Guide pratique pour réussir la mise en conformité RGPD avec Mon Expert

La mise en conformité RGPD n’est plus une option depuis le 25 mai 2018, et pourtant des milliers de PME françaises découvrent encore aujourd’hui qu’elles sont considérées comme sous-traitant au sens du règlement européen. Cette prise de conscience arrive souvent à l’occasion d’un appel d’offres, d’un audit client ou d’une simple question posée par un partenaire commercial. La réalité est brutale : traiter des données personnelles pour le compte d’un tiers, même de manière ponctuelle, déclenche des obligations précises et documentées.

Face à un texte de 99 articles et 173 considérants, les dirigeants de PME industrielles ou de services se sentent démunis. Pas de juriste dédié, pas de budget conformité, et pourtant une exposition réelle à des sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Mon Expert propose une méthode structurée pour transformer cette contrainte réglementaire en processus opérationnel maîtrisé, avec des livrables concrets à chaque étape.

• Le RGPD s’applique à toutes les PME, sans exception liée à la taille de l’entreprise.
• La sous-traitance déclenche des obligations spécifiques : contrat DPA, registre, mesures de sécurité.
• Sept étapes structurantes permettent de passer de l’intention à l’action en trois à six mois.
• Le DPO externalisé représente une solution économique pour les structures sans ressource juridique interne.
• Le coût de la non-conformité dépasse largement l’investissement nécessaire à une mise en conformité structurée.

Qu’est-ce que le RGPD impose réellement à une PME sous-traitante ?

Une entreprise devient sous-traitant au sens du RGPD dès qu’elle traite des données personnelles pour le compte d’un client, même sans accès direct aux fichiers finaux. C’est le cas d’un prestataire de paie, d’un hébergeur informatique, d’une agence marketing ou d’un intégrateur logiciel. L’article 28 du règlement impose alors la signature d’un contrat spécifique encadrant les obligations de chaque partie.

Ce statut ne dispense en rien des obligations générales de protection des données. Le sous-traitant doit tenir un registre de ses traitements, sécuriser les informations qui lui sont confiées et signaler toute violation à son client dans les meilleurs délais. Une PME industrielle qui gère les données RH de ses clients via un logiciel SaaS, par exemple, doit être en mesure de prouver sa conformité à tout moment.

Le principe d’accountability, posé par l’article 24, change la logique de la démarche. Il ne suffit plus d’être conforme, il faut pouvoir le démontrer avec des documents datés et actualisés. Cette exigence de traçabilité constitue souvent le point aveugle des PME qui pensent avoir traité le sujet en rédigeant une simple politique de confidentialité.

Action concrète : vérifiez dès aujourd’hui dans vos contrats clients si une clause de sous-traitance RGPD existe déjà, et identifiez les traitements concernés.

Suis-je obligé de signer un DPA avec mes sous-traitants et mes clients ?

Oui, sans aucune atténuation possible. L’article 28 du RGPD rend obligatoire la conclusion d’un Data Processing Agreement dès qu’un traitement de données personnelles est confié à un tiers. Ce document doit préciser la durée du traitement, sa finalité, les catégories de données concernées, les mesures de sécurité et les modalités de restitution ou de suppression des données en fin de contrat.

Prenons l’exemple d’une PME de services qui externalise sa relation client à un centre d’appels. Sans DPA signé, l’entreprise donneuse d’ordre reste responsable en cas d’incident, mais le sous-traitant l’est également. La CNIL a d’ailleurs multiplié les rappels sur ce point précis, l’absence de contrat de sous-traitance figurant parmi les manquements les plus fréquemment relevés lors des contrôles.

Le guide méthodologique publié par la CNIL détaille précisément les clauses attendues dans ce type de contrat. Il convient également de vérifier que vos propres sous-traitants disposent de garanties suffisantes, notamment lorsqu’ils font eux-mêmes appel à des sous-sous-traitants situés hors Union européenne.

Action concrète : dressez la liste de tous vos prestataires IT et vérifiez que chacun dispose d’un DPA signé et à jour.

Comment cartographier mes traitements de données personnelles ?

La cartographie constitue le socle de toute démarche de mise en conformité. Sans inventaire précis, aucune priorisation n’est possible. Il faut recenser chaque traitement effectué par l’entreprise : gestion RH, facturation, relation client, vidéosurveillance, prospection commerciale.

Pour chaque traitement identifié, six informations doivent être documentées : la finalité, les catégories de données, les personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité associées. Cette liste constitue la base du registre des traitements exigé par l’article 30 du règlement.

Une PME industrielle de cinquante salariés peut ainsi découvrir qu’elle gère une quinzaine de traitements distincts, du fichier fournisseurs à la badgeuse d’accès aux ateliers. Le guide de sensibilisation publié par la CNIL et Bpifrance propose des modèles de registre directement exploitables pour ce travail d’inventaire.

