Un plombier qui note le nom, l'adresse et le téléphone de ses clients dans un carnet ou un logiciel de devis traite des données personnelles. Une esthéticienne qui gère un fichier de rendez-vous, un menuisier qui envoie une newsletter, un auto-entrepreneur qui conserve les CV reçus : tous entrent dans le champ du Règlement général sur la protection des données (RGPD), applicable depuis le 25 mai 2018. Le texte ne prévoit aucune exemption liée à la taille : l'obligation de documenter ses traitements « concerne tous les organismes, publics comme privés et quelle que soit leur taille, dès lors qu'ils traitent des données personnelles » [1]. La bonne nouvelle, c'est que la charge réelle pour une TPE de 0 à 10 salariés se résume à une poignée d'actions concrètes, réalisables en quelques heures, et non au dispositif lourd imaginé par beaucoup de dirigeants.
Le registre des traitements : le socle, allégé pour les moins de 250 salariés
Le registre des activités de traitement est prévu par l'article 30 du RGPD : il recense, traitement par traitement, la finalité, les catégories de données, les personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité [1]. Les entreprises de moins de 250 salariés bénéficient d'une dérogation partielle, mais celle-ci est limitée : restent obligatoirement inscrits les traitements non occasionnels — donc la gestion clients, la facturation, la paie, la prospection —, ceux qui portent sur des données sensibles et ceux susceptibles de comporter un risque pour les droits des personnes [1]. En pratique, un artisan ou une TPE de services ne peut pratiquement jamais s'en dispenser, puisque son fichier clients est par définition un traitement régulier.
Pour une entreprise artisanale type, le registre tient sur une à trois pages et couvre en général cinq à sept traitements : devis et clients, facturation et comptabilité, prospection commerciale, gestion du personnel et paie, candidatures, vidéosurveillance de l'atelier le cas échéant, et gestion du site internet. La CNIL met à disposition un modèle gratuit au format tableur, régulièrement actualisé, conçu pour les structures modestes [1]. Le document n'est pas à envoyer à la CNIL : il doit simplement être tenu à jour et présenté en cas de contrôle. Une relecture annuelle, par exemple au moment du bilan comptable, suffit dans la majorité des cas.
Durées de conservation et minimisation : les erreurs les plus fréquentes
Le réflexe de conserver « tout, au cas où » est le manquement le plus courant dans les petites structures. Le RGPD impose de ne collecter que les données nécessaires et de fixer une durée de conservation par finalité. Concrètement, les pièces comptables et factures relèvent d'une conservation de 10 ans au titre du code de commerce, les documents liés aux salariés suivent des durées propres (bulletins de paie conservés 5 ans par l'employeur), et un prospect qui n'a jamais donné suite n'a pas vocation à rester indéfiniment dans un fichier de relance — la doctrine de la CNIL retient une durée de référence de 3 ans après le dernier contact pour la prospection commerciale.
- Ne pas demander de date de naissance, de numéro de sécurité sociale ou de copie de pièce d'identité quand un nom, un e-mail et une adresse de chantier suffisent
- Supprimer ou archiver les devis non signés selon une règle écrite, plutôt que de garder dix ans de boîte mail
- Éviter les commentaires libres subjectifs dans les fiches clients d'un logiciel de gestion : ils sont communicables à la personne si elle exerce son droit d'accès
- Ne jamais stocker de coordonnées bancaires complètes en clair dans un tableur partagé
- Séparer les accès : chaque salarié dispose de son compte nominatif, pas d'un mot de passe commun à l'entreprise
Informer les clients : mentions, site internet et cookies
L'information des personnes est la deuxième obligation structurante. Elle passe par une mention courte sur les formulaires de contact, les devis et les documents de prise de rendez-vous, indiquant qui est responsable du traitement, à quoi servent les données, combien de temps elles sont conservées et comment exercer ses droits (accès, rectification, effacement, opposition). Une réclamation peut être adressée à la CNIL. Ces mentions relèvent d'une page « politique de confidentialité » sur le site vitrine, distincte des mentions légales obligatoires au titre de la LCEN (identité de l'entreprise, SIREN, hébergeur, contact) [2].
Côté site web, trois points concentrent les risques pour une TPE. D'abord les cookies et traceurs : un site vitrine qui n'utilise qu'une mesure d'audience strictement nécessaire et paramétrée peut se passer de bandeau, alors qu'un site intégrant Google Analytics standard, un pixel de réseau social ou une carte tierce doit recueillir un consentement préalable, libre, avec un refus aussi simple que l'acceptation. Ensuite le formulaire de contact, qui ne doit pas préchocher une case d'inscription à la newsletter : la prospection par e-mail vers des particuliers exige un consentement explicite, distinct de la demande de devis. Enfin le chiffrement : un formulaire transmis via une page non sécurisée (absence de HTTPS) constitue un défaut de sécurité au sens de l'article 32.
