Blog

RGPD : par où commencer ? Le plan d'action en 5 étapes pour une PME

4 septembre 2026 — 7 min de lecture

La plupart des dirigeants de PME savent qu'ils devraient « être en règle » avec le RGPD, sans savoir par quel bout commencer — ni même ce que « être en règle » veut dire concrètement. Voici un ordre de marche qui fonctionne, dans l'ordre où il faut réellement traiter les choses.

Étape 1 — Désigner un pilote, pas forcément un DPO

Une PME de 15 salariés n'a pas besoin d'un délégué à la protection des données (DPO) à temps plein — la désignation d'un DPO n'est d'ailleurs obligatoire que dans des cas précis (autorités publiques, suivi régulier et à grande échelle de personnes, traitement à grande échelle de données sensibles). Ce qu'il faut en revanche, c'est une personne clairement identifiée en interne — souvent le dirigeant lui-même ou le responsable administratif — qui pilote le sujet, sait où en est le dossier, et peut répondre si un client, un partenaire ou la CNIL pose une question. Sans ce point de contact unique, chaque demande tombe dans un angle mort entre les services.

Étape 2 — Cartographier ce que vous faites vraiment

Avant de corriger quoi que ce soit, il faut savoir ce qui existe. C'est l'objet du registre des traitements : lister, service par service, tous les usages de données personnelles — RH, clients, prospects, fournisseurs, vidéosurveillance, badges d'accès. La plupart des PME découvrent à cette étape des traitements qu'elles avaient oubliés : un outil marketing souscrit par un commercial, un tableur partagé contenant des CV de candidats non retenus depuis trois ans.

Étape 3 — Trier par risque, pas par facilité

Une fois la cartographie faite, l'erreur classique est de commencer par ce qui est le plus simple à corriger plutôt que par ce qui présente le plus de risque. Priorisez les traitements qui portent sur des données sensibles (santé, données bancaires, données de mineurs), qui concernent un grand nombre de personnes, ou qui impliquent un sous-traitant hors de l'Union européenne. Un traitement RH interne mal documenté est un problème ; un fichier client de 50 000 contacts hébergé sans contrat de sous-traitance en est un autre, plus urgent. Certains traitements à risque élevé (vidéosurveillance, scoring, géolocalisation) nécessitent en plus une analyse d'impact (AIPD) avant même d'être lancés.

Étape 4 — Corriger les manquements qui sautent aux yeux

Trois choses reviennent systématiquement dans les manquements constatés par la CNIL chez les PME :

• L'information des personnes. Un site web ou un formulaire papier qui collecte des données sans mention claire de leur finalité, de leur destinataire et de la durée de conservation.
• La base légale. Des données collectées « au cas où », sans justification (consentement, contrat, obligation légale, intérêt légitime) précise pour chaque usage.
• La sécurité de base. Mots de passe partagés, absence de sauvegarde, fichiers accessibles à tout le personnel sans distinction de besoin d'en connaître.

Étape 5 — Documenter, puis répéter

Le RGPD n'est pas un projet avec une ligne d'arrivée — c'est un processus continu. Une fois le registre à jour et les manquements prioritaires corrigés, mettez en place les deux réflexes qui font tenir la conformité dans la durée : une procédure simple pour répondre aux demandes des personnes concernées dans le délai légal, et une revue du registre à chaque changement (nouvel outil, nouveau prestataire, nouvelle activité) plutôt qu'une fois par an dans l'urgence.