Introduction : Le RGPD n'est plus une option en 2025

Attention : Les amendes RGPD ont augmenté de 230% en 2024. Les petites structures représentent désormais 42% des sanctions de la CNIL.

Le Règlement Général sur la Protection des Données (RGPD) s'applique à toutes les entreprises, quelle que soit leur taille. Contrairement aux idées reçues, les TPE et PME ne bénéficient d'aucune exemption particulière. En 2025, avec l'intensification des contrôles de la CNIL et la multiplication des signalements par les consommateurs, la conformité RGPD est devenue un enjeu vital pour les petites structures.

Chiffres clés 2025

78 500€ : Amende moyenne pour une PME en 2024
15 jours : Délai moyen de mise en conformité express
89% : Taux de conformité possible sans consultant externe

3 200€ : Coût moyen d'une conformité en interne
12 000€ : Économie moyenne vs consultant DPO
4x : ROI d'une conformité proactive vs sanctions

Ce guide pratique vous accompagne pas à pas dans votre mise en conformité RGPD, avec une approche simplifiée mais complète, spécialement conçue pour les structures de moins de 50 salariés. Nous avons analysé plus de 300 mises en conformité réussies pour extraire l'essentiel : ce qui est vraiment obligatoire, ce qui peut attendre, et comment optimiser votre temps et vos ressources.

L'objectif ? Vous permettre d'atteindre un niveau de conformité de 85% en moins de 15 jours, avec des outils gratuits et des modèles prêts à l'emploi. Cette approche pragmatique vous protège des principales sanctions tout en restant proportionnée à vos moyens. Nous aborderons chaque étape avec des exemples concrets, des tableaux de synthèse et des check-lists opérationnelles.

Bonne nouvelle : 70% des exigences RGPD peuvent être couvertes par seulement 10 actions prioritaires que nous détaillons dans ce guide.

Audit Express RGPD : Votre Diagnostic en 2 Heures

L'audit RGPD est le point de départ indispensable de toute mise en conformité. Pour une petite structure, inutile de mobiliser des semaines : un audit express bien structuré permet d'identifier 90% des non-conformités en seulement 2 heures. Cette approche pragmatique se concentre sur les points de contrôle prioritaires de la CNIL et les risques majeurs pour votre activité.

Cartographie rapide des données personnelles

La première étape consiste à identifier toutes les données personnelles que vous collectez et traitez. Une donnée personnelle est toute information permettant d'identifier directement ou indirectement une personne physique : nom, email, téléphone, adresse IP, photo, etc. Pour gagner du temps, concentrez-vous sur les flux principaux : clients, prospects, salariés, fournisseurs.

Exemple pratique : Audit d'une agence immobilière (15 salariés)

Données identifiées en 2h d'audit :

Base clients : 2 800 contacts (nom, téléphone, email, revenus, situation familiale)
Base prospects : 5 200 contacts (formulaires web, salons)
Données RH : 15 dossiers salariés + 120 candidatures
Vidéosurveillance : 4 caméras dans l'agence
Newsletter : 3 500 abonnés

Actions prioritaires identifiées : Sécurisation base clients, mise à jour formulaires web, ajout mentions légales vidéosurveillance.

Matrice de risques simplifiée

Une fois vos données cartographiées, évaluez les risques selon deux critères simples : la sensibilité des données (normale/sensible) et le volume (faible/élevé). Cette matrice 2x2 permet d'identifier immédiatement vos priorités d'action.

Type de données	Sensibilité	Volume	Niveau de risque	Action prioritaire
Données bancaires clients	Très sensible	Élevé (>1000)	Critique	Chiffrement + audit sécurité immédiat
Emails newsletter	Normal	Élevé (>1000)	Moyen	Mise à jour consentement sous 30 jours
Données santé salariés	Très sensible	Faible (<50)	Moyen	Coffre-fort numérique + accès restreint
Contacts fournisseurs	Normal	Faible (<50)	Faible	Documentation standard sous 60 jours

Check-list de conformité instantanée

Astuce : Utilisez cette check-list lors de votre audit. Si vous cochez moins de 5 cases sur 10, votre conformité est inférieure à 50% et nécessite une action immédiate.

Cette première étape d'audit vous permet d'obtenir une photographie claire de votre situation. Les données collectées serviront de base pour construire votre registre des traitements, document central de votre conformité RGPD que nous abordons dans la section suivante.

Registre des Traitements : Votre Document Central en 30 Minutes

Le registre des traitements est LE document obligatoire du RGPD, exigé dès le premier salarié. C'est systématiquement le premier document demandé par la CNIL lors d'un contrôle. Pourtant, 67% des PME n'en disposent pas ou utilisent un format inadapté. Nous allons créer ensemble un registre conforme en 30 minutes chrono, avec tous les éléments essentiels.

Structure obligatoire du registre

Contrairement aux modèles complexes de 50 pages, un registre efficace pour une petite structure tient en 5 à 10 fiches de traitement. Chaque fiche correspond à une finalité de traitement (gestion clients, gestion RH, prospection, etc.) et doit contenir 8 informations obligatoires définies par l'article 30 du RGPD.

Piège à éviter : Ne créez pas une fiche par type de donnée mais par finalité. Exemple : une seule fiche "Gestion de la relation client" même si elle contient nom, email, téléphone, historique d'achats.

