Conformité RGPD pour une PME : la liste des obligations, sans jargon

Le problème, expliqué simplement

Le RGPD, c’est une loi qui oblige toute entreprise traitant des données personnelles (noms, emails, coordonnées clients ou salariés) à les protéger. Depuis 2018, les contrôles s’intensifient et les PME sont de plus en plus ciblées. Une faille dans votre gestion des données peut déclencher une sanction, même si vous n’avez pas de service informatique dédié.

• Un cabinet d’avocats envoie une pièce jointe avec les dossiers de 50 clients à un mauvais destinataire parce que deux contacts portaient le même nom.
• Un éditeur de logiciel stocke les mots de passe de ses utilisateurs sans chiffrement dans une base de données accessible à tous les employés.
• Une ESN perd un ordinateur portable contenant des CV de candidats non chiffrés après l’avoir laissé dans une voiture de location.
• Un petit commerçant enregistre les coordonnées de ses clients dans un fichier Excel partagé sur Dropbox sans restriction d’accès.
• Un artisan envoie des devis par SMS sans vérifier le numéro du destinataire.

Dans chaque cas, l’entreprise risque une amende proportionnelle à son chiffre d’affaires. Mais ce qui fait vraiment mal, c’est :

• L’obligation de notifier tous les clients concernés par la fuite (imaginez devoir envoyer 500 emails d’excuses)
• La publicité des sanctions sur le site de la CNIL pendant des années
• La difficulté à obtenir des assurances professionnelles après un incident

Ce que ça coûte si vous ne faites rien

Les conséquences vont bien au-delà de l’amende :

• Perte de confiance des clients (86% des consommateurs fuient après une fuite de données selon une étude KPMG).
• Temps perdu à gérer la crise (moyenne : 6 mois de procédures pour les petites structures).
• Coûts cachés : frais d’avocat (comptez minimum 3000€ pour gérer un dossier), mise en conformité forcée sous pression, augmentation des assurances (jusqu’à +50% de prime).
• Impact sur le moral des équipes qui doivent tout reprendre à zéro.

Cas réels de petites entreprises sanctionnées :

• Un notaire a écopé de 10 000€ d’amende pour avoir laissé des documents clients accessibles dans une salle d’attente non surveillée.
• Une agence immobilière de 8 personnes a reçu une amende de 15 000€ pour avoir conservé des dossiers locataires pendant 10 ans sans raison valable.
• Un restaurant a dû payer 5 000€ car son système de réservation en ligne ne sécurisait pas les coordonnées bancaires.

Les actions concrètes à faire maintenant

1. Cartographiez vos données (1h de travail)

Prenez une feuille et listez :

• Tous les endroits où vous stockez des infos personnelles (fichiers clients, CRM, contrats, bulletins de paie, liste de prospects…)
• Les outils utilisés (Excel, logiciel de compta, messagerie, cloud…)
• Les personnes qui y ont accès (comptable, assistante, commercial…)

Exemple pour un commerce : vérifiez si votre caisse enregistreuse garde l’historique des cartes de fidélité. Pour un artisan, notez où sont stockés les devis signés.

2. Sécurisez l’accès physique (moins de 100€)

• Achetez une armoire fermée à clé pour les dossiers papier (50€ chez un fournisseur de bureau)
• Mettez un autocollant “zone privée” sur la porte de votre local serveur
• Installez un verrou à code (15€ en quincaillerie) sur l’armoire à archives

Un exemple vécu : un comptable a évité une amende car ses dossiers clients étaient dans une armoire fermée quand des cambrioleurs sont entrés dans ses locaux.

3. Vérifiez vos contrats fournisseurs (30 minutes)

Tout prestataire accédant à vos données doit signer un engagement RGPD. Vérifiez :

• Votre hébergeur de site web
• Votre éditeur de logiciel métier
• Votre sous-traitant en paie

La CNIL propose des modèles gratuits. Un restaurateur a modifié son contrat avec sa société de livraison pour préciser comment sont protégées les adresses clients.

4. Formez vos équipes aux bonnes pratiques (30 minutes)

90% des fuites viennent d’erreurs humaines. Montrez à votre équipe :

• Comment créer un mot de passe solide (exemple : “CaféParis08!”)
• À repérer un email frauduleux (vérifier l’adresse d’expédition avant de cliquer)
• Ne jamais laisser un ordinateur déverrouillé en open space

Un garage a évité une arnaque au virement en formant sa secrétaire à repérer les faux emails du “directeur”.

5. Tenez un registre des incidents (5 minutes par incident)

Notez chaque problème avec la solution apportée :

• Un email mal envoyé → rappel des règles d’envoi à l’équipe
• Un fichier supprimé par erreur → mise en place d’une corbeille de sauvegarde
• Un mot de passe partagé → création de comptes individuels

En cas d’inspection, ce registre prouve votre bonne foi. Une agence de voyage a réduit son amende en présentant son registre tenu depuis 2 ans.

Ce que vous pouvez tester gratuitement aujourd’hui

Prenez 10 minutes pour ce diagnostic rapide :

• Ouvrez votre boîte mail. Un collaborateur a-t-il déjà envoyé une pièce jointe sensible à la mauvaise personne ?
• Allez dans votre local technique. Les sauvegardes sont-elles protégées par un mot de passe ?
• Demandez à un employé son mot de passe professionnel. Est-il du type “Société2024” ?
• Regardez votre smartphone professionnel : est-il protégé par un code PIN ?
• Vérifiez votre corbeille à papier : contient-elle des documents avec des noms de clients ?

Si vous répondez “oui” à une seule question, votre conformité RGPD est en danger. La bonne nouvelle ? Ces problèmes se résolvent souvent en moins d’une journée de travail.

Découvrez gratuitement ce qu’un hacker voit de votre entreprise → conformite-entreprise.pro