RGPD pour les petites équipes : le guide complet, en Europe et hors d’Europe

Le RGPD, la loi européenne sur les données personnelles, s’applique aux petites équipes comme aux grands groupes : un indépendant avec un fichier clients, une agence de trois personnes et une boutique avec un salarié traitent tous des données personnelles. Ce guide RGPD pour les TPE et PME vaut aussi hors d’Europe : une société installée à Londres, Genève, Montréal ou Casablanca qui vend à des personnes situées dans l’UE, ou les suit avec des cookies publicitaires, doit l’appliquer elle aussi.

Pour la plupart des petites équipes, la mise en conformité est une courte liste de tâches concrètes plutôt qu’un chantier juridique : savoir quelles données vous détenez et pourquoi, corriger les pages légales de votre site, signer les bons contrats, répondre aux personnes dans les délais et réagir correctement en cas de fuite.

Chaque partie ci-dessous répond à une question et renvoie à l’article de ma série RGPD & données personnelles qui la traite en détail.

Le RGPD s’applique-t-il à votre entreprise ?

La taille ne compte pas ; ce qui compte, c’est où vous êtes et à qui vous vous adressez. L’article 3 pose deux critères, l’établissement et le ciblage, qui couvrent trois cas :

1. Votre entreprise est établie dans l’UE : un bureau, une succursale ou une équipe stable, quelle que soit sa taille, et où que soient vos serveurs.
2. Vous proposez des biens ou des services à des personnes situées dans l’UE depuis l’extérieur, qu’ils soient payants ou gratuits. Un site simplement accessible depuis l’UE ne suffit pas ; des prix en euros, une livraison en France ou des publicités visant un pays de l’UE, si.
3. Vous suivez le comportement de personnes situées dans l’UE, par exemple avec des cookies publicitaires ou du reciblage.

Une entreprise située hors de l’UE relève en général du ciblage, les cas 2 et 3 : mon guide sur le RGPD hors UE détaille les deux critères avec six exemples.

Le Royaume-Uni et la Suisse ont leurs propres règles

Depuis le Brexit, le Royaume-Uni applique le RGPD britannique (UK GDPR), quasi-copie du texte européen, avec le Data Protection Act 2018 et le PECR, qui encadre les cookies et la prospection électronique. Il reprend les mêmes critères pour les entreprises situées hors du Royaume-Uni : une entreprise française qui vend à des clients britanniques relève donc des deux textes. Les données circulent toujours librement de l’UE vers le Royaume-Uni : la Commission européenne a renouvelé en décembre 2025 ses décisions d’adéquation pour le Royaume-Uni, valables jusqu’au 27 décembre 2031.

La Suisse a sa propre loi, la nouvelle loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023. Elle s’applique à tout ce qui produit un effet en Suisse, même quand cela part de l’étranger, une formulation plus large que celle du RGPD.

La loi de votre pays s’applique aussi

Le RGPD s’ajoute à vos règles nationales ; il ne les remplace pas. Une société marocaine qui vend à des clients en France relève chez elle de la loi 09-08 et de la CNDP, son autorité de contrôle, et du RGPD pour ses clients français. Il en va de même d’une entreprise canadienne, suisse ou tunisienne avec sa propre loi.

Trouvez votre chemin

Les sept principes et les six bases légales, en clair

Tout le RGPD découle des sept principes de l’article 5 :

• Licéité, loyauté et transparence : une base légale pour chaque usage, et des personnes informées.
• Limitation des finalités : des données collectées dans un but ne servent pas à un autre sans rapport ; une demande de devis n’est pas une inscription à la newsletter.
• Minimisation : seulement ce dont l’usage a besoin.
• Exactitude : erreurs corrigées, fichiers tenus à jour.
• Limitation de la conservation : suppression ou anonymisation quand l’usage prend fin.
• Intégrité et confidentialité : protection contre la perte, le vol et les fuites.
• Responsabilité : vous pouvez prouver tout cela, d’où l’importance de la documentation.