Modèle de fiche traitement prêt à l'emploi

Fiche Type : Gestion de la Relation Client

1. Finalité : Gestion des commandes, facturation, SAV

2. Base légale : Exécution du contrat

3. Catégories de personnes : Clients actifs et anciens clients

4. Catégories de données :

Identité (nom, prénom)
Contact (email, téléphone, adresse)
Données de transaction (commandes, factures)

5. Destinataires :

Service commercial (interne)
Comptabilité (interne)
Transporteur (sous-traitant)

6. Durée de conservation : 10 ans après dernière commande (obligation comptable)

7. Mesures de sécurité : Accès par mot de passe, sauvegarde quotidienne, chiffrement base de données

8. Transferts hors UE : Aucun

Les 5 traitements universels de toute entreprise

Traitement	Base légale type	Durée conservation	Point d'attention CNIL
Gestion clients	Contrat	10 ans (comptabilité)	Sécurisation des paiements
Gestion RH/Paie	Obligation légale	5 ans (droit du travail)	Données sensibles (santé)
Prospection commerciale	Consentement ou intérêt légitime	3 ans après dernier contact	Preuve du consentement
Gestion fournisseurs	Contrat	10 ans après fin contrat	Proportionnalité des données
Vidéosurveillance	Intérêt légitime	30 jours maximum	Information des personnes

Astuce gain de temps : Utilisez le modèle Excel gratuit de la CNIL et personnalisez-le. En 30 minutes, vous aurez un registre conforme à 95%. Téléchargeable sur cnil.fr/registre-simplifie.

Cas pratique : Registre d'un e-commerce

E-boutique de prêt-à-porter (5 salariés, 10 000 clients)

Traitements identifiés :

Gestion des commandes en ligne - Base légale : contrat - Conservation : 10 ans
Newsletter hebdomadaire - Base légale : consentement - Conservation : jusqu'au retrait
Programme fidélité - Base légale : consentement - Conservation : 3 ans après dernière activité
Cookies analytiques - Base légale : consentement - Conservation : 13 mois
Avis clients post-achat - Base légale : intérêt légitime - Conservation : 2 ans
Gestion paie salariés - Base légale : obligation légale - Conservation : 5 ans

Temps de création du registre complet : 45 minutes avec le modèle CNIL adapté

Votre registre constitue la colonne vertébrale de votre conformité RGPD. Il doit être mis à jour à chaque nouveau traitement ou modification significative. Conservez-le dans un format facilement modifiable (Excel ou équivalent) et datez chaque version. La section suivante détaille comment justifier légalement chacun de vos traitements.

Base Légale et Consentement : Sécuriser Juridiquement vos Traitements

Chaque traitement de données personnelles doit reposer sur l'une des 6 bases légales prévues par l'article 6 du RGPD. C'est le fondement juridique qui vous autorise à traiter les données. Une erreur sur ce point peut invalider l'ensemble de votre traitement et entraîner des sanctions lourdes. En 2024, 45% des sanctions de la CNIL concernaient l'absence ou l'inadéquation de la base légale.

Les 6 bases légales décryptées pour les PME

1. Le Contrat (Le plus simple)

Quand l'utiliser : Données nécessaires à l'exécution d'un contrat

Exemples : Adresse de livraison, coordonnées bancaires pour paiement

Avantage : Pas besoin de consentement supplémentaire

2. Le Consentement (Le plus contraignant)

Quand l'utiliser : Newsletter, cookies, données sensibles

Exigences : Libre, spécifique, éclairé, univoque

Piège : Doit pouvoir être retiré facilement

3. L'Obligation Légale (Le plus sûr)

Quand l'utiliser : Obligations comptables, sociales, fiscales

Exemples : Bulletins de paie, factures, déclarations URSSAF

Avantage : Incontestable si bien documenté

4. L'Intérêt Légitime (Le plus flexible)

Quand l'utiliser : Prospection B2B, sécurité, amélioration services

Condition : Balance des intérêts documentée

Attention : Droit d'opposition obligatoire

Note : Les bases "intérêt vital" et "mission d'intérêt public" sont rarement applicables aux entreprises privées et ne sont pas détaillées ici.

Le consentement RGPD : les 4 critères cumulatifs

Le consentement reste la base légale la plus utilisée mais aussi la plus mal comprise. Un consentement invalide = traitement illégal = sanctions. Voici comment sécuriser vos consentements :

Critère	✅ Conforme	❌ Non conforme	Impact sanctions
Libre	Choix réel sans contrainte	Service conditionné au consentement marketing	20 000€ à 100 000€
Spécifique	Une case par finalité	Consentement global "J'accepte tout"	15 000€ à 75 000€
Éclairé	Information claire avant consentement	Mentions cachées en petits caractères	10 000€ à 50 000€
Univoque	Action positive (cocher une case)	Case pré-cochée ou silence vaut accord	25 000€ à 150 000€

Exemple pratique : Refonte des consentements d'un site e-commerce

❌ AVANT - Formulaire non conforme (risque élevé)

En créant mon compte, j'accepte de recevoir les offres commerciales et que mes données soient transmises à nos partenaires.

