivent être documentées, y compris lorsqu'une notification à la CNIL n'est pas nécessaire. Il est donc utile de prévoir une procédure interne précisant qui contacter et quelles mesures prendre dès la découverte d'un incident.

8. Les sous-traitants doivent-ils respecter le RGPD ?

Oui. Un prestataire qui traite des données personnelles pour le compte d'une entreprise peut être considéré comme un sous-traitant au sens du RGPD. C'est notamment le cas de certains fournisseurs de logiciels, hébergeurs, prestataires de paie ou services de gestion de la relation client.

Le responsable du traitement doit choisir des prestataires présentant des garanties suffisantes et encadrer la prestation par un contrat conforme aux exigences applicables. Le sous-traitant a également ses propres obligations, notamment en matière de sécurité, de confidentialité et d'assistance au responsable du traitement.

Avant de transmettre des données à un prestataire, vérifiez notamment :

• Les catégories de données auxquelles il aura accès.
• Les finalités et instructions du traitement.
• Les mesures de sécurité mises en place.
• Les modalités de gestion des incidents.
• Les conditions de restitution ou de suppression des données à la fin du contrat.

9. Le DPO est-il obligatoire pour toutes les entreprises ?

Non. Le délégué à la protection des données, ou DPO, n'est pas systématiquement obligatoire pour chaque entreprise. Sa désignation devient obligatoire dans certaines situations prévues par le RGPD, notamment pour certaines autorités ou certains organismes publics, lorsque les activités de base impliquent un suivi régulier et systématique à grande échelle, ou lorsqu'elles consistent à traiter à grande échelle certaines catégories particulières de données ou des données relatives aux condamnations pénales.

Une petite entreprise qui ne relève pas de ces situations peut désigner un référent interne ou demander un accompagnement adapté à ses besoins. Cela ne la dispense pas de respecter le RGPD.

10. Quelles sanctions en cas de non-conformité RGPD ?

En cas de manquement, la CNIL peut notamment prononcer un avertissement, une mise en demeure, une limitation ou une interdiction de traitement, ainsi qu'une sanction financière selon la nature et la gravité du manquement.

Le RGPD prévoit, pour certaines violations, des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Les plafonds applicables dépendent de la catégorie de manquement et ne signifient pas que chaque erreur entraîne une telle sanction.

11. Checklist RGPD : les actions à mettre en place

Pour commencer, utilisez cette liste comme point de contrôle interne. Elle ne remplace pas une analyse de conformité adaptée à vos traitements.

• Recenser les fichiers clients, prospects, fournisseurs et salariés.
• Identifier la finalité et la base légale de chaque traitement.
• Vérifier que les données collectées sont réellement nécessaires.
• Définir des durées de conservation adaptées.
• Créer et actualiser le registre des traitements lorsque requis.
• Informer les personnes et leur expliquer comment exercer leurs droits.
• Vérifier la politique de confidentialité et les formulaires du site.
• Contrôler les cookies et les mécanismes de consentement.
• Sécuriser les accès, les appareils, les documents et les sauvegardes.
• Vérifier les contrats avec les prestataires qui traitent des données.
• Prévoir une procédure de gestion des violations de données.
• Sensibiliser les personnes qui manipulent des données personnelles.

12. Questions fréquentes sur le RGPD

Les ressources officielles pour aller plus loin

• CNIL : les ressources RGPD pour les TPE et PME
• CNIL : comprendre et construire son registre des traitements
• CNIL : les six grands principes du RGPD
• Service Public Entreprendre : les obligations RGPD

Dernière vérification éditoriale : octobre 2026. Cet article présente des informations générales et ne constitue pas un audit juridique ou une garantie de conformité. Les obligations exactes dépendent des traitements et de la situation de chaque entreprise.