Guide complet pour réussir chaque étape de la mise en conformité au RGPD

Vous venez de découvrir une clause dans un contrat client mentionnant que votre entreprise agit comme sous-traitant au sens du RGPD. Cette qualification juridique change concrètement votre quotidien : elle impose des obligations documentaires, contractuelles et techniques précises, avec des sanctions qui peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. La bonne nouvelle, c’est que cette mise en conformité suit une méthode balisée, applicable même sans juriste interne ni budget dédié. Ce guide détaille chaque étape à réaliser, dans l’ordre, avec des exemples tirés du quotidien d’une PME industrielle ou de services.

En bref :

• Le RGPD s’applique à toute organisation traitant des données personnelles, sans exemption liée à la taille de l’entreprise
• La cartographie des traitements constitue le point de départ obligatoire de toute démarche de mise en conformité
• Un audit RGPD structuré permet d’identifier les écarts et de prioriser les actions correctrices
• La désignation d’un responsable de la protection des données est obligatoire dans certains cas, recommandée dans tous les autres
• Les contrats avec les sous-traitants (DPA) et la sécurisation des systèmes figurent parmi les chantiers les plus souvent négligés
• Une PME de taille moyenne peut atteindre les fondamentaux de conformité en 3 à 6 mois

Qu’est-ce que la mise en conformité RGPD implique concrètement ?

La mise en conformité RGPD regroupe l’ensemble des actions permettant à votre organisation de respecter le Règlement Général sur la Protection des Données, entré en application le 25 mai 2018. Ce texte de 99 articles encadre la collecte, le stockage et l’utilisation de toute information relative à une personne physique identifiable. Aucune dérogation n’existe pour les PME : une entreprise de 15 salariés qui gère une base clients est soumise aux mêmes obligations qu’un grand groupe.

Concrètement, cela signifie documenter vos traitements, sécuriser vos systèmes, informer les personnes concernées et être capable de prouver votre conformité à tout moment. C’est le principe d’accountability posé par l’article 24 du règlement. Un contrôle de la CNIL peut survenir sans préavis et mobiliser vos équipes pendant plusieurs semaines si votre documentation n’est pas prête.

Action à mener : listez dès maintenant tous les flux de données personnelles gérés par votre entreprise, du fichier clients aux dossiers RH.

Par où commencer quand on découvre son statut de sous-traitant ?

La première étape consiste toujours à cartographier vos traitements de données. Sans cet inventaire, impossible de prioriser les chantiers à venir. Pour chaque traitement, vous devez identifier la finalité, les catégories de données concernées, les personnes visées, les destinataires et la durée de conservation.

Prenons l’exemple d’une PME industrielle qui gère la maintenance des équipements de ses clients. Elle collecte des noms, des adresses de sites et parfois des données de connexion à distance. Chacun de ces éléments doit figurer dans un registre des traitements, obligation formelle prévue par l’article 30 du RGPD. Ce document constitue la colonne vertébrale de toute votre démarche.

Le seuil de 250 salariés cité dans le règlement ne dispense pas automatiquement les petites structures de tenir ce registre. Cette dérogation ne s’applique que si vos traitements restent occasionnels, ce qui n’est presque jamais le cas dans une activité commerciale régulière. Pour approfondir cette obligation documentaire, la ressource sur le registre des traitements et les exigences de la CNIL détaille précisément le contenu attendu.

Action à mener : créez votre registre des traitements cette semaine, même sous forme de tableau Excel simple.

Comment réaliser un audit RGPD sans expertise juridique interne ?

Un audit RGPD approfondi examine la licéité de vos traitements, la proportionnalité des données collectées et le niveau de sécurité de vos systèmes. Cette démarche s’appuie généralement sur l’analyse de vos documents existants et des entretiens avec les équipes métiers concernées. Un DAF n’a pas besoin d’être juriste pour piloter cet audit, mais un accompagnement externe reste souvent nécessaire pour les points techniques.

L’audit doit vérifier plusieurs éléments essentiels : l’existence de vos registres, les modalités d’information des personnes concernées, et la robustesse des mesures de sécurité appliquées à vos bases de données. Ces analyses débouchent sur une cartographie précise qui sert de référence pour tout le reste du projet.