Sous-traitants, sécurité et violation de données en 72 heures
Une TPE délègue presque toujours une partie de ses traitements : expert-comptable, logiciel de devis en ligne, plateforme de prise de rendez-vous, hébergeur, prestataire de paie, agence web. Ces acteurs sont des sous-traitants au sens du RGPD, et le contrat qui les lie à l'entreprise doit comporter des clauses de protection des données. En pratique, il s'agit de vérifier que le prestataire publie un « accord de traitement des données » (DPA), de savoir où sont hébergées les données et de conserver la liste de ces partenaires dans le registre.
En cas d'incident — vol d'ordinateur portable, rançongiciel, boîte mail piratée, fichier clients envoyé au mauvais destinataire —, le responsable de traitement doit notifier la CNIL dans les 72 heures lorsque la violation est susceptible d'engendrer un risque pour les personnes concernées, et informer directement les clients si le risque est élevé [3]. Ce délai court est la principale source de mauvaise surprise pour les petites structures : le défaut de notification est en lui-même un manquement, indépendamment de la faille initiale. Tenir une fiche réflexe (qui appelle qui, quelles preuves conserver, quels comptes réinitialiser) coûte une demi-heure et évite la panique.
Quel risque réel de sanction pour une petite entreprise ?
Les plafonds du RGPD sont dissuasifs sur le papier : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements dits techniques, comme l'absence de registre ou une notification tardive, et jusqu'à 20 millions d'euros ou 4 % pour les atteintes aux droits des personnes, au consentement ou aux transferts internationaux [2]. Ces montants visent évidemment les grands groupes. Pour une TPE, le risque concret est autre : la CNIL traite chaque année des milliers de plaintes individuelles, et un ancien salarié, un client mécontent ou un prospect harcelé par des e-mails peut déclencher un contrôle. La sanction prend alors le plus souvent la forme d'une mise en demeure de se mettre en conformité sous un délai donné, avant toute amende, et le montant retenu tient compte de la taille et des moyens de l'entreprise [3].
Le calendrier de mise en conformité d'un artisan tient donc en quatre demi-journées : inventorier ses fichiers et remplir le modèle de registre de la CNIL, écrire les durées de conservation et faire le ménage dans les anciens fichiers, ajouter une politique de confidentialité et vérifier les cookies du site, puis sécuriser les accès (mots de passe distincts, sauvegarde chiffrée, double authentification sur la messagerie professionnelle). La désignation d'un délégué à la protection des données (DPO) n'est en revanche pas obligatoire pour une petite entreprise dont l'activité de base ne consiste pas en un suivi systématique à grande échelle ou en un traitement de données sensibles : une profession de santé ou un prestataire de sécurité doit y regarder de près, un couvreur ou un graphiste indépendant, non.
Point pratique souvent ignoré : le droit d'accès s'exerce gratuitement et l'entreprise dispose d'un délai d'un mois pour répondre, extensible à trois mois pour les demandes complexes. Une réponse écrite, même partielle, envoyée dans le délai, désamorce l'essentiel des plaintes déposées auprès de la CNIL.
Questions fréquentes
Un auto-entrepreneur seul est-il concerné par le RGPD ?
Oui. Le RGPD s'applique dès qu'un professionnel enregistre des données personnelles (nom, e-mail, téléphone, adresse de chantier), sans seuil d'effectif ni de chiffre d'affaires. Un auto-entrepreneur doit tenir un registre de ses traitements courants, informer ses clients et sécuriser ses fichiers.
Une TPE doit-elle nommer un DPO ?
Non, dans la grande majorité des cas. La désignation d'un délégué à la protection des données n'est obligatoire que pour les organismes publics, pour un suivi systématique à grande échelle des personnes ou pour un traitement à grande échelle de données sensibles. Un artisan du bâtiment ou un commerçant n'y est pas soumis, mais il reste responsable de sa conformité.
Le registre des traitements doit-il être envoyé à la CNIL ?
Non. Le registre est un document interne, tenu à jour et conservé dans l'entreprise. Il doit être présenté aux agents de la CNIL en cas de contrôle. Un modèle gratuit au format tableur est mis à disposition par la CNIL pour les petites structures.
Faut-il un bandeau cookies sur un simple site vitrine d'artisan ?
Pas systématiquement. Un site qui n'utilise que des cookies strictement nécessaires à son fonctionnement ou une mesure d'audience correctement paramétrée peut s'en passer. Dès qu'un outil tiers est intégré (analytics standard, pixel publicitaire, carte ou vidéo externe), un consentement préalable avec refus aussi simple que l'acceptation devient nécessaire.
Que faire si le fichier clients est piraté ?
La violation doit être notifiée à la CNIL dans les 72 heures si elle présente un risque pour les personnes concernées, et les clients doivent être informés directement en cas de risque élevé. L'incident, ses effets et les mesures prises sont également consignés en interne, même lorsqu'aucune notification n'est requise.
Sources
Photo : Andrea Piacquadio / pexels