L’article 6 énumère ensuite six bases légales. Chaque usage de données personnelles en exige une, choisie avant de commencer et indiquée dans votre politique de confidentialité :

Le consentement est la base à laquelle on pense d’abord, mais c’est souvent la plus étroite pour une petite équipe : la plupart des données clients reposent sur le contrat, la loi ou l’intérêt légitime.

Étape 1 : tenir un registre des traitements

Tout le reste dépend de ce que vous détenez. L’article 30 demande un registre des activités de traitement : une ligne par activité (gestion des clients, facturation, newsletter, recrutement, formulaires du site), avec sa finalité, les personnes et les données concernées, les destinataires, les éventuels transferts hors UE, la durée de conservation et les mesures de sécurité.

Les structures de moins de 250 salariés n’en sont dispensées que pour les traitements occasionnels, sans risque pour les personnes et sans données sensibles ou relatives aux infractions. Gérer des clients et des factures n’a rien d’occasionnel : en pratique, la plupart des petites équipes tiennent un registre, même court. La CNIL a publié un modèle de registre simplifié, et son guide pratique réalisé avec Bpifrance en 2018 en fait la première étape de son plan d’action. Un simple tableur suffit.

Indiquez votre rôle sur chaque ligne : vous êtes responsable de traitement quand vous décidez pourquoi et comment les données sont utilisées (votre propre fichier clients), sous-traitant quand vous les traitez sur instruction d’un client (une agence qui gère la newsletter d’un client). Ce rôle détermine les contrats à signer à l’étape 3.

Un paquet de simplification proposé en mai 2025, « Omnibus IV » (procédure 2025/0130(COD), distinct du Digital Omnibus évoqué plus bas), élargirait la dispense prévue pour les moins de 250 salariés : la Commission a proposé un seuil de 750 salariés et un registre réservé aux traitements à risque élevé. Le Parlement et le Conseil sont parvenus à un accord provisoire en juin 2026, mais au 19 octobre 2026 le texte n’a pas été formellement adopté : la règle des 250 salariés s’applique toujours.

Étape 2 : bandeau cookies, politique de confidentialité et mentions légales

Commencez par le bandeau cookies. Dans l’UE, tout cookie ou traceur non strictement nécessaire exige le consentement du visiteur avant d’être déposé, et refuser doit être aussi simple qu’accepter. La CNIL attend un bouton « Tout refuser » aussi visible que « Tout accepter » ; en janvier 2022, elle a annoncé des amendes de 150 millions d’euros contre Google et de 60 millions contre Facebook parce que refuser les cookies y était plus compliqué qu’accepter. Une mesure d’audience réglée selon les conditions strictes de la CNIL peut, elle, se passer de consentement. Les règles sont dans ce qu’exige la CNIL pour un bandeau cookies, et l’installation sur Squarespace, Wix ou WordPress, avec le Consent Mode v2 de Google, dans mon tutoriel pour installer un bandeau cookies.

Vient ensuite la politique de confidentialité. Les articles 13 et 14 listent ce que les personnes doivent savoir : qui vous êtes, pourquoi vous collectez leurs données et sur quelle base légale, qui les reçoit (vos outils compris), combien de temps vous les gardez et quels sont leurs droits, dont celui de saisir la CNIL. Mon guide de la politique de confidentialité la détaille rubrique par rubrique, à partir de vos vrais outils plutôt que d’un modèle copié.

Restent les mentions légales. Elles ne relèvent pas du RGPD, mais elles figurent sur la même liste : tout site professionnel doit dire qui l’édite. Les oublier est puni d’un an d’emprisonnement et de 75 000 € d’amende au plus, 375 000 € pour une société ; la liste complète est dans mon article sur les mentions légales obligatoires.

Si vous publiez une application mobile, les stores ajoutent leurs propres déclarations : les étiquettes d’Apple et la section Sécurité des données de Google Play décrivent vos données, mais vos SDK publicitaires, et la plupart de vos SDK de mesure d’audience, doivent toujours attendre le consentement.

Le bandeau et ces pages sont compris dans les sites web que je crée, si vous préférez me confier cette partie.