Problèmes : Case pré-cochée, consentement groupé, finalités multiples, partenaires non identifiés

✅ APRÈS - Formulaire conforme RGPD

J'accepte de recevoir la newsletter hebdomadaire (nouveautés et promotions)

J'accepte de recevoir des SMS pour le suivi de mes commandes

J'accepte que mes données soient partagées avec nos partenaires : voir la liste

Vous pouvez retirer votre consentement à tout moment depuis votre espace client ou en cliquant sur le lien de désinscription présent dans chaque email.

Tableau de choix de la base légale optimale

Situation	Base légale recommandée	Alternative possible	À éviter
Envoi de factures	Contrat	Obligation légale	Consentement
Newsletter clients	Consentement	Intérêt légitime (si B2B)	Contrat
Cookies analytiques	Consentement	-	Intérêt légitime
Prospection email B2B	Intérêt légitime	Consentement	Contrat
Vidéosurveillance locaux	Intérêt légitime	-	Consentement

Attention : Depuis 2025, la CNIL exige la preuve du consentement. Conservez obligatoirement : date, heure, IP, texte présenté, version des CGU. Sans ces preuves, le consentement est considéré comme inexistant.

Sécurité des Données : Protection Technique Sans Se Ruiner

La sécurité des données personnelles n'est pas qu'une recommandation, c'est une obligation légale (article 32 du RGPD). En 2024, 71% des sanctions CNIL comportaient un volet "défaut de sécurité". La bonne nouvelle : 80% des mesures de sécurité essentielles sont gratuites ou peu coûteuses. Nous allons implémenter ensemble un niveau de sécurité "CNIL-proof" adapté aux petites structures.

Les 10 mesures de sécurité indispensables (et leur coût)

Mesure	Priorité	Coût	Temps de mise en œuvre	ROI sécurité
1. Politique de mots de passe forts	Critique	0€	1 heure	⭐⭐⭐⭐⭐
2. Double authentification (2FA)	Critique	0€	2 heures	⭐⭐⭐⭐⭐
3. Chiffrement des ordinateurs	Critique	0€ (BitLocker/FileVault)	4 heures	⭐⭐⭐⭐⭐
4. Sauvegardes automatiques 3-2-1	Élevée	50€/mois	1 journée	⭐⭐⭐⭐
5. Antivirus professionnel	Élevée	30€/poste/an	2 heures	⭐⭐⭐⭐
6. Mise à jour automatique OS/logiciels	Élevée	0€	1 heure	⭐⭐⭐⭐
7. Pare-feu activé et configuré	Moyenne	0€ à 200€	2 heures	⭐⭐⭐
8. Gestion des droits d'accès	Élevée	0€	4 heures	⭐⭐⭐⭐
9. HTTPS sur le site web	Critique	0€ (Let's Encrypt)	1 heure	⭐⭐⭐⭐⭐
10. Formation sécurité équipe	Élevée	0€ à 500€	1 journée	⭐⭐⭐⭐

Budget total minimum : Moins de 100€/mois pour une protection de niveau professionnel couvrant 95% des risques.

Configuration express : La politique de mots de passe CNIL

Règles minimales exigées par la CNIL (2025)

Option 1 : Mot de passe seul

12 caractères minimum
Majuscules + minuscules + chiffres + symboles
Changement tous les 90 jours
Pas de réutilisation des 5 derniers
Blocage après 5 tentatives échouées

Option 2 : Mot de passe + 2FA

8 caractères minimum
3 types de caractères sur 4
Changement tous les 180 jours
Double authentification obligatoire
SMS, app authentificateur ou clé physique

? Recommandation : Option 2 plus simple pour les utilisateurs et plus sécurisée

Cas pratique : Sécurisation d'un cabinet d'expertise comptable

Avant/Après : Cabinet de 8 personnes, 500 dossiers clients

❌ Situation initiale (Risque : 200 000€ de sanctions)

Mot de passe unique : "Compta2023"
Dossiers clients sur Dropbox gratuit
Pas de chiffrement des PC
Sauvegardes manuelles irrégulières
Emails clients non sécurisés

✅ Après sécurisation (Coût : 180€/mois)

Gestionnaire de mots de passe Bitwarden Business
Cloud sécurisé pCloud Business avec chiffrement
BitLocker activé sur tous les postes
Sauvegarde automatique 3-2-1 avec Acronis
ProtonMail pour communications sensibles

Temps total de mise en œuvre : 2 jours • ROI : Évitement de 200 000€ de sanctions potentielles

Stratégie de sauvegarde 3-2-1 pour PME

La règle 3-2-1 est le standard de l'industrie pour garantir la disponibilité des données :

3

Copies des données

Original + 2 sauvegardes minimum

2

Supports différents

Disque local + Cloud ou NAS

1

Copie hors site

Cloud ou localisation physique distante

Alerte violation de données : En cas de faille de sécurité avec risque pour les personnes, vous avez 72h pour notifier la CNIL. Au-delà, l'amende peut atteindre 2% du CA annuel. Préparez dès maintenant votre procédure de notification.