Cette étape prend souvent plus de temps que prévu, car elle implique d’interroger chaque service de l’entreprise. Un logiciel de conformité permet d’automatiser une partie de cette collecte et de générer le registre en continu, sans ressaisie manuelle.

Action concrète : organisez un entretien avec chaque responsable de service pour lister les fichiers contenant des données personnelles dans son périmètre.

Quelle base légale choisir pour chaque traitement de données ?

Le règlement général prévoit six bases légales possibles : le consentement, l’exécution d’un contrat, l’obligation légale, la sauvegarde des intérêts vitaux, l’intérêt public et l’intérêt légitime. Chaque traitement doit reposer sur une seule de ces bases, clairement identifiée et documentée dans le registre.

Dans la pratique d’une PME, quatre bases légales couvrent la grande majorité des situations. L’exécution d’un contrat justifie la collecte des données nécessaires à la livraison d’un produit ou d’un service. L’obligation légale s’applique aux données comptables et fiscales, dont la durée de conservation est fixée par le Code de commerce.

Le consentement reste incontournable pour la prospection commerciale par email et pour les cookies non essentiels déposés sur un site web. L’intérêt légitime, enfin, peut justifier certaines mesures de sécurité ou de prévention de la fraude, à condition qu’un test de mise en balance des intérêts soit réalisé et documenté.

Base légale	Exemple concret en PME	Durée de conservation type
Exécution d’un contrat	Données client pour livraison	Durée de la relation + 3 ans
Obligation légale	Factures, données comptables	10 ans
Consentement	Newsletter commerciale	Jusqu’au retrait du consentement
Intérêt légitime	Vidéosurveillance des locaux	1 mois en général

Action concrète : associez une base légale unique à chaque ligne de votre registre des traitements, sans en laisser aucune sans justification.

Comment informer correctement mes clients et mes salariés ?

L’article 13 du RGPD impose une information claire, complète et accessible dès la collecte des données. Cette obligation ne se limite pas à une politique de confidentialité publiée sur un site web, contrairement à une idée répandue chez de nombreux dirigeants de PME.

L’information doit apparaître sur chaque point de collecte : formulaire de contact, contrat de travail, bon de commande, badge d’accès. Elle doit préciser l’identité du responsable de traitement, la finalité poursuivie, la base légale retenue, les destinataires des données et les droits dont dispose la personne concernée.

Une entreprise industrielle qui collecte des données biométriques pour le contrôle d’accès à ses ateliers doit informer ses salariés de façon spécifique, ce traitement étant considéré comme sensible. Le retour d’expérience d’avocats spécialisés en protection des données montre que ce point précis fait partie des sujets les plus souvent négligés lors des contrôles.

Action concrète : listez tous vos points de collecte de données et vérifiez qu’une mention d’information conforme y figure réellement.

Quelles mesures de sécurité informatique sont réellement obligatoires ?

L’article 32 du RGPD exige des mesures techniques et organisationnelles adaptées au niveau de risque du traitement. Il n’existe pas de liste unique universelle, mais certaines mesures sont désormais considérées comme un socle minimal pour toute PME.

Le chiffrement des données sensibles, la gestion différenciée des droits d’accès selon les fonctions, la mise à jour régulière des systèmes et la sauvegarde testée périodiquement constituent la base de toute démarche de sécurité informatique. La sensibilisation des collaborateurs aux risques de phishing complète ce dispositif technique.

Une PME de services qui a subi une attaque par rançongiciel témoigne de l’importance de ces mesures : sans sauvegarde testée, la restauration des données aurait pris plusieurs semaines et paralysé l’activité commerciale. Ce type d’incident illustre le lien direct entre sécurité informatique et continuité d’activité.

Une procédure de gestion des violations de données doit également être formalisée en amont, car le délai de notification à la CNIL en cas d’incident est fixé à 72 heures par le règlement. Improviser cette procédure au moment de la crise multiplie les risques d’erreur et de retard.

Action concrète : testez dès ce mois-ci la restauration d’une sauvegarde et vérifiez le niveau d’accès de chaque collaborateur à vos systèmes d’information.

Dois-je désigner un délégué à la protection des données ?

La désignation d’un DPO est obligatoire dans trois cas précis fixés par l’article 37 : les organismes publics, les traitements à grande échelle de données sensibles, et le suivi systématique et régulier de personnes à grande échelle. En dehors de ces situations, la désignation reste facultative mais fortement recommandée.

Pour une PME industrielle sans juriste interne, recruter un DPO à temps plein représente rarement un choix économique cohérent. Le recours à un DPO externalisé permet de bénéficier d’une expertise juridique et technique sans supporter le coût d’un poste dédié. Cette solution s’appuie généralement sur un accompagnement mensuel structuré autour d’un plan d’action et d’indicateurs de suivi.

