Contrôle de la CNIL : comment ça se passe pour une petite entreprise

Vous gérez une petite entreprise et vous venez d’apprendre qu’un contrôle de la CNIL est prévu. Panique à bord ? Pas forcément. Avec les bonnes préparations, ce contrôle peut même devenir l’occasion de renforcer la sécurité de vos données et la confiance de vos clients.

Le problème, expliqué simplement

La CNIL, c’est la Commission Nationale de l’Informatique et des Libertés. Son rôle ? S’assurer que toutes les entreprises, y compris les TPE/PME, respectent les règles de protection des données personnelles. Dès que vous manipulez des informations sur vos clients, employés ou fournisseurs, vous êtes concerné – même avec seulement quelques dossiers clients.

Un contrôle CNIL peut arriver de trois façons :

• Suite à une plainte : Un client mécontent ou un ancien salarié peut signaler un problème
• Enquête sectorielle : La CNIL cible parfois un secteur entier (boulangeries, garages, cabinets médicaux…)
• Contrôle aléatoire : Comme un radar sur la route, ils vérifient des entreprises tirées au sort

Prenons l’exemple de Marc, artisan plombier : il a reçu un courriel de la CNIL lui demandant son registre des traitements. Motif ? Plusieurs plombiers de sa région avaient été contrôlés suite à des plaintes pour démarchage abusif.

Comment se déroule le contrôle ?

Dans 70% des cas, cela commence par un simple échange de mails. L’inspecteur peut :

• Demander des documents (registre des traitements, contrats avec sous-traitants…)
• Poser des questions sur vos processus
• Voir comment sont stockés les dossiers clients

Seulement 30% des contrôles donnent lieu à une visite physique – souvent quand il y a des soupçons de graves manquements.

Ce que ça coûte si vous ne faites rien

Les conséquences d’un contrôle mal préparé vont bien au-delà de l’amende :

• Sanctions financières : Jusqu’à 4% du CA ou 20 millions d’euros. En 2023, une petite agence immobilière a écopé de 15 000€ pour absence de registre et mots de passe faibles.
• Coûts cachés : 3 jours pour tout mettre à jour plutôt qu’une matinée si vous êtes préparé
• Perte de clients : 68% des clients hésitent à donner leurs données après un incident
• Obligation de notification : Vous devrez peut-être informer tous vos clients du problème

Le cas de Sophie, gérante d’une micro-crèche, est parlant : une ancienne employée a porté plainte pour accès non sécurisé aux dossiers des enfants. Résultat ? 8 000€ d’amende + obligation d’acheter du matériel informatique sécurisé pour 5 000€.

Les vraies conséquences qu’on ne vous dit pas

Au-delà des chiffres :

• Vos assureurs peuvent augmenter vos primes
• Les banques regardent ces incidents lors des demandes de prêts
• Cela peut bloquer des appels d’offres publics

Les actions concrètes à faire maintenant

Pas besoin d’être un expert en RGPD pour se préparer.

1. Faire l’inventaire de vos données

Prenez une feuille et listez :

• Quelles données collectez-vous ? (noms, emails, coordonnées bancaires…)
• Où sont-elles stockées ? (ordinateur, cloud, dossiers papier…)
• Qui y a accès ? (comptable, assistant…)

Exemple : Un restaurant doit noter s’il garde les numéros de téléphone pour les livraisons, où sont stockés les tickets de carte bleue, et qui peut voir les fiches de paie.

2. Sécurisez l’existant

Des mesures simples mais efficaces :

• Mots de passe forts (12 caractères minimum, différents pour chaque service)
• Verrous sur les armoires contenant des dossiers
• Clés USB cryptées si vous transportez des données

3. Formez votre équipe (même petite)

3 points essentiels à aborder :

• Ne jamais noter de mots de passe sur des post-it
• Vérifier l’identité de quelqu’un qui demande des données par téléphone
• Savoir reconnaître un email de phishing

Astuce : La CNIL propose des modules de formation gratuits adaptés aux TPE.

4. Tenez votre registre des traitements

Pas besoin de logiciel coûteux – un simple tableau Excel avec :

• Type de données
• Finalité (pourquoi vous les collectez)
• Durée de conservation
• Mesures de sécurité

Ce que vous pouvez tester gratuitement aujourd’hui

Avant d’investir, utilisez ces outils gratuits :

Testez votre site web

• SSL Labs : Vérifie si votre site est correctement sécurisé
• SecurityHeaders : Analyse les entêtes de sécurité
• Google Safe Browsing : Vérifie si votre site est blacklisté

Auditez vos mots de passe

Have I Been Pwned permet de voir si vos identifiants ont fuité dans des piratages.

Simulez une attaque

Des outils comme l’« Email Phishing Test » de KnowBe4 vous montrent si vos employés cliqueraient sur un lien douteux.

Comparez vos pratiques

La CNIL propose des checklists sectorielles (coiffeurs, restaurateurs, artisans…) pour voir où vous en êtes.

Découvrez gratuitement ce qu’un hacker voit de votre entreprise → conformite-entreprise.pro