Étape	Durée estimée	Livrable attendu
Audit et diagnostic	2 à 4 semaines	Cartographie des traitements
Plan d’actions et validation	1 à 2 mois	Feuille de route priorisée
Mise en œuvre opérationnelle	3 à 6 mois	Registres, DPA, procédures

Certains prestataires spécialisés dans le domaine, comme le montre le guide détaillé sur la mise en conformité RGPD par étapes, proposent des formules d’audit adaptées aux structures sans juriste interne.

Action à mener : planifiez un audit initial dans les 30 jours, même limité aux traitements les plus sensibles de votre activité.

Suis-je obligé de signer un contrat de sous-traitance avec chaque prestataire ?

Oui, sans exception. Tout prestataire qui traite des données personnelles pour votre compte est un sous-traitant au sens du RGPD, et l’article 28 impose la conclusion d’un contrat spécifique appelé DPA (Data Processing Agreement). Ce document couvre les obligations de chaque partie, les mesures de sécurité mises en œuvre et le sort des données à la fin de la relation contractuelle.

Imaginez une PME de services qui utilise un outil SaaS de facturation, un hébergeur cloud et un prestataire de paie externalisé. Chacun de ces trois acteurs doit disposer d’un DPA signé et à jour. L’absence de ce contrat figure parmi les manquements les plus fréquemment relevés lors des contrôles de la CNIL.

Votre messagerie professionnelle entre aussi dans ce périmètre, car elle héberge quotidiennement des données personnelles sensibles. La page sur les règles RGPD applicables à votre messagerie professionnelle détaille les précautions à prendre sur ce point souvent négligé.

Action à mener : listez tous vos prestataires IT et vérifiez sans délai l’existence d’un DPA signé pour chacun.

Quelles mesures de sécurité sont réellement obligatoires ?

L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au niveau de risque de vos traitements. Cette obligation n’est pas théorique : elle conditionne directement votre capacité à limiter l’impact d’une fuite de données. Pour une PME, plusieurs actions restent prioritaires et accessibles sans investissement majeur.

• Chiffrer les données sensibles, qu’elles soient stockées ou en transit
• Limiter les accès selon le principe du besoin d’en connaître
• Mettre à jour régulièrement les systèmes et logiciels utilisés
• Tester périodiquement la restauration des sauvegardes
• Former les collaborateurs aux risques de phishing et à la gestion des mots de passe

Vos formulaires web méritent une attention particulière, car ils constituent souvent le premier point de collecte de données personnelles. Certains formulaires de contact demandent encore des informations disproportionnées par rapport à leur finalité réelle. La ressource dédiée aux exigences RGPD applicables aux formulaires web propose une grille de vérification utile pour ce diagnostic.

Action à mener : auditez vos trois formulaires web les plus utilisés et supprimez les champs de collecte non indispensables.

Faut-il désigner un DPO même pour une petite structure ?

La désignation d’un délégué à la protection des données devient obligatoire dans les cas prévus par l’article 37 : organismes publics, traitements à grande échelle de données sensibles, ou suivi systématique de personnes. En dehors de ces situations, la désignation reste facultative, mais elle est fortement recommandée dès que vos traitements dépassent la simple gestion administrative courante.

Le rôle de ce professionnel dépasse la simple conformité documentaire. Il supervise le déroulement des actions, anime la sensibilisation des équipes et devient l’interlocuteur privilégié en cas de contrôle. Une PME industrielle qui gère des données de géolocalisation sur ses véhicules de service, par exemple, a tout intérêt à structurer cette fonction rapidement.

Les structures de taille réduite peuvent opter pour un responsable de la protection des données externalisé, mutualisé entre plusieurs entreprises. Cette solution coûte généralement entre 300 et 1 500 euros par mois selon le périmètre couvert, un montant à mettre en regard du coût potentiel d’une sanction.

Action à mener : évaluez si vos traitements relèvent d’un cas de désignation obligatoire, sinon envisagez un accompagnement externalisé sur devis.

Comment organiser le respect des droits des personnes concernées ?

Le RGPD confère aux personnes physiques un ensemble de droits précis : accès, rectification, effacement, portabilité et opposition. Vous devez traiter chaque demande dans un délai d’un mois, sans exception possible en l’absence de justification valable. Ce délai court dès la réception de la demande, quel que soit le canal utilisé.

En pratique, une PME doit désigner un interlocuteur clairement identifié et créer un canal de réception dédié, comme une adresse email spécifique. Sans procédure formalisée, une simple demande d’un ancien salarié souhaitant faire supprimer ses données peut rapidement devenir source de tension interne, faute de savoir qui doit répondre et comment.