Étape 3 : signer les contrats de sous-traitance et vérifier où vont les données

Presque chaque outil que vous utilisez traite des données personnelles pour vous : messagerie, CRM, logiciel de comptabilité, hébergeur, outil de newsletter, ou le freelance qui met à jour votre site. Chacun est un sous-traitant, et l’article 28 impose avec lui un contrat qui fixe, entre autres, vos instructions, la sécurité, le recours à d’autres sous-traitants et la suppression des données en fin de contrat. Les grands éditeurs l’intègrent à leurs conditions ; pour les plus petits prestataires, les clauses types gratuites de la Commission (décision d’exécution 2021/915) sont un point de départ tout prêt.

L’inverse est vrai aussi. Quand je crée une automatisation qui doit accéder à la boîte mail d’un client, je traite ses données pour son compte : c’est exactement la relation que vise l’article 28. Mon article sur le contrat de sous-traitance couvre les deux côtés.

Vérifiez ensuite où vont les données. Elles ne peuvent quitter l’UE que sur une base prévue au chapitre V du RGPD : une décision d’adéquation pour le pays de destination, comme le Royaume-Uni, la Suisse ou le Canada (pour les entreprises soumises à la LPRPDE, sa loi fédérale sur le secteur privé), ou des garanties comme les clauses contractuelles types. Pour les outils américains, le Data Privacy Framework s’applique depuis le 10 juillet 2023 aux entreprises inscrites comme actives sur dataprivacyframework.gov. Au 19 octobre 2026, un pourvoi contre ce cadre est pendant devant la Cour de justice de l’UE : gardez en secours les clauses types de vos prestataires ; mon article sur les transferts de données vers les États-Unis explique comment.

Les mêmes règles s’appliquent aux prestataires situés hors UE. Un centre d’appels au Maroc ou un développeur en Tunisie qui travaille sur les données clients d’une entreprise française est son sous-traitant ; aucun des deux pays n’ayant de décision d’adéquation, le transfert repose en général sur les clauses contractuelles types, signées en plus du contrat de sous-traitance.

Étape 4 : répondre aux demandes dans un délai d’un mois

Les personnes ont des droits sur leurs données : accès, rectification, effacement, limitation, portabilité, opposition et protection contre les décisions entièrement automatisées (articles 15 à 22). L’article 12 vous donne un mois pour répondre, délai prolongeable de deux mois pour une demande complexe ou des demandes nombreuses, à condition de prévenir la personne dans le premier mois. La plus connue est la demande de droit d’accès, qui arrive souvent au milieu d’un litige avec un client ou un ancien salarié : mon guide de la demande d’accès vous accompagne pas à pas.

Une règle souvent oubliée : l’opposition à la prospection est absolue (article 21, paragraphe 3), donc l’adresse va aussitôt dans votre liste repoussoir.

Étape 5 : sécuriser les données et connaître la règle des 72 heures

L’article 32 demande une sécurité adaptée au risque. Pour une petite équipe, cela tient en quelques habitudes : un gestionnaire de mots de passe et la double authentification sur chaque compte, des sauvegardes déjà restaurées au moins une fois, des appareils à jour et des accès fermés le jour d’un départ. Mon guide de la cybersécurité les reprend dans l’ordre, avec un plan d’une page pour la première heure d’un incident.

Si des données personnelles sont perdues, volées, divulguées ou bloquées par un rançongiciel, l’article 33 vous impose de notifier la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. Si le risque est élevé, vous prévenez aussi les personnes concernées (article 34), et toute violation, notifiée ou non, va dans votre registre interne. Deux de mes clients ont fait appel à moi en urgence après le piratage de leur ancien site ; quand un site piraté contient des messages de formulaire ou des comptes clients, le délai de 72 heures court peut-être déjà. Les étapes à suivre sont dans mon article sur les 72 premières heures.