Le guide détaillé sur l’externalisation du DPO souligne l’importance de choisir un prestataire capable de piloter réellement le projet, et non simplement de produire des documents types. Le choix du bon logiciel de suivi de conformité conditionne largement l’efficacité de cet accompagnement, en centralisant registre, contrats et procédures dans un même outil.

Action concrète : évaluez si votre activité entre dans un des trois cas de désignation obligatoire, et sollicitez un devis auprès d’un DPO externalisé pour comparer les formules.

Quelles sont les erreurs qui coûtent le plus cher aux PME ?

Certaines erreurs reviennent systématiquement dans les dossiers traités par la CNIL. La première consiste à limiter la démarche à la rédaction d’une politique de confidentialité, sans traiter les traitements RH, comptables ou commerciaux qui représentent l’essentiel du risque réel.

La deuxième erreur fréquente concerne l’absence de durée de conservation définie. Conserver des données sans limite constitue une violation directe du principe de minimisation posé par l’article 5 du règlement, même en l’absence de tout incident de sécurité. La troisième erreur, déjà évoquée, porte sur l’absence de contrat avec les sous-traitants.

1. Se limiter au site web sans traiter les données internes de l’entreprise.
2. Négliger la signature des contrats de sous-traitance.
3. Omettre de fixer une durée de conservation pour chaque traitement.
4. Considérer la conformité comme un projet ponctuel plutôt qu’un processus continu.
5. Reporter la démarche en pensant que le risque de contrôle est faible.

Le guide pratique dédié aux PME insiste particulièrement sur ce dernier point : les plaintes de particuliers auprès de la CNIL se multiplient, et le risque de contrôle existe dès aujourd’hui, indépendamment de la taille de l’entreprise.

Action concrète : reprenez votre registre des traitements et ajoutez une colonne durée de conservation pour chaque ligne, même approximative dans un premier temps.

Quel budget prévoir pour une mise en conformité structurée ?

Le coût d’une démarche de conformité légale varie selon la taille de l’entreprise et le nombre de traitements identifiés. Un audit initial représente généralement un investissement compris entre 2 000 et 10 000 euros selon la complexité du périmètre à couvrir.

L’accompagnement par un DPO externalisé s’échelonne le plus souvent entre 300 et 1 500 euros par mois, tandis qu’un logiciel de suivi de la conformité coûte entre 50 et 500 euros mensuels selon les fonctionnalités proposées. La formation des équipes vient compléter ce budget, avec un coût moyen de 500 à 2 000 euros selon le format retenu.

Ce montant doit être mis en perspective avec le coût potentiel d’une sanction ou d’un incident de sécurité. La procédure simplifiée de la CNIL permet désormais de prononcer des amendes jusqu’à 20 000 euros directement applicables aux petites structures, sans même évoquer les plafonds maximaux du règlement.

Pour une PME de taille moyenne, comptez entre trois et six mois pour poser les fondamentaux : registre, mentions d’information, contrats de sous-traitance, procédures de droits et mesures de sécurité. La conformité complète devient ensuite un processus continu d’entretien et d’amélioration, comparable à la maintenance d’un système qualité.

Action concrète : demandez trois devis comparatifs pour un audit initial afin de cadrer précisément le budget nécessaire à votre situation.

Une PME de moins de 250 salariés est-elle exemptée du RGPD ?

Non, le règlement s’applique à toutes les organisations sans exception de taille. Le seuil de 250 salariés cité à l’article 30(5) ne concerne qu’une dérogation partielle sur la tenue du registre, inapplicable dès que l’entreprise réalise des traitements non occasionnels, ce qui concerne la quasi-totalité des PME.

Par où commencer quand aucune démarche n’a encore été engagée ?

La cartographie des traitements reste toujours la première étape. Sans inventaire précis des flux de données personnelles, aucune priorisation ni registre fiable n’est possible.

Un DPA suffit-il pour être en conformité en tant que sous-traitant ?

Non, le contrat de sous-traitance n’est qu’une pièce du dispositif. Il doit s’accompagner d’un registre des traitements, de mesures de sécurité documentées et d’une procédure de gestion des violations de données.

Combien de temps prend une mise en conformité RGPD complète ?

Pour une PME de taille moyenne, les fondamentaux se mettent en place en trois à six mois. La conformité devient ensuite un processus continu de vérification et d’ajustement face aux évolutions de l’activité.

Un DPO externalisé remplace-t-il un audit RGPD ?

Non, l’audit initial permet d’identifier les écarts existants tandis que le DPO externalisé pilote ensuite la mise en œuvre des actions correctives et assure la veille réglementaire dans la durée.