RGPD pour une TPE : les 5 réflexes qui suffisent
Le RGPD fait peur, et c’est dommage. Dans une petite entreprise, il tient en cinq gestes de bon sens : savoir ce que vous détenez, pourquoi, combien de temps, où c’est stocké, et quoi faire quand quelqu’un vous écrit. Les voici, expliqués sans jargon.
L’essentiel
- Le RGPD n’a pas de seuil : une entreprise de trois personnes est concernée comme un grand groupe. Mais elle n’a presque jamais besoin d’un délégué à la protection des données (article 37 du RGPD).
- Il faut tenir un registre — la liste écrite de ce que vous faites des données que vous détenez. L’allègement prévu sous 250 salariés a des exceptions si larges que presque toutes les entreprises en tiennent un (article 30 du RGPD).
- Quand un client demande ce que vous avez sur lui, vous avez un mois pour répondre — deux mois de plus si le dossier est compliqué, à condition de le prévenir avant la fin du premier mois (article 12 du RGPD).
- Aucun texte ne dit combien d’années garder un fichier clients. C’est à vous de fixer une durée, de pouvoir l’expliquer et de l’écrire (article 5 du RGPD).
- Aucun logiciel ne rend une entreprise « conforme » : il donne des moyens — exporter, supprimer, limiter les accès. Les décisions restent les vôtres.
Le RGPD concerne-t-il vraiment une entreprise de trois personnes ?
Oui, et vous en faites déjà une partie sans le savoir. Le RGPD — le règlement européen sur les données personnelles, appliqué depuis 2018 — ne prévoit aucun seuil de salariés ni de chiffre d’affaires.
Une donnée personnelle, c’est tout ce qui permet de reconnaître quelqu’un : un nom, un portable, une adresse e-mail nominative, une plaque d’immatriculation, une photo de chantier où l’on voit un visage.
Beaucoup gardent de 2018 le souvenir qu’il faudrait nommer un délégué à la protection des données. C’est faux dans la quasi-totalité des cas : ce n’est obligatoire que pour un organisme public, ou pour qui surveille des personnes à grande échelle, ou traite à grande échelle des données sensibles comme la santé (article 37 du RGPD).
Restent les cinq réflexes qui suivent : une demi-journée la première fois, puis une heure par an.
Comment écrire ce que vous faites des données sans y passer la semaine ?
Une page suffit. Ce document s’appelle le registre des traitements — la liste écrite de ce que vous faites des données détenues — et il se remplit à raison d’une ligne par usage, pas d’une ligne par client (article 30 du RGPD).
Un installateur a trois usages : gérer ses clients et devis, suivre ses dépannages, payer ses salariés. Trois lignes.
Une question revient souvent : « en dessous de 250 salariés, on est dispensé, non ? » La dispense existe, mais elle saute dès que le traitement est régulier et non occasionnel. Or un fichier clients tenu toute l’année n’a rien d’occasionnel, et la paie non plus. En pratique, presque toutes les entreprises en tiennent un. La CNIL — l’autorité française de la protection des données — publie un modèle simplifié.
Chaque ligne répond à six questions :
| La colonne | Ce que vous y écrivez |
|---|---|
| L’usage | « Clients et devis », « Suivi des dépannages », « Paie ». |
| À quoi ça sert | Établir un devis, planifier une intervention, verser un salaire. |
| Qui est concerné | Clients, prospects, salariés, fournisseurs. |
| Quelles données | Nom, coordonnées, historique d’achat, coordonnées bancaires. |
| Combien de temps | La durée que vous avez fixée, et à partir de quand elle démarre. |
| Qui y a accès | Vos salariés concernés et vos prestataires : hébergeur, expert-comptable, outil d’e-mailing. |
En le remplissant, on retrouve presque toujours deux ou trois fichiers oubliés sur un ordinateur. C’est le premier document que la CNIL demande en contrôle.
Pourquoi faut-il pouvoir dire à quoi sert chaque information ?
Parce que le RGPD interdit de collecter « au cas où » : chaque information doit servir à quelque chose de précis, et vous ne devez pas en demander plus que nécessaire (article 5 du RGPD).
Reprenez votre fiche client, champ par champ : à quoi sert celui-là ? L’adresse sert à livrer, le portable à prévenir le jour de l’intervention. La date de naissance d’un client professionnel ou une note sur son caractère : personne ne saura le dire. Ces champs-là n’ont pas lieu d’être.
Il faut aussi une raison valable de la détenir. Quatre couvrent presque tout dans une TPE (article 6 du RGPD) :
- Vous exécutez un contrat. Vous avez l’adresse de livraison parce que vous devez livrer : rien à demander.
- La loi vous l’impose. Vous gardez vos pièces comptables parce que le Code de commerce l’exige.
- Vous avez un intérêt légitime. Démarcher un professionnel sur son adresse professionnelle, pour un sujet lié à son métier : informez-le et laissez-le refuser facilement.
- La personne a dit oui. C’est le cas pour une publicité envoyée à un particulier. Ce oui doit pouvoir être retiré aussi facilement qu’il a été donné.
La noter à côté de chaque ligne du registre prend deux minutes, et vous évite d’être pris de court le jour où quelqu’un demande : « pourquoi avez-vous mon numéro ? »
Combien de temps peut-on garder les données d’un ancien client ?