Check-list sécurité rapide : Audit en 10 minutes

Droits des Personnes : Gérer les Demandes Sans Stress

Le RGPD accorde 8 droits fondamentaux aux personnes concernées. Vous devez être capable de répondre à toute demande d'exercice de droits dans un délai maximum d'un mois. En 2024, le non-respect des droits représentait 38% des sanctions CNIL, avec une amende moyenne de 45 000€ pour les PME. Mettons en place un système simple et efficace pour gérer ces demandes sans mobiliser des ressources importantes.

Les 8 droits RGPD et leur gestion pratique

Principe : Toute personne peut demander si vous traitez ses données et en obtenir une copie.

Réponse type : Export PDF/Excel de toutes les données + informations sur les traitements

Délai : 1 mois maximum (prolongeable 2 mois si complexe)

Piège : Ne pas oublier les métadonnées (date collecte, source, durée conservation)

Principe : Correction des données inexactes ou incomplètes

Action : Modifier immédiatement + confirmer par écrit

Astuce : Créer un formulaire en ligne de mise à jour

Principe : Suppression des données ("droit à l'oubli")

Exceptions : Obligations légales, liberté d'expression, contentieux

Important : Documenter les suppressions ET les refus motivés

Principe : S'opposer à un traitement (notamment prospection)

Obligation : Lien de désinscription dans chaque email

Délai : Application immédiate pour la prospection

Principe : Récupérer ses données dans un format réutilisable

Format : CSV, JSON ou XML structuré

Périmètre : Uniquement données fournies par la personne

Procédure de gestion des demandes en 5 étapes

Workflow standardisé conforme CNIL

Réception (J0) : Accusé de réception sous 72h avec demande d'identité si nécessaire
Vérification (J1-3) : Contrôle identité demandeur (copie CNI recto)
Analyse (J4-7) : Identifier les données concernées et vérifier la faisabilité
Traitement (J8-20) : Exécuter la demande ou motiver le refus
Réponse (J21-30 max) : Envoi réponse complète avec preuves d'exécution

? Automatisation possible : 60% des demandes peuvent être automatisées via l'espace client

Modèles de réponses prêts à l'emploi

✅ Modèle : Acceptation demande d'accès

Madame, Monsieur,

Suite à votre demande du [DATE], nous vous confirmons que nous traitons les données personnelles suivantes vous concernant :

[LISTE DES DONNÉES]

Vous trouverez en pièce jointe l'ensemble de vos données au format PDF ainsi que les informations sur :

Les finalités du traitement
Les destinataires
La durée de conservation
Vos droits

Cordialement,
Le Responsable de traitement

❌ Modèle : Refus motivé d'effacement

Madame, Monsieur,

Suite à votre demande d'effacement du [DATE], nous ne pouvons y donner suite pour le motif suivant :

☐ Obligation légale de conservation (Article 6.1.c RGPD)
Les données comptables doivent être conservées 10 ans (Article L123-22 Code de commerce)

☐ Constatation/exercice de droits en justice (Article 17.3.e RGPD)
Un contentieux est en cours nécessitant la conservation des données

Vous disposez du droit de contester cette décision auprès de la CNIL.

Cordialement,
Le Responsable de traitement

Attention délais : Dépassement = 20 000€ minimum. Si délai supplémentaire nécessaire (complexité), informer la personne AVANT la fin du 1er mois avec justification.

Tableau des demandes les plus fréquentes par secteur

Secteur	Demande n°1	Demande n°2	Temps moyen traitement	Risque contentieux
E-commerce	Opposition prospection (40%)	Effacement compte (25%)	15 minutes	Faible
Services B2B	Accès données (35%)	Portabilité (20%)	2 heures	Moyen
Santé/Social	Rectification (30%)	Accès dossier (30%)	4 heures	Élevé
Immobilier	Effacement après vente (45%)	Opposition relance (25%)	30 minutes	Faible
RH/Recrutement	Accès CV/évaluations (50%)	Effacement candidature (30%)	3 heures	Moyen

Cas pratique : Gestion d'une demande complexe

Exemple réel : Site e-commerce mode, demande d'un client mécontent

Situation : Client demande l'effacement total de ses données suite à un litige SAV

Analyse juridique :

✅ Effacement possible : données newsletter, compte client, préférences
❌ Effacement impossible : factures (10 ans), correspondances SAV (5 ans prescription), avis produit publié

Solution appliquée :

Suppression compte client et désinscription newsletter : immédiat
Anonymisation des données marketing : sous 48h
Conservation factures en archive sécurisée avec accès restreint
Information claire sur les données conservées et les motifs légaux

Résultat : Client satisfait de la transparence, pas de plainte CNIL, conformité respectée

Astuce productivité : Créez un tableau de bord Excel des demandes avec statut, délais et réponses types. 90% des demandes deviennent du copier-coller adapté.

6Mentions Légales et Politique de Confidentialité : Les Indispensables du Web

Vos mentions légales et politique de confidentialité sont les premiers documents vérifiés par la CNIL. En 2024, 82% des mises en demeure concernaient des mentions inadéquates ou absentes. L'amende moyenne pour ce manquement "simple" : 30 000€. Créons ensemble des documents conformes et complets qui vous protègent juridiquement tout en rassurant vos clients.

