Le RGPD s’applique dès le premier client, dès le premier salarié, dès la première adresse e-mail stockée dans un fichier. La taille de la structure ne change rien à l’obligation légale. Et pourtant, selon le baromètre France Num 2024, 98,8 % des TPE-PME ne sont pas en conformité optimale avec le règlement. L’inaction n’est donc pas atypique – mais elle n’est pas non plus sans conséquence.
Ce que « non-conforme » veut dire concrètement pour une TPE
La non-conformité n’est pas une abstraction juridique. Dans une TPE type, elle ressemble à ceci : un fichier clients dans un tableur sans politique d’accès définie, un formulaire de contact sur le site qui collecte des adresses e-mail sans indiquer à quoi elles servent, des cookies Google Analytics qui se déposent dès l’arrivée sur la page sans que le visiteur ait rien accepté, et aucun document interne qui recense ne serait-ce que ces trois situations.
Ce dernier point – le registre des traitements – est l’une des obligations les plus connues et les moins respectées. Selon France Num (novembre 2024), seulement 5 % des TPE-PME disposent d’une documentation RGPD complète, registre inclus. Le baromètre 2025 montre une progression : 41 % tiendraient aujourd’hui un registre conforme. L’écart entre ces deux chiffres s’explique par ce qu’ils mesurent – un registre seul d’un côté, une conformité documentaire complète de l’autre. Dans les deux cas, la majorité des structures ne sont pas au niveau.
Un registre des traitements, c’est simplement un document qui liste ce que vous faites avec les données personnelles que vous détenez : quelles données, pour quel usage, conservées combien de temps, avec qui partagées. Rien de technique – mais sans ce document, vous n’avez aucune visibilité sur votre propre exposition.
Le site web, porte d’entrée des contrôles
Si vous avez un site web avec des formulaires ou des outils d’analyse d’audience, c’est là que le risque est le plus immédiat. Selon France Num, 88 % des sites de TPE-PME ne sont pas conformes sur le consentement cookies et les mentions légales.
Les points de friction les plus fréquents :
- Des traceurs tiers (analytics, publicité, réseaux sociaux) qui se déclenchent avant tout consentement de l’utilisateur
- Un bandeau cookies absent, ou présent mais conçu de façon à rendre le refus plus difficile que l’acceptation
- Des mentions légales incomplètes ou rédigées il y a cinq ans sans jamais être relues
- Une politique de confidentialité inexistante ou copiée-collée sans rapport avec l’activité réelle
Pourquoi le site en premier ? Parce que c’est le point de contact visible depuis l’extérieur. Une plainte d’un client ou d’un concurrent mécontent commence souvent là. La CNIL peut également réaliser des contrôles en ligne sans se déplacer. Un formulaire de contact qui collecte des données sans en informer l’utilisateur, c’est une faille visible à distance.
Deux situations qui changent le niveau d’exposition
Vous n’avez pas de site web, pas de CRM, et votre activité est locale. Le RGPD s’applique toujours – dès que vous conservez le nom et le numéro d’un client dans un carnet ou un fichier. Mais votre surface d’exposition immédiate est nettement plus faible. L’urgence est moindre ; une mise à plat méthodique peut attendre un moment calme.
Vous travaillez en sous-traitance pour un grand groupe. Dans ce cas, la conformité RGPD peut vous être exigée contractuellement par votre donneur d’ordre, indépendamment de toute procédure de la CNIL. Le blocage n’est plus réglementaire – il est commercial. Un client grand compte peut refuser de signer ou de renouveler un contrat si vous ne produisez pas les garanties attendues, notamment sur la façon dont vous traitez ses données ou celles de ses clients. C’est une contrainte opérationnelle, pas une probabilité lointaine.
Le type de données collectées change aussi l’équation. Si votre activité touche à la santé, aux convictions religieuses ou politiques, à des données biométriques – même marginalement – les obligations sont renforcées, quelle que soit la taille de votre structure. Dans ce cas, se faire accompagner ponctuellement par un juriste spécialisé est plus rapide que de naviguer seul.
Par où commencer sans tout refaire
Trois actions concentrent l’essentiel du bénéfice pour une TPE qui part de zéro :
- Votre site web. Vérifiez si des traceurs se déclenchent avant tout consentement (un outil de diagnostic gratuit de la CNIL le détecte en quelques secondes). Assurez-vous qu’un bandeau de consentement est en place et qu’il permet de refuser aussi facilement qu’accepter. Relisez vos mentions légales.
- Un registre des traitements minimaliste. Une page ou un tableau suffit pour commencer : listez les catégories de données que vous détenez (clients, salariés, prospects), l’usage que vous en faites et la durée de conservation approximative. La CNIL propose un modèle téléchargeable et gratuit, adapté aux petites structures.
- Une politique de confidentialité lisible. Elle doit être accessible depuis votre site et expliquer, en français clair, ce que vous collectez et pourquoi. France Num propose des ressources pour rédiger ce type de document sans partir d’une page blanche.
Ces trois actions ne vous mettent pas en conformité complète – elles vous sortent de la zone de risque la plus exposée et vous donnent une base sur laquelle construire. Aucune ne nécessite de budget, seulement quelques heures.
5 points à vérifier en priorité
- Site web – consentement cookies : un bandeau est-il présent ? Le refus est-il aussi accessible que l’acceptation ? Aucun traceur ne se déclenche-t-il avant le choix de l’utilisateur ?
- Mentions légales : sont-elles à jour, complètes, et mentionnent-elles le traitement des données personnelles ?
- Politique de confidentialité : existe-t-elle ? Est-elle accessible depuis chaque page du site ? Décrit-elle réellement ce que vous faites ?
- Registre des traitements : avez-vous un document qui liste vos traitements de données, même sous forme simplifiée ?
- Sous-traitants numériques : avez-vous signé avec votre hébergeur, votre outil e-mail ou votre CRM un contrat ou des clauses qui précisent leur rôle dans le traitement des données ?
Voilà le choix réel : engager maintenant les trois actions décrites ci-dessus, ou accepter consciemment de rester dans la situation actuelle en sachant ce qu’elle implique. L’inaction ne disparaît pas – elle devient une décision documentée, avec ses conséquences potentielles. La plupart des dirigeants qui font le point une première fois réalisent que le plus lourd, c’était de commencer.