Depuis 2018, la plupart des dirigeants de PME associent le RGPD à deux choses : le bandeau cookies sur leur site et la petite case à cocher du formulaire de contact. La conformité s'arrête souvent là. Pourtant, le règlement (UE) 2016/679 ne parle presque pas de cookies : il organise la manière dont une entreprise collecte, utilise, protège et supprime les données personnelles de ses clients, prospects, salariés et fournisseurs.
Ce décalage n'est pas anodin. Une PME qui gère un fichier clients, une paie, un CRM ou une simple boîte de réception traite des données personnelles au sens de la loi — et engage sa responsabilité. La CNIL contrôle, les clients réclament, et une fuite de données peut coûter bien plus cher qu'une amende : la confiance.
Voici les cinq obligations que les PME françaises continuent de négliger en 2026, non par mauvaise foi, mais parce que personne ne leur a montré la première action concrète. Pour chacune, nous donnons ce premier geste — celui qui vous fait passer de « on verra » à « c'est engagé ».
1. Le registre des traitements : votre inventaire, pas une paperasse
Le registre des traitements (article 30) est la colonne vertébrale de votre conformité. C'est la liste de tout ce que vous faites avec des données personnelles : gestion de la paie, fichier clients, campagnes d'emailing, vidéosurveillance, recrutement… Pour chaque traitement, vous notez la finalité, les catégories de données, qui y accède et combien de temps vous les conservez.
Beaucoup de dirigeants se croient dispensés parce que la loi prévoit un allègement pour les organismes de moins de 250 salariés. En réalité, cette dispense tombe dès que le traitement n'est pas occasionnel — ce qui est le cas d'une paie ou d'un CRM utilisés tous les jours. Autant dire que presque toutes les PME doivent tenir un registre.
Sans lui, vous ne pouvez répondre à aucune des autres obligations : vous ne savez pas quelles données vous détenez, ni où elles se trouvent.
Première action : ouvrez un tableur et listez vos cinq traitements les plus évidents (clients, prospects, salariés, fournisseurs, site web). La CNIL fournit un modèle gratuit. Vous compléterez ensuite.
2. L'information des personnes : dire ce que vous faites de leurs données
Le RGPD impose de dire aux personnes, au moment où vous collectez leurs données, ce que vous en faites (articles 13 et 14) : qui vous êtes, pourquoi vous collectez, combien de temps vous conservez et quels sont leurs droits (accès, rectification, effacement).
En pratique, cela prend la forme d'une politique de confidentialité claire et de mentions courtes sur vos formulaires. L'erreur classique de la PME : un formulaire de contact ou une inscription newsletter sans un mot sur l'usage des données, ou une politique copiée-collée d'un autre site qui mentionne des traitements que vous ne réalisez pas.
Première action : relisez chaque formulaire de votre site et ajoutez une phrase simple sous chacun — pourquoi vous collectez, et un lien vers votre politique de confidentialité.
3. Les contrats avec vos sous-traitants : le DPA que personne ne signe
Dès que vous confiez des données personnelles à un prestataire — hébergeur, outil d'emailing, logiciel de paie, CRM, agence — celui-ci devient votre sous-traitant au sens de l'article 28. La loi exige un contrat écrit encadrant ce qu'il a le droit de faire de vos données : c'est le DPA (Data Processing Agreement).
La plupart des grands outils SaaS proposent ce document, souvent dans leurs conditions ou sur demande. Le problème n'est pas qu'il n'existe pas : c'est que personne, côté PME, ne l'a lu ni conservé. Et un point sensible pour les entreprises françaises : de nombreux prestataires sont américains. Le Cloud Act (2018) permet aux autorités américaines d'accéder aux données détenues par ces fournisseurs, même hébergées en Europe — une tension directe avec le RGPD (cf. arrêt Schrems II).
Première action : listez vos prestataires qui manipulent des données (reprenez votre registre) et, pour chacun, retrouvez puis archivez son DPA. Repérez ceux qui sont hors UE.