Aucun texte ne donne de chiffre. La règle dit seulement : pas plus longtemps que nécessaire (article 5 du RGPD). À vous de fixer une durée, de savoir l’expliquer et de l’écrire.
Deux choses encadrent cette liberté. Certaines durées sont imposées ailleurs : les documents comptables par le Code de commerce, ceux du personnel par le Code du travail. Et la CNIL publie des repères par secteur ; s’en éloigner est possible, à condition de dire pourquoi.
La méthode qui marche : séparez ce que vous consultez tous les jours — vos clients actifs — de ce que vous devez seulement pouvoir ressortir en cas de litige. Une donnée qui quitte votre écran ne part pas à la poubelle : elle change de rangement.
Fixez ensuite le point de départ du compte à rebours : fin du chantier, dernier échange, fin du contrat. Puis notez la durée dans le registre et bloquez une heure par an pour faire le ménage.
Que faire quand un ancien client demande la suppression de ses données ?
Un e-mail arrive : « supprimez tout ce que vous avez sur moi ». Vous avez un mois pour répondre à compter de la réception — deux mois de plus si le dossier est compliqué, à condition de prévenir la personne et de lui dire pourquoi avant la fin du premier mois (article 12 du RGPD).
Retenez : un mois, pas trente jours. Le texte compte en mois, donc l’échéance tombe le même quantième du mois suivant. C’est cette date-là qui vous sera opposée.
Les demandes sont presque toujours les mêmes : « qu’avez-vous sur moi ? » (accès, article 15), « supprimez-moi » (effacement, article 17), « corrigez mon adresse » (rectification, article 16), « ne m’envoyez plus rien » (opposition, article 21).
Deux points évitent l’essentiel des ennuis. D’abord, une demande n’a aucune forme obligatoire : un e-mail au commercial, un message, un courrier, tout compte. Vos collaborateurs doivent savoir la reconnaître et vous la transmettre le jour même, sinon le délai court sans que personne ne s’en aperçoive. Répondre est par ailleurs gratuit en principe.
Et « supprimez-moi » ne veut pas dire tout effacer : si la loi vous oblige à garder une facture, vous la gardez et vous expliquez pourquoi. Une réponse motivée vaut mieux qu’un silence.
Ce qui rend l’exercice tenable, c’est de savoir en dix minutes tout ce que vous détenez sur une personne. Avec un fichier clients centralisé et un export, c’est une formalité ; avec trois tableurs et un carnet, c’est un après-midi perdu.
Faut-il savoir où sont stockées les données, et qui peut les voir ?
Oui, et un client ou un donneur d’ordre peut vous poser la question. Vous devez pouvoir nommer vos prestataires, dire où ils stockent les données et signaler les envois hors Union européenne (articles 13 et 30 du RGPD).
Faites la liste : hébergeur du logiciel de gestion, outil d’envoi d’e-mails, sauvegarde, messagerie, expert-comptable. Envoyer des données hors d’Europe n’est pas interdit, mais suppose des garanties particulières. Le plus simple : des prestataires qui hébergent dans l’Union européenne.
Point souvent oublié : dès que vous utilisez un logiciel, son éditeur travaille sur vos données pour votre compte. Un contrat doit encadrer cela, et c’est à vous de le réclamer (article 28 du RGPD). Un éditeur incapable de le fournir vous dit quelque chose sur lui-même. Akmous est hébergé dans l’Union européenne et met ce contrat à disposition : voir la page Sécurité.
Dernier point : les accès internes. Imaginez un salarié qui part avec tout le fichier clients sur une clé USB. Le règlement demande des mesures adaptées au risque (article 32) ; la plus efficace ne coûte rien : un compte et un mot de passe par personne, des droits limités au nécessaire, et un compte fermé le jour du départ.
Un ordinateur est volé avec le fichier clients : que faut-il faire ?
Cela s’appelle une violation de données : elle se signale à la CNIL dans les meilleurs délais, si possible sous 72 heures après en avoir eu connaissance — sauf s’il n’y a pas de risque réel pour les personnes (article 33 du RGPD).
Le mot évoque un piratage, mais la réalité est plus banale : un portable volé, un devis parti au mauvais destinataire, un accès resté ouvert pour un salarié parti. Si le risque est élevé, prévenez aussi les personnes (article 34). Et même sans signalement, notez l’incident : date, nature, données concernées, mesures prises.
Ce qu’on nous demande le plus souvent sur le RGPD en TPE
Une entreprise de moins de 250 salariés doit-elle tenir un registre ?
Quel est le délai pour répondre à un client qui demande ses données ?
Un logiciel de gestion peut-il rendre une entreprise conforme au RGPD ?
Cet article donne une information générale sur le règlement (UE) 2016/679 et ne constitue ni un conseil juridique ni une prestation de délégué à la protection des données. Les textes cités sont ceux en vigueur à la date de publication. Pour votre situation, référez-vous aux publications et modèles de la CNIL, autorité compétente en France, ou faites-vous accompagner par un professionnel du droit.
Des données à un seul endroit, c’est déjà la moitié du travail
Un fichier clients centralisé, exportable et supprimable transforme une demande de suppression en formalité de dix minutes. Akmous est hébergé dans l’Union européenne, avec des droits par rôle et l’export de vos données quand vous voulez.
🇫🇷 Édité en France · Hébergé dans l’UE · Export et suppression à tout moment