Étape 6 : fixer les durées de conservation de votre CRM

Le RGPD ne fixe aucune durée chiffrée : vous gardez les données le temps nécessaire à leur finalité, et vous devez pouvoir justifier la durée choisie. La CNIL donne des repères : trois ans à compter de la collecte ou du dernier contact venant d’un prospect, la durée de la relation puis trois ans pour un client à des fins de prospection, et dix ans pour les factures au titre du Code de commerce.

Notez vos durées dans un petit tableau, puis réglez votre CRM et votre messagerie pour supprimer ou archiver à l’échéance ; mon article sur les durées de conservation donne les repères de départ.

Étape 7 : newsletter, prospection et outils d’IA

La newsletter envoyée à des particuliers exige leur consentement, en France comme au Royaume-Uni : une case qu’ils cochent ou un formulaire qu’ils envoient eux-mêmes, avec la date et le texte affiché en preuve. Le soft opt-in permet d’écrire à vos clients au sujet de produits ou services analogues à ceux qu’ils ont achetés, s’ils ont pu refuser lors de la collecte et peuvent le faire dans chaque email. Le double opt-in n’est pas obligatoire, mais c’est la meilleure preuve : voir newsletter et consentement RGPD.

La prospection B2B suscite une objection que j’entends chez mes clients : le cold emailing serait illégal. En B2B, il ne l’est pas, à condition de respecter les règles du pays du destinataire. En France, vous pouvez écrire à des professionnels sans consentement préalable si le message concerne leur métier, s’ils sont informés de l’usage de leur adresse et peuvent s’y opposer simplement et gratuitement. Au Royaume-Uni, le PECR autorise l’envoi aux sociétés sans consentement, mais un entrepreneur individuel doit avoir donné son accord. Dans les deux pays, quand l’adresse nomme une personne, le RGPD ajoute un intérêt légitime documenté, l’information au plus tard dans le premier email et des désinscriptions appliquées sans délai : je reprends chaque point dans mon article sur le cold emailing et le RGPD.

Une règle plus récente : dans une recommandation publiée en avril 2026, la CNIL traite les pixels de suivi d’ouverture des emails commerciaux comme des cookies ; ils exigent donc le consentement du destinataire, B2B compris, sauf exemptions étroites.

Les assistants d’IA sont le dernier endroit en date où finissent les données de vos clients. Un texte anonymisé peut aller dans toute offre de ChatGPT, entraînement désactivé ; les noms, emails et autres données de vos clients relèvent d’une offre professionnelle ou de l’API, couvertes par un contrat de sous-traitance, et les données de santé, numéros d’identité, RIB et mots de passe restent hors de tout assistant. Détails dans ChatGPT et RGPD.

Faut-il un DPO ou un représentant ?

Le RGPD ne rend le délégué à la protection des données (DPO) obligatoire que dans trois cas (article 37), le droit national pouvant en ajouter : les organismes publics, les organismes dont l’activité de base exige un suivi régulier et systématique de personnes à grande échelle, et ceux dont l’activité de base consiste à traiter à grande échelle des données sensibles, comme des données de santé, ou des données relatives aux infractions. Une petite équipe s’y trouve rarement : selon le considérant 91, un médecin ou un avocat exerçant à titre individuel ne traite pas à grande échelle les données de ses patients ou clients. Un DPO désigné volontairement est soumis aux mêmes règles d’indépendance : un simple « référent données personnelles » est souvent plus adapté.

Un représentant est un autre rôle (article 27). Une entreprise sans établissement dans l’UE qui vend à des personnes situées dans l’UE ou suit leur comportement doit en désigner un par écrit, dans un pays de l’UE où se trouvent ces personnes, sauf si ses traitements sont occasionnels, peu risqués et sans données sensibles à grande échelle. L’autorité néerlandaise a infligé 525 000 € d’amende au site Locatefamily.com pour ne pas en avoir désigné, une décision annoncée en mai 2021. Le RGPD britannique prévoit la même règle pour les entreprises situées hors du Royaume-Uni, françaises comprises, et au 19 octobre 2026 la loi britannique de 2025 ne l’a pas supprimée. La Suisse n’en exige un que si le traitement des données de personnes qui s’y trouvent est à la fois à grande échelle, régulier et à risque élevé. Les détails sont dans mon guide du représentant dans l’UE.