Le consentement mérite une attention particulière, notamment pour la prospection commerciale par email. Une base de données constituée sans preuve de consentement valable expose l’entreprise à des sanctions même si les données ont été collectées de bonne foi. La documentation de ce consentement, avec horodatage et contexte de collecte, doit être conservée aussi longtemps que le traitement perdure.

Action à mener : créez une adresse email dédiée aux demandes RGPD et rédigez une procédure interne d’une page maximum.

Que se passe-t-il en cas de violation de données ?

La notification des violations de données constitue l’une des obligations les moins connues des PME, alors qu’elle figure parmi les plus contraignantes en termes de délai. Dès qu’une violation présente un risque pour les droits des personnes, vous devez la notifier à la CNIL dans un délai de 72 heures après en avoir eu connaissance. Ce délai s’applique même les week-ends et jours fériés.

Concrètement, une violation peut prendre plusieurs formes : un email envoyé au mauvais destinataire contenant des données bancaires, un vol d’ordinateur portable non chiffré, ou une intrusion dans votre système d’information. Chaque incident doit être documenté dans un registre des violations, même lorsque la notification à la CNIL n’est pas jugée nécessaire.

Sans procédure préétablie, ce délai de 72 heures devient très difficile à respecter. Une PME qui a anticipé cette situation gagne un temps précieux : identification rapide du périmètre touché, évaluation du risque, notification si nécessaire, et communication aux personnes concernées lorsque le risque est élevé. Pour structurer cette réponse, le guide pratique sur la mise en conformité RGPD propose une trame de procédure applicable directement en entreprise.

Action à mener : rédigez dès maintenant une procédure interne décrivant qui alerter et dans quel ordre en cas de suspicion de fuite de données.

Quel budget prévoir pour une mise en conformité complète ?

Le coût d’une mise en conformité varie selon la taille de votre entreprise et le nombre de traitements identifiés. Un audit initial coûte généralement entre 2 000 et 10 000 euros selon la complexité de votre activité. Un logiciel de conformité dédié représente un investissement mensuel de 50 à 500 euros, un montant qui reste marginal comparé au risque financier encouru en cas de contrôle.

La formation des collaborateurs, souvent négligée dans les budgets initiaux, coûte entre 500 et 2 000 euros selon le format retenu. Pourtant, cette étape conditionne directement l’efficacité de toutes les mesures techniques mises en place. Un employé mal formé qui clique sur un lien de phishing peut annuler des mois d’efforts en matière de sécurité.

Pour les entreprises souhaitant aller plus loin dans la démonstration de leur accountability, la norme ISO 27701 offre un cadre certifiable de gestion de la vie privée, adossé à l’ISO 27001. Cette certification reste toutefois réservée aux organisations les plus matures sur le sujet, souvent après plusieurs années de mise en conformité active.

Action à mener : demandez trois devis d’audit RGPD cette semaine pour comparer les périmètres proposés et calibrer votre budget réel.

Une PME de moins de 250 salariés est-elle exemptée du RGPD ?

Non, aucune exemption n’existe selon la taille de l’entreprise. Le seuil de 250 salariés mentionné à l’article 30 ne concerne qu’une dérogation partielle à la tenue du registre, inapplicable dès lors que les traitements ne sont pas occasionnels, ce qui est le cas de la quasi-totalité des PME.

Combien de temps prend une mise en conformité RGPD complète ?

Pour une PME de taille moyenne, comptez entre 3 et 6 mois pour établir les fondamentaux : registre, mentions d’information, DPA avec les sous-traitants, procédures de droits et mesures de sécurité. La conformité devient ensuite un processus continu de maintien et d’ajustement.

Faut-il obligatoirement désigner un DPO dans une PME ?

La désignation est obligatoire uniquement dans les cas prévus par l’article 37 du RGPD, comme le suivi systématique de personnes à grande échelle. Pour les autres structures, elle reste facultative mais recommandée, notamment via un DPO externalisé à coût maîtrisé.

Que risque une entreprise qui néglige les contrats avec ses sous-traitants ?

L’absence de DPA constitue l’un des manquements les plus fréquemment sanctionnés par la CNIL. L’entreprise responsable du traitement reste juridiquement exposée même si l’incident provient directement du prestataire technique.

Par quelle action commencer si rien n’a encore été mis en place ?

La cartographie des traitements de données personnelles reste toujours le point de départ, quelle que soit la taille de l’entreprise. Sans cet inventaire initial, aucune priorisation des actions correctrices n’est possible.