RGPD : vos obligations, ce qui se sanctionne, par où commencer

Ce que le RGPD exige concrètement

Le RGPD repose sur six obligations structurantes, chacune adossée à des articles précis du règlement. Aucune ne se coche une fois pour toutes : chacune se tient dans la durée, à mesure que les traitements évoluent.

Obligation	Articles	Ce que ça veut dire
Registre des traitements	Article 30	Recenser chaque traitement de données personnelles, sa finalité, sa base légale et sa durée de conservation, et le tenir à jour
Information des personnes	Articles 12 à 14	Indiquer, de façon claire et accessible, qui traite les données, pourquoi, sur quelle base légale et pendant combien de temps
Exercice des droits	Articles 15 à 22	Permettre l'accès, la rectification, l'effacement, l'opposition et la portabilité, et répondre dans le délai légal
Sécurité des traitements	Article 32	Mettre en œuvre des mesures techniques et organisationnelles proportionnées au risque : accès, chiffrement, sauvegardes
Notification des violations	Articles 33 et 34	Notifier la CNIL sous 72 heures en cas de risque, et informer les personnes concernées si le risque est élevé
Encadrement des sous-traitants	Article 28	Formaliser un contrat de sous-traitance avec chaque prestataire qui traite des données pour votre compte

Ces six obligations ne se traitent pas indépendamment les unes des autres : le registre documente les traitements, qui déterminent l'information à donner, qui conditionne l'exercice des droits, et ainsi de suite. Une entreprise qui tient un registre à jour découvre presque toujours, au passage, qu'un sous-traitant n'a pas de contrat ou qu'une durée de conservation n'a jamais été fixée. C'est pour cela que le registre reste le point d'entrée le plus efficace, pas parce qu'il serait l'obligation la plus grave en soi.

Faut-il un DPO ?

Non, dans la grande majorité des cas : l'article 37 réserve la désignation obligatoire d'un délégué à la protection des données à trois situations précises. La question mérite d'être tranchée franchement plutôt qu'esquivée, parce qu'elle revient sans cesse.

La désignation est obligatoire quand le traitement est réalisé par une autorité publique ou un organisme public, à l'exception des juridictions dans l'exercice de leur fonction juridictionnelle ; quand les activités de base du responsable de traitement ou du sous-traitant impliquent un suivi régulier et systématique des personnes à grande échelle ; ou quand ces activités de base impliquent un traitement à grande échelle de données sensibles (santé, origine, opinions, au sens de l'article 9) ou de données pénales (article 10). Une PME classique, sans activité de profilage ou de traitement de données sensibles à grande échelle, n'entre généralement dans aucun de ces trois cas.

Le critère le plus mal compris est le deuxième : « suivi régulier et systématique à grande échelle ». Il ne suffit pas d'avoir un site web avec des cookies analytiques pour y entrer. Le comité européen de la protection des données vise des activités où le suivi des personnes constitue le cœur même du modèle, pas un effet secondaire : la publicité comportementale à grande échelle, la géolocalisation permanente d'une flotte de véhicules, la notation de solvabilité. Une PME qui vend un produit ou un service, même avec un site suivi par un outil de mesure d'audience, n'y entre pas de ce seul fait.

Pas de DPO obligatoire ne veut pas dire pas de responsable. L'absence d'obligation légale ne dispense de rien : quelqu'un, en interne, doit porter le sujet, même sans le titre ni les garanties d'indépendance de l'article 38 qui protègent le DPO désigné. C'est souvent là que ça coince : la conformité est « à quelqu'un » sans être vraiment à personne, et elle n'avance plus.

Le registre des traitements, en bref

Le registre est le document que la CNIL réclame en premier lors d'un contrôle, et il révèle souvent au passage ce qui manque ailleurs : un contrat de sous-traitance jamais signé, une durée de conservation jamais fixée. Peu d'entreprises en sont réellement dispensées, la dérogation légale restant étroite. Le contenu attendu, la fréquence de mise à jour et les cas d'exemption sont détaillés sur notre page dédiée au registre des traitements.

Ce qui se sanctionne réellement

La CNIL ne sanctionne pas ce que la plupart des dirigeants redoutent. En pratique, ses délibérations publiques portent massivement sur quatre points : la prospection commerciale sans base légale valide, le dépôt de cookies avant consentement, des mesures de sécurité insuffisantes, et le défaut de réponse aux demandes d'exercice de droits. L'absence de registre, elle, est rarement le seul manquement retenu dans une sanction.