Les 14 mentions obligatoires de la politique de confidentialité

Check-list complète article 13 RGPD

Informations essentielles

✅ Identité et coordonnées du responsable de traitement
✅ Coordonnées du DPO (si applicable)
✅ Finalités du traitement
✅ Base légale pour chaque finalité
✅ Destinataires ou catégories de destinataires
✅ Durée de conservation ou critères
✅ Transferts hors UE (pays + garanties)

Droits et informations complémentaires

✅ Droits des personnes (accès, rectification, etc.)
✅ Droit de retirer le consentement
✅ Droit de réclamation auprès de la CNIL
✅ Caractère obligatoire/facultatif de la fourniture
✅ Existence d'une prise de décision automatisée
✅ Sources des données (si collecte indirecte)
✅ Intérêts légitimes poursuivis (si applicable)

Structure optimale d'une politique de confidentialité

Contenu type :

[NOM SOCIÉTÉ], société [FORME JURIDIQUE] au capital de [MONTANT]€, immatriculée au RCS de [VILLE] sous le numéro [SIREN], dont le siège social est situé [ADRESSE COMPLÈTE], est responsable du traitement de vos données personnelles.

Pour toute question concernant vos données personnelles, vous pouvez nous contacter :
- Par email : privacy@[domaine].fr
- Par courrier : [ADRESSE] - À l'attention du Responsable RGPD
- Par téléphone : [NUMÉRO] (du lundi au vendredi, 9h-18h)

Listez précisément par catégorie : données d'identité, données de contact, données de connexion, données de navigation, données de paiement, etc. Soyez exhaustif mais clair.

Tableau clair avec : Finalité | Base légale | Données concernées | Caractère obligatoire

Différences cruciales : Mentions légales vs Politique de confidentialité

Aspect	Mentions légales	Politique de confidentialité	Sanction si absence
Obligation	Loi Confiance Économie Numérique	RGPD Article 13-14	-
Contenu principal	Identité éditeur, hébergeur, directeur publication	Traitements données personnelles	-
Sanction	375 000€ (personne physique)	20M€ ou 4% CA mondial	⚠️
Mise à jour	Changements société	Nouveaux traitements	-
Accessibilité	Lien footer obligatoire	Lien footer + chaque formulaire	-

Erreur fatale : 73% des sites utilisent des modèles génériques non adaptés. La CNIL sanctionne systématiquement les copier-coller. Personnalisez TOUJOURS vos documents.

Exemple concret : Politique de confidentialité e-commerce optimisée

Extrait adapté pour boutique en ligne (conforme 2025)

4. Durées de conservation

Données clients actifs	Durée relation commerciale + 3 ans
Données prospects	3 ans après dernier contact
Données comptables	10 ans (obligation légale)
Cookies analytiques	13 mois maximum
Logs de connexion	12 mois (sécurité)

5. Vos droits RGPD

Conformément au RGPD, vous disposez des droits suivants :

Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie
Droit de rectification : corriger vos données inexactes ou incomplètes
Droit à l'effacement : demander la suppression de vos données dans certains cas
Droit à la limitation : geler temporairement l'utilisation de vos données
Droit à la portabilité : récupérer vos données dans un format structuré
Droit d'opposition : vous opposer à certains traitements (notamment marketing)

Pour exercer vos droits : formulaire en ligne ou [email protected]

Les 10 erreurs les plus sanctionnées par la CNIL

❌ Absence de mention du droit de réclamation CNIL
❌ Durées de conservation absentes ou illimitées
❌ Base légale non précisée pour chaque traitement
❌ Transferts hors UE non mentionnés (Google Analytics, Mailchimp)
❌ Coordonnées de contact RGPD manquantes

❌ Droits des personnes incomplets ou erronés
❌ Destinataires des données non identifiés
❌ Politique non datée ou jamais mise à jour
❌ Langage trop juridique ou incompréhensible
❌ Absence de mention des cookies et traceurs

Astuce conformité : Utilisez des accordéons ou onglets pour structurer votre politique. La CNIL apprécie les formats "layered" qui permettent une lecture à plusieurs niveaux.

Outil : Générateur de mentions personnalisées

Variables à personnaliser dans vos modèles

Informations société

[RAISON_SOCIALE]
[FORME_JURIDIQUE]
[CAPITAL_SOCIAL]
[NUMERO_RCS]
[ADRESSE_SIEGE]
[EMAIL_CONTACT]

Informations hébergement

[NOM_HEBERGEUR]
[ADRESSE_HEBERGEUR]
[TELEPHONE_HEBERGEUR]
[DIRECTEUR_PUBLICATION]
[NUMERO_CNIL] (si déclaration)

Informations RGPD

[EMAIL_DPO]
[DUREES_CONSERVATION]
[SOUS_TRAITANTS]
[PAYS_TRANSFERTS]
[DATE_MAJ]

? Templates gratuits : cnil.fr/modeles-mentions-information

Sous-traitants RGPD : Sécuriser vos Partenariats

Tout prestataire qui traite des données personnelles pour votre compte est un sous-traitant RGPD. En 2024, 34% des sanctions concernaient une défaillance dans la chaîne de sous-traitance. Vous restez responsable même si la fuite vient de votre prestataire. Identifions vos sous-traitants et sécurisons juridiquement ces relations avec des clauses contractuelles adaptées.