4. Les violations de données : la règle des 72 heures
Une violation de données, ce n'est pas seulement une cyberattaque spectaculaire. C'est aussi un ordinateur portable volé, un email envoyé à la mauvaise liste, une base exposée par erreur, un accès non autorisé. Le RGPD (article 33) impose de notifier la CNIL sous 72 heures dès lors que la violation présente un risque pour les personnes concernées. Si le risque est élevé, vous devez aussi prévenir les personnes elles-mêmes (article 34).
Soixante-douze heures, c'est court — surtout un vendredi soir. La PME qui découvre l'incident sans procédure perd un temps précieux à se demander qui appeler, quoi documenter, comment évaluer le risque. Or le compteur tourne à partir du moment où vous avez connaissance de la violation.
Première action : rédigez une fiche réflexe d'une page — qui alerter en interne, comment consigner les faits (date, nature, volume, personnes concernées) et le lien du téléservice de notification de la CNIL. Rangez-la là où votre équipe la trouvera, même sous stress.
5. Durées de conservation et sécurité : ne pas tout garder « au cas où »
Le RGPD pose deux principes trop souvent ignorés. D'abord la limitation de conservation (article 5) : vous ne gardez les données que le temps nécessaire à leur finalité. Un CV non retenu, un prospect jamais converti, un ancien client parti depuis des années — tout cela doit avoir une durée définie, puis être supprimé ou archivé. Garder « au cas où » n'est pas une base légale.
Ensuite la sécurité (article 32) : vous devez protéger ces données par des mesures adaptées. Cela ne veut pas dire une forteresse, mais des gestes de base :
- des mots de passe robustes et l'authentification à deux facteurs sur vos outils critiques ;
- des accès limités à ceux qui en ont réellement besoin ;
- des sauvegardes régulières et testées ;
- des postes et logiciels tenus à jour ;
- le chiffrement des données sensibles et des appareils mobiles.
Moins vous conservez de données, moins vous avez à protéger — et moins vous exposez en cas de fuite.
Première action : choisissez un seul type de donnée (par exemple les candidatures reçues), fixez-lui une durée de conservation écrite avec une date de purge, puis activez l'authentification à deux facteurs sur votre messagerie.
Votre plan d'action
Vous n'avez pas besoin d'un cabinet juridique pour démarrer. Voici une progression réaliste, à mener sur quelques semaines :
- Ouvrez votre registre des traitements et listez vos cinq traitements principaux (modèle CNIL gratuit).
- Passez en revue chaque formulaire de votre site et ajoutez une mention d'information claire.
- Recensez vos prestataires qui manipulent des données et archivez leur DPA ; signalez ceux hors UE.
- Rédigez votre fiche réflexe « violation de données » avec le lien de notification CNIL et la règle des 72 heures.
- Fixez une durée de conservation écrite pour au moins un type de donnée, avec une date de purge.
- Activez l'authentification à deux facteurs sur votre messagerie et vos outils critiques.
- Désignez une personne responsable du suivi RGPD, même sans être DPO officiel.
- Planifiez une relecture de l'ensemble tous les six mois : la conformité est un entretien, pas un projet ponctuel.
Comment Sedona peut aider
La conformité RGPD est d'abord un travail d'organisation, et les cinq points ci-dessus sont à votre portée. Là où nous intervenons, c'est sur le volet sécurité de l'article 32 : savoir ce que votre entreprise expose réellement sur Internet. Sedona Radar analyse votre surface d'attaque externe (ports ouverts, configuration email SPF/DKIM/DMARC, certificats TLS, sous-domaines oubliés, vulnérabilités connues) et vous restitue un score de conformité indicatif — un point de départ objectif, pas une certification. Pour aller plus loin, un audit OSINT, mené à partir d'informations publiques et avec votre accord écrit, révèle ce qu'un attaquant verrait de vous ; nos ressources gratuites et notre veille cyber complètent le tableau. Vous pouvez lancer un premier scan Découverte gratuit sur /radar, parcourir nos guides sur /ressources, ou nous écrire via /contact pour en parler simplement.
