Mise en conformité RGPD pour PME : la checklist complète 2025

Le registre est le premier document que la CNIL demande lors d'un contrôle. Il liste chaque traitement de données personnelles opéré par votre entreprise : finalité, base légale, catégories de données collectées, destinataires, durées de conservation et mesures de sécurité associées. Ce document vivant doit être tenu à jour à chaque nouveau projet ou changement d'outil. La CNIL met à disposition un modèle Excel téléchargeable sur son site.

Le RGPD exige une base légale pour chaque traitement. Les six bases sont : le consentement, l'exécution d'un contrat, l'obligation légale, la sauvegarde des intérêts vitaux, la mission d'intérêt public, et l'intérêt légitime. L'erreur fréquente des PME est de tout mettre sur le consentement alors que la base contractuelle ou l'intérêt légitime est souvent plus adaptée et plus robuste. La base légale choisie détermine les droits exercés par les personnes concernées.

Chaque formulaire de collecte de données (site web, contrat client, dossier RH) doit afficher une mention d'information claire : identité du responsable de traitement, finalité, durée de conservation, droits des personnes et coordonnées du DPO si désigné. Ces mentions sont souvent incomplètes ou périmées sur les sites de PME. Un contrôle CNIL les examine systématiquement. La politique de confidentialité générale du site ne remplace pas les mentions contextuelles.

Depuis les lignes directrices CNIL de 2022, le refus des cookies doit être aussi simple que leur acceptation. Un bouton « Refuser tout » doit être visible au premier niveau, sans manipulation de l'interface. Les cookies analytics (Matomo, GA4) et publicitaires ne peuvent déposer aucun traceur avant le consentement explicite. La preuve du consentement doit être conservée six mois. Les solutions Cookiebot, Axeptio ou Didomi, correctement configurées, couvrent cette obligation.

Tout prestataire traitant des données personnelles pour votre compte — hébergeur, CRM, outil RH, solution de comptabilité SaaS, prestataire de paie — doit avoir signé un Data Processing Agreement (DPA) conforme à l'article 28 du RGPD. Ce contrat précise les instructions données au sous-traitant, les mesures de sécurité exigées, les conditions de sous-traitance ultérieure et les modalités d'audit. Établissez un registre de vos sous-traitants et relancez ceux n'ayant pas encore fourni de DPA.

Les personnes concernées disposent de droits d'accès, de rectification, d'effacement, d'opposition, de limitation du traitement et de portabilité. Votre PME doit disposer d'une procédure formelle pour traiter ces demandes dans le délai légal d'un mois. En pratique : une adresse email dédiée (dpo@, privacy@), un journal des demandes reçues et traitées, et une procédure interne documentée. La CNIL reçoit régulièrement des plaintes de personnes n'ayant pas obtenu de réponse.

Le RGPD interdit de conserver des données personnelles au-delà de la durée nécessaire à leur finalité. Chaque catégorie de données doit avoir une durée de conservation définie dans le registre, avec des purges effectivement réalisées : suppression automatique en base de données, archivage intermédiaire en accès restreint, puis destruction définitive. La CNIL a publié des référentiels sectoriels (RH, prospection commerciale, gestion clients) qui servent de repères pratiques.

L'article 32 exige des mesures de sécurité appropriées au risque. Pour une PME, cela couvre au minimum : chiffrement des données sensibles au repos et en transit, contrôle d'accès avec le principe du moindre privilège, authentification à deux facteurs sur les outils critiques, sauvegardes régulières testées et stockées hors site, gestion formalisée des mots de passe (gestionnaire type Bitwarden), et journalisation des accès. Ces mesures doivent être documentées dans le registre.

En cas de violation de données personnelles (cyberattaque, fuite, accès non autorisé, perte de matériel), l'entreprise doit notifier la CNIL dans les 72 heures si la violation est susceptible d'engendrer un risque pour les droits et libertés. Si le risque est élevé, les personnes concernées doivent également être informées. Cette obligation est souvent ignorée. Préparez un plan en amont : qui décide de la notification, qui la rédige, comment qualifier la violation. Toute violation, même non notifiée, doit être consignée dans un registre interne.

La désignation d'un Délégué à la Protection des Données (DPO) est obligatoire pour les organismes publics, les entreprises traitant à grande échelle des données sensibles (santé, biométrie) ou procédant à un suivi systématique à grande échelle. Les PME hors de ces cas peuvent désigner un DPO volontairement. Le DPO peut être interne ou externalisé. Dans tous les cas, la conformité RGPD est un processus continu : revue annuelle du registre, mise à jour des DPA, formation des équipes et adaptation aux nouvelles lignes directrices CNIL.