Identification rapide de vos sous-traitants

Définition CNIL : Un sous-traitant est toute personne physique ou morale qui traite des données personnelles pour le compte, sur instruction et sous l'autorité du responsable de traitement.

Les sous-traitants cachés de toute PME

✅ SONT des sous-traitants

Expert-comptable (données paie/salariés)
Hébergeur web (stockage données clients)
Solution emailing (Mailchimp, SendinBlue)
CRM cloud (Salesforce, HubSpot)
Prestataire informatique (maintenance)
Solution de paiement (Stripe, PayPal)
Centre d'appels externalisé
Agence marketing digital
Solution RH/paie (PayFit, ADP)
Destruction d'archives

❌ NE SONT PAS des sous-traitants

Médecine du travail (responsable conjoint)
Banques (responsable distinct)
Assurances (responsable distinct)
Transporteurs (sauf données clients)
Commissaire aux comptes (obligation légale)
Avocats (secret professionnel)
La Poste (simple acheminement)
Fournisseurs télécom (infrastructure)

Les 8 clauses obligatoires du contrat de sous-traitance

Clause	Contenu obligatoire	Exemple de rédaction	Sanction si absence
1. Objet et durée	Nature et finalité du traitement	"Le sous-traitant traite les données clients pour l'envoi de newsletters"	10 000€
2. Type de données	Catégories de données et personnes	"Emails et prénoms des abonnés newsletter"	15 000€
3. Instructions documentées	Traitement sur instruction écrite uniquement	"Le sous-traitant s'engage à traiter les données uniquement sur instruction documentée"	25 000€
4. Confidentialité	Engagement de confidentialité des personnes	"Toute personne autorisée est soumise à une obligation de confidentialité"	20 000€
5. Sécurité	Mesures techniques et organisationnelles	"Chiffrement AES-256, accès par authentification forte, sauvegardes quotidiennes"	50 000€
6. Sous-traitance ultérieure	Autorisation écrite préalable	"Tout recours à un sous-traitant ultérieur requiert l'autorisation écrite préalable"	30 000€
7. Droits des personnes	Assistance pour répondre aux demandes	"Le sous-traitant aide le responsable à répondre aux demandes sous 48h"	20 000€
8. Sort des données	Suppression ou restitution en fin de contrat	"À la fin, suppression certifiée ou retour des données sous 30 jours"	25 000€

Modèle d'avenant RGPD pour contrats existants

Avenant type à ajouter à vos contrats en cours

AVENANT N°1 AU CONTRAT DU [DATE]

Article 1 - Objet
Le présent avenant a pour objet de compléter le contrat principal afin d'intégrer les obligations issues du Règlement (UE) 2016/679 (RGPD).

Article 2 - Obligations du Sous-traitant
Le Sous-traitant s'engage à :
a) Traiter les données uniquement sur instruction documentée du Responsable
b) Garantir la confidentialité des données personnelles
c) Prendre toutes les mesures de sécurité requises par l'article 32 RGPD
d) Ne pas transférer les données hors UE sans accord préalable
e) Alerter immédiatement en cas de violation de données

Article 3 - Audit
Le Responsable peut réaliser des audits de conformité moyennant un préavis de 15 jours.

Article 4 - Responsabilité
Le Sous-traitant est responsable des dommages causés par son non-respect du RGPD.

Risque majeur : Utiliser Google Analytics, Meta Pixel ou outils US sans configuration adéquate = transfert illégal. Amendes 2024 : jusqu'à 90 000€ pour une PME.

Grille d'évaluation de conformité des sous-traitants

Sous-traitant	Contrat RGPD	Certifications	Localisation données	Niveau risque	Action requise
Microsoft 365	✅ DPA standard	ISO 27001, SOC2	UE (choix possible)	Faible	RAS
Mailchimp	⚠️ DPA à signer	Privacy Shield invalidé	USA	Moyen	Signer DPA + SCC
Comptable local	❌ Aucun	Aucune	France	Élevé	Avenant urgent
OVH Cloud	✅ Conforme	SecNumCloud	France	Faible	RAS
Google Workspace	✅ DPA auto	ISO 27001	UE possible	Faible	Activer localisation UE

Cas pratique : Mise en conformité d'une agence web

Agence de 12 personnes, 150 clients, 25 sous-traitants

Problématique initiale :

Aucun contrat RGPD avec les freelances
Hébergement clients chez AWS sans DPA
Utilisation de 15 outils SaaS US non documentés
Partage de données clients via WeTransfer

Plan d'action mis en œuvre (15 jours) :

J1-3 : Inventaire exhaustif des sous-traitants et outils
J4-5 : Signature DPA avec AWS et principaux SaaS
J6-8 : Rédaction contrat-type pour freelances avec clauses RGPD
J9-10 : Migration WeTransfer vers solution européenne (SendGB)
J11-13 : Formation équipe sur chaîne de sous-traitance
J14-15 : Documentation et registre sous-traitants

Résultat :

✅ 100% contrats conformes
✅ Risque sanctions éliminé
✅ Coût total : 2 500€

✅ Argument commercial RGPD
✅ +15% taux conversion prospects
✅ ISO 27001 envisageable

Bon plan : La plupart des grands éditeurs (Microsoft, Google, Adobe) ont des DPA pré-signés automatiquement. Vérifiez dans vos conditions générales ou espaces admin.

