Le RGPD s’applique-t-il aux TPE et micro-entreprises ?

Oui, sans seuil de taille. Dès qu'une entreprise traite des données personnelles (clients, prospects, salariés), le RGPD s'applique — y compris aux micro-entreprises et aux indépendants.

Le registre des traitements est-il obligatoire pour une petite entreprise ?

Oui, dans la grande majorité des cas. Une dispense très limitée existe pour les entreprises de moins de 250 salariés, mais seulement si le traitement est occasionnel, sans risque et sans données sensibles — une condition rarement remplie. En pratique, tenez un registre : c'est aussi votre meilleur outil de pilotage.

Que faire en cas de fuite ou de violation de données ?

Documentez l'incident, notifiez la CNIL dans les 72 heures s'il présente un risque pour les personnes, et informez les personnes concernées si le risque est élevé. Tenez un registre des violations, même mineures.

Où trouver un accompagnement officiel et gratuit ?

Auprès de la CNIL (cnil.fr), qui publie un guide pratique dédié aux TPE/PME ainsi que des modèles gratuits (registre, mentions d'information).

Conformité

RGPD : la checklist de mise en conformité pour TPE/PME (2026)

Mis à jour le 8 juillet 2026 · 7 min de lecture

Le RGPD s'applique à toutes les entreprises, y compris les TPE et les micro-entreprises, dès qu'elles traitent des données personnelles (clients, prospects, salariés). Bonne nouvelle : pour une petite structure, la mise en conformité tient en une dizaine d'actions concrètes. Voici la checklist, sans jargon.

À jour au 8 juillet 2026. La CNIL est l'autorité de référence en France : consultez son guide TPE/PME et ses modèles gratuits (cnil.fr).