Ce qu’une amende RGPD représente pour une petite équipe

Les montants des gros titres sont des plafonds : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour certains manquements, 20 millions ou 4 % pour les plus graves (article 83), le montant le plus élevé étant retenu. Les autorités proportionnent l’amende à la taille et aux finances de l’entreprise.

Depuis 2022, la CNIL traite les dossiers simples par une procédure de sanction simplifiée plafonnée à 20 000 €, dont les décisions ne sont pas publiées ; en 2025, 67 de ses 83 sanctions sont passées par elle. Parmi les cas publiés visant de petites structures : 3 000 € pour un médecin libéral, 20 000 € pour une société de traduction de neuf salariés. Les deux dossiers sont partis d’un contrôle en ligne ou de plaintes de salariés.

Pour une petite équipe, une plainte aboutit plus souvent à une mise en demeure qu’à une amende. Mon article sur les amendes RGPD passe les cas réels en revue.

Ce qui change : le Digital Omnibus et la loi britannique de 2025

Dans l’UE, le Digital Omnibus est une proposition de la Commission européenne du 19 novembre 2025 qui modifierait le RGPD et les règles sur les cookies : définition plus étroite des données personnelles, refus des cookies en un clic, intérêt légitime pour développer l’IA, violations notifiées sous 96 heures et seulement en cas de risque élevé. Au 19 octobre 2026, ce n’est qu’une proposition : les États membres n’ont pas encore de position de négociation (un vote prévu en octobre a été reporté) et le Parlement européen en est au stade des commissions. Tant qu’il n’est pas adopté, les règles actuelles s’appliquent, délai de 72 heures compris. Je suis le dossier dans mon article sur le Digital Omnibus.

Au Royaume-Uni, si vous y avez des clients, le Data (Use and Access) Act 2025 modifie le RGPD britannique, le Data Protection Act 2018 et le PECR sans les remplacer. L’essentiel de ses mesures sur les données personnelles s’applique depuis le 5 février 2026, dont l’exemption de consentement pour la mesure d’audience purement statistique et des amendes PECR portées à 17,5 millions de livres sterling ou 4 % du chiffre d’affaires mondial ; l’obligation d’accepter et de traiter soi-même les réclamations a suivi le 19 juin 2026. Mon article sur le RGPD britannique détaille le reste.

Par où commencer ce mois-ci, et quand appeler un avocat

Si vous ne faites rien d’autre ce mois-ci, faites ces sept choses, dans cet ordre :

1. Listez vos traitements et vos outils dans un tableur (étape 1).
2. Ouvrez votre site en navigation privée : seuls les cookies essentiels doivent se charger avant votre choix, et « Tout refuser » doit être aussi simple que « Tout accepter » (étape 2).
3. Alignez votre politique de confidentialité et vos mentions légales sur cette liste (étape 2).
4. Vérifiez que chaque outil a un contrat de sous-traitance en place, et faites-en signer un à vos freelances (étape 3).
5. Rédigez une procédure d’une page pour les demandes d’accès et les violations : qui fait quoi, et dans quels délais (étapes 4 et 5).
6. Fixez vos durées de conservation et le nettoyage correspondant dans votre CRM (étape 6).
7. Passez vos listes de newsletter et de prospection en revue : consentement pour les particuliers, oppositions respectées pour tous (étape 7).

Pour la version officielle, le texte du RGPD sur EUR-Lex tranche tout doute sur un article.

Ce guide explique les règles et les recommandations officielles ; ce n’est pas un conseil juridique. Un avocat ou un DPO vaut la dépense si vous traitez des données de santé ou d’autres données sensibles, suivez des personnes à grande échelle, vendez un produit fondé sur des données personnelles, recevez un courrier de la CNIL ou une réclamation d’un client, ou subissez une violation grave, idéalement avec un prestataire de réponse à incident qualifié pour la partie technique.