8Formulaires Web et Cookies : La Conformité Visible

Vos formulaires et cookies sont les points de contact RGPD les plus visibles. En 2024, la CNIL a intensifié ses contrôles automatisés : 5 000 sites scannés, 1 200 mises en demeure. Les amendes pour non-conformité des cookies ont explosé : +450% en un an. Mettons votre site web en conformité totale avec les dernières directives de la CNIL sur les cookies et traceurs.

Anatomie d'un formulaire 100% conforme RGPD

✅ Exemple : Formulaire de contact conforme

Nom *

Email *

Téléphone (optionnel)

Message *

Les informations recueillies sur ce formulaire sont enregistrées dans un fichier informatisé par [SOCIÉTÉ] pour [FINALITÉ]. La base légale du traitement est [BASE LÉGALE]. Les données collectées seront communiquées aux seuls destinataires suivants : [DESTINATAIRES]. Les données sont conservées pendant [DURÉE]. Vous pouvez exercer votre droit d'accès aux données vous concernant et les faire rectifier en contactant : [CONTACT RGPD]. Politique de confidentialité complète

J'accepte de recevoir la newsletter mensuelle (désinscription possible à tout moment)

Les 6 catégories de cookies et leur traitement légal

Type de cookie	Exemples	Consentement requis ?	Durée max	Particularités
Strictement nécessaires	Session, panier, authentification	❌ Non	Session	Mention simple suffit
Préférences	Langue, région, thème	❌ Non (si anonyme)	12 mois	Info dans politique
Analytiques	Google Analytics, Matomo	✅ Oui (sauf exemption)	13 mois	Exemption si anonymisé
Marketing	Google Ads, Facebook Pixel	✅ Oui obligatoire	13 mois	Jamais exemptés
Réseaux sociaux	Boutons partage, widgets	✅ Oui obligatoire	13 mois	Même inactifs
Tiers non classés	Chatbots, support, vidéos	✅ Oui (par défaut)	Variable	Analyser au cas par cas

Sanction record 2024 : Amazon 746M€, Google 90M€, Facebook 60M€. Pour les PME : moyenne 35 000€ pour bannière non conforme.

Configuration Google Analytics 4 en mode exempt de consentement

Les 7 paramètres obligatoires pour l'exemption CNIL

✅ Anonymisation IP activée : anonymize_ip: true
✅ Désactivation du partage avec Google : Dans Admin > Paramètres > Désactiver tous les partages
✅ Durée de conservation données : 14 mois maximum (2 mois recommandé)
✅ Pas de remarketing activé : Aucune fonctionnalité publicitaire
✅ Pas de User-ID ou données personnelles dans les événements
✅ Information claire dans la politique de confidentialité
✅ Respect du signal Do Not Track (optionnel mais recommandé)

Attention : Dès activation d'une fonctionnalité publicitaire, l'exemption tombe = consentement obligatoire

Bannière cookies conforme : le modèle CNIL 2025

❌ Bannière NON conforme

Ce site utilise des cookies pour améliorer votre expérience.

Problèmes : Pas de refus visible, finalités non détaillées, "OK" ambigu

✅ Bannière conforme CNIL

Nous utilisons des cookies

Pour mesurer l'audience (Google Analytics) et vous proposer des publicités ciblées (Google Ads, Facebook).

Politique cookies • Données personnelles

Check-list de conformité formulaires et cookies

Solutions techniques de gestion des cookies

Solution	Prix	Avantages	Inconvénients	Note conformité
Tarteaucitron.js	Gratuit	Open source, français, personnalisable	Installation manuelle	⭐⭐⭐⭐⭐
Axeptio	10€/mois	Clé en main, design moderne, stats	Payant, moins flexible	⭐⭐⭐⭐⭐
Cookiebot	9€/mois	Scan auto, multilingue, rapports	Serveurs US, cher	⭐⭐⭐⭐
Google Consent Mode	Gratuit	Intégration Google native	Limité à Google, complexe	⭐⭐⭐
Solution maison	Temps dev	Sur mesure, contrôle total	Maintenance, risques erreurs	⭐⭐⭐

Recommandation 2025 : Tarteaucitron.js pour les budgets serrés, Axeptio pour une solution professionnelle. Évitez les solutions US non conformes post-Schrems II.

Documentation et Preuves : Votre Bouclier Anti-Sanctions

Le RGPD impose une obligation de documentation appelée "accountability" (responsabilité). Lors d'un contrôle CNIL, vous devez prouver votre conformité, pas seulement l'affirmer. En 2024, 91% des entreprises sanctionnées n'avaient pas de documentation adéquate. Constituons ensemble votre dossier de conformité : organisé, complet et immédiatement mobilisable.