Délibération	Ce qui a été sanctionné
SAN-2024-019 du 14 novembre 2024	Prospection commerciale sans consentement (publicités affichées dans la messagerie) et dépôt de cookies sans consentement valide (article L. 34-5 du code des postes et des communications électroniques, article 82 de la loi Informatique et Libertés)
SAN-2025-010 du 20 novembre 2025	Dépôt de cookies avant consentement, information insuffisante sur leur finalité, et cookies encore lus après le retrait du consentement (article 82 de la loi Informatique et Libertés)
SAN-2026-002 du 8 janvier 2026	Mesures de sécurité insuffisantes et défaut de notification de la violation de données aux personnes concernées (articles 32 et 34 du RGPD)
SAN-2026-010 du 21 juillet 2026	Défaut de traitement de demandes d'effacement et défaut d'information des personnes sur les suites données à leurs demandes (articles 12 et 17 du RGPD)
SAN-2025-014 du 11 décembre 2025	Non-suppression des données d'un client en fin de contrat et traitement hors instructions par un sous-traitant, à l'origine d'une violation de données massive ; absence de registre également retenue (articles 28, 29 et 30 du RGPD)

Le point où la pratique se voit. Un dirigeant qui craint avant tout une sanction pour registre incomplet regarde au mauvais endroit. Les délibérations publiques de la CNIL montrent une réalité différente : la prospection, les cookies, la sécurité et la réponse aux demandes de droits concentrent l'essentiel des sanctions prononcées. Prioriser ces quatre points, avant de chercher l'exhaustivité documentaire, protège davantage.

Ce classement n'est pas un hasard de calendrier : une grande partie des contrôles CNIL part d'une plainte déposée par une personne concernée, pas d'un contrôle spontané ou d'un audit programmé à l'avance. Or ce qu'une personne remarque et signale au quotidien, ce sont des cookies qui s'installent sans son accord, un appel commercial insistant reçu malgré une opposition, une demande de droits restée sans réponse pendant des semaines : des faits visibles depuis l'extérieur de l'entreprise. L'absence de registre, elle, reste invisible pour un tiers ; elle ne remonte qu'à l'occasion d'un contrôle déjà déclenché pour un tout autre motif. Documenter en interne ne suffit donc pas à se protéger : ce qui est visible pour un client, un prospect ou un salarié doit fonctionner en premier, avant même de viser l'exhaustivité documentaire.

La sous-traitance, le point que les PME ratent

L'article 28 du RGPD impose un contrat écrit avec tout sous-traitant qui traite des données pour votre compte : hébergeur, éditeur SaaS, prestataire de maintenance, agence marketing. Le point le plus souvent ignoré : vous restez responsable de ce que fait votre prestataire de vos données, y compris en cas de manquement de sa part, et l'absence de contrat de sous-traitance est elle-même un manquement, indépendamment de ce que le prestataire a fait ou non. Un prestataire qui n'a jamais entendu parler de RGPD n'est pas une excuse, c'est une exposition supplémentaire.

Ce contrat n'est pas une formalité générique : l'article 28, paragraphe 3, liste ce qu'il doit contenir précisément. L'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, les obligations du sous-traitant (n'agir que sur instruction documentée, garantir la confidentialité de ses équipes, aider le responsable à répondre aux demandes de droits et aux violations), et le sort des données à la fin du contrat, suppression ou restitution. Un simple renvoi aux conditions générales d'un prestataire ne couvre presque jamais tous ces points.

Le RGPD et les autres textes

Le RGPD porte sur les données personnelles, quel que soit le produit ou le secteur. Il se distingue nettement des trois autres obligations qui structurent la conformité des entreprises françaises aujourd'hui : la facturation électronique, qui porte sur la fiscalité des échanges commerciaux ; le Cyber Resilience Act, qui porte sur la sécurité des produits numériques ; et NIS2, qui porte sur la cybersécurité de l'organisation. Les textes se recoupent parfois dans les faits (un incident de sécurité peut à la fois relever de l'article 33 du RGPD et d'une obligation de signalement NIS2), mais jamais dans leur objet : aucun des trois ne dispense des trois autres. Notre page vos obligations les situe les unes par rapport aux autres.

Outil ou accompagnement

Trois façons de porter le sujet, à combiner selon ce qui vous manque : un logiciel pour tenir la conformité au quotidien, une personne pour porter la décision, ou les deux. Un outil structure le travail une fois que quelqu'un sait par où commencer ; il ne décide pas à votre place si vous devez désigner un DPO, ni ne cartographie seul des traitements que personne n'a jamais listés.

RGPDfacile, le logiciel qui tient le registre, les AIPD, les droits et les violations au même endroit, pour ne pas repartir d'une feuille blanche.
Le DPO externalisé, quand personne en interne ne porte vraiment le sujet, ou que la désignation devient obligatoire.
La sensibilisation des équipes, parce que la première cause d'incident reste humaine, pas technique.

