Le RGPD s'applique à toute entreprise qui traite des données personnelles, sans seuil de taille minimal. Pour autant, la conformité attendue d'une TPE reste proportionnée : il ne s'agit pas de recréer le dispositif d'un grand groupe, mais de couvrir les obligations essentielles avec des moyens raisonnables.
Ce qui concerne réellement une TPE
Dès que vous collectez des données de clients, prospects ou salariés — un simple formulaire de contact, une liste email, un fichier client — vous êtes concerné. Les obligations centrales sont au nombre de quatre : informer les personnes de l'usage fait de leurs données (mentions légales et politique de confidentialité claires), limiter la collecte à ce qui est nécessaire, sécuriser raisonnablement les données stockées, et permettre aux personnes d'exercer leurs droits (accès, rectification, suppression, opposition).
La tenue d'un registre des traitements, bien qu'allégée pour les structures de moins de 250 salariés dans certains cas, reste recommandée en pratique dès que plusieurs traitements de données coexistent (site web, newsletter, comptabilité, RH).
Mettre en conformité sans usine à gaz
Trois actions couvrent l'essentiel pour une TPE : publier une politique de confidentialité claire sur votre site expliquant quelles données vous collectez et pourquoi, vérifier que vos outils tiers (emailing, CRM, hébergeur) sont eux-mêmes conformes et proposent des contrats de sous-traitance RGPD, et documenter en interne — même sommairement — la liste de vos traitements de données. En cas de contrôle de la CNIL, ce n'est pas la perfection qui est attendue d'une petite structure, mais la démonstration d'une démarche de conformité sincère et proportionnée.