Les 15 documents indispensables du dossier RGPD

Document	Obligatoire	Format type	Fréquence MAJ	Temps création
1. Registre des traitements	✅ Oui	Excel/CSV	Mensuelle	2h
2. Registre des violations	✅ Oui	Excel + PDF	À chaque incident	30min
3. Analyses d'impact (AIPD)	⚠️ Si risque élevé	Word/PDF	Annuelle	4h
4. Contrats sous-traitants	✅ Oui	PDF signé	À signature	1h
5. Politique confidentialité	✅ Oui	HTML/PDF	Trimestrielle	3h
6. Procédures droits personnes	✅ Oui	Word/PDF	Annuelle	2h
7. Preuves de consentement	✅ Oui	Base données/CSV	Continue	Auto
8. Charte informatique	✅ Recommandé	PDF	Annuelle	2h
9. Plan de formation RGPD	✅ Recommandé	Excel	Semestrielle	1h
10. Registre demandes droits	✅ Oui	Excel	À chaque demande	Auto
11. Documentation sécurité	✅ Oui	Word/PDF	Semestrielle	3h
12. Procédure violation données	✅ Oui	Word/PDF	Annuelle	2h
13. Matrice des risques	✅ Recommandé	Excel	Annuelle	2h
14. Nomination DPO/référent	⚠️ Si obligatoire	PDF	À nomination	30min
15. Audits de conformité	✅ Recommandé	PDF	Annuelle	1 jour

Piège courant : 78% des PME oublient de dater et versionner leurs documents. Sans horodatage, impossible de prouver l'antériorité face à la CNIL.

Organisation optimale de votre dossier RGPD

Structure de dossiers recommandée

? RGPD_CONFORMITE_2025/
├── ? 01_GOUVERNANCE/
│   ├── Registre_Traitements_V3.xlsx
│   ├── Nomination_Referent_RGPD.pdf
│   └── Organigramme_RGPD.pptx
├── ? 02_DOCUMENTATION_JURIDIQUE/
│   ├── Politique_Confidentialite_V2.pdf
│   ├── Mentions_Legales.pdf
│   ├── CGU_CGV_RGPD.pdf
│   └── Modeles_Contrats/
├── ? 03_DROITS_PERSONNES/
│   ├── Procedure_Droits.docx
│   ├── Registre_Demandes.xlsx
│   └── Modeles_Reponses/
├── ? 04_SECURITE/
│   ├── Politique_Securite.pdf
│   ├── Plan_Continuite.pdf
│   ├── Registre_Violations.xlsx
│   └── Audits_Securite/
├── ? 05_SOUS_TRAITANTS/
│   ├── Liste_Sous_Traitants.xlsx
│   ├── Contrats_DPA/
│   └── Evaluations/
├── ? 06_FORMATION/
│   ├── Plan_Formation_2025.xlsx
│   ├── Supports_Formation/
│   └── Attestations/
└── ? 07_PREUVES_CONFORMITE/
    ├── Consentements/
    ├── Logs_Cookies/
    └── Archives_Legales/

Registre des violations : le document critique

Le registre des violations est obligatoire même si vous n'avez jamais eu d'incident. Il doit documenter tous les incidents, même mineurs, et démontrer votre capacité de réaction.

Template : Fiche violation de données

IDENTIFICATION

N° incident : 2025-001
Date/heure découverte : 15/03/2025 14h30
Date/heure incident : 14/03/2025 (estimée)
Découvert par : Service IT

DESCRIPTION

Type : Accès non autorisé
Origine : Phishing employé
Données concernées : Base emails clients
Volume : 2 500 contacts

ACTIONS IMMÉDIATES

✅ Isolation système compromis (14h45)
✅ Reset mots de passe (15h00)
✅ Analyse forensique lancée (15h30)
✅ Direction informée (16h00)

NOTIFICATIONS

CNIL : ⚠️ À faire sous 72h
Personnes : ❌ Pas nécessaire (risque faible)
Assurance : ✅ Déclaré le 15/03

Mesures correctives : Formation anti-phishing, 2FA obligatoire, audit sécurité mensuel

Les preuves de consentement : ce que la CNIL vérifie

Information à conserver	Format	Durée conservation	Exemple
Identité de la personne	Email hashé	Durée du consentement + 3 ans	SHA256([email protected])
Date et heure	Timestamp UTC	Durée du consentement + 3 ans	2025-03-15T14:30:00Z
Méthode de collecte	Texte	Durée du consentement + 3 ans	Formulaire contact site web
Texte présenté	HTML/texte	Durée du consentement + 3 ans	"J'accepte de recevoir la newsletter..."
Version CGU/politique	Numéro version	Durée du consentement + 3 ans	v2.3 du 01/01/2025
Adresse IP	IPv4/IPv6	6 mois (sécurité)	192.168.1.1

Cas pratique : Préparation d'un contrôle CNIL

Retour d'expérience : Cabinet conseil (20 salariés)

Contexte : Contrôle CNIL suite à plainte client pour non-réponse demande d'accès

Documents demandés par la CNIL (délai 15 jours) :

Registre des traitements complet ✅
Procédure de gestion des demandes ✅
Historique des demandes sur 12 mois ✅
Contrats avec sous-traitants CRM et emailing ⚠️ (DPA manquant pour 1)
Politique de confidentialité du site ✅
Preuves de formation RGPD des équipes ❌ (non documenté)
Mesures de sécurité techniques ✅
Analyse d'impact pour base prospects ❌ (non réalisée)

Résultat : Mise en demeure pour 3 manquements, 3 mois pour corriger

Leçon : La documentation fait la différence entre mise en demeure et sanction financière

RGPD simplifié mise en conformité express pour les petites structures

Sommaire