Questions fréquentes

Le RGPD, les questions qui reviennent

Sommes-nous concernés si nous n'avons que des données de salariés ?

Oui, sans aucune exception. La paie, les entretiens annuels, le suivi des temps de travail ou une simple liste de contacts internes sont des traitements de données personnelles au sens de l'article 4 du RGPD, qu'il y ait ou non des clients. Une entreprise sans aucun client, uniquement avec des salariés, reste pleinement soumise au règlement dès le premier bulletin de paie.

Faut-il un DPO dans une PME ?

Dans la grande majorité des cas, non : l'article 37 réserve la désignation obligatoire à trois situations précises (traitement par une autorité publique, suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données sensibles). Une PME classique n'y entre généralement pas. Mais l'absence d'obligation ne dispense de rien : un référent doit être identifié en interne, même sans le statut ni les garanties d'indépendance du DPO.

Que risque-t-on vraiment en cas de non-conformité ?

Le plafond légal est de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83 du RGPD), mais ce n'est pas le risque le plus probable pour une PME. Le risque réel et fréquent est ailleurs : une mise en demeure de la CNIL, une procédure devenue publique, ou une sanction plus modeste mais bien réelle sur la prospection, les cookies ou la sécurité, les manquements que la CNIL sanctionne le plus souvent en pratique.

Combien de temps conserver les données ?

Le RGPD n'impose pas de durée unique : l'article 5, paragraphe 1, point e, exige une conservation limitée à ce qui est nécessaire à la finalité poursuivie. La durée se fixe donc par traitement, pas globalement : une candidature non retenue, un client inactif, un salarié parti n'ont pas la même durée de conservation utile. C'est précisément ce que le registre des traitements doit documenter, traitement par traitement.

Le registre est-il obligatoire pour une TPE ?

Dans la quasi-totalité des cas, oui. Une exception existe (article 30, paragraphe 5) pour les structures de moins de 250 salariés, mais elle exige trois conditions réunies : un traitement occasionnel, aucun risque pour les personnes, aucune donnée sensible. Le moindre fichier prospects ou la moindre gestion de personnel suffit à l'écarter. Le détail complet est sur notre page dédiée au registre des traitements.

Une association est-elle concernée par le RGPD ?

Oui, exactement comme une entreprise. Le RGPD s'applique à toute structure qui traite des données personnelles, association loi 1901 ou société commerciale, lucrative ou non. Une association qui tient un fichier d'adhérents, envoie une newsletter ou gère des bénévoles est un responsable de traitement au sens de l'article 4, avec les mêmes obligations qu'une entreprise.

Un prestataire informatique est-il sous-traitant au sens du RGPD ?

Oui, dès qu'il traite des données personnelles pour votre compte et selon vos instructions : hébergeur, éditeur de logiciel SaaS, prestataire de maintenance qui accède à vos données, agence marketing qui gère votre CRM. L'article 28 impose un contrat de sous-traitance écrit avec ce prestataire, et vous restez responsable de ce qu'il fait de vos données, y compris en cas de manquement de sa part.

Que faire en cas de violation de données ?

Évaluer d'abord le risque pour les personnes concernées : c'est ce qui déclenche ou non l'obligation. Un risque avéré impose de notifier la CNIL sous 72 heures maximum à compter de sa découverte (article 33). Quand ce risque est qualifié d'élevé pour les personnes, elles doivent en plus être averties directement et sans délai (article 34). Documenter la violation reste obligatoire même sans notification, si l'analyse conclut à l'absence de risque.

Faut-il une bannière cookies ?

Uniquement si le site dépose des cookies non strictement nécessaires à son fonctionnement (mesure d'audience non exemptée, publicité, réseaux sociaux). Un site qui ne dépose que des cookies strictement nécessaires, ou une mesure d'audience configurée selon l'exemption de la délibération CNIL 2020-091, n'a pas besoin de bannière de consentement. Le dépôt de cookies non nécessaires avant tout consentement compte parmi les manquements que la CNIL sanctionne le plus souvent.

Par où commencer ?

Par le registre des traitements : c'est le document que la CNIL réclame en premier lors d'un contrôle, et lister ses traitements est ce qui révèle le reste (sous-traitants non couverts, durées de conservation jamais fixées, mentions d'information absentes). Ensuite, vérifier les points qui se sanctionnent réellement en pratique : la prospection, les cookies, la sécurité et la réponse aux demandes de droits, avant de se soucier de la conformité documentaire dans son ensemble.

Sources

Un régime permanent

Où en êtes-vous vraiment ?

Un état des lieux honnête de votre conformité RGPD, avec un plan d'action priorisé.

Faire un audit de maturité

RGPD : ce qu'il faut faire, et pourquoi ce n'est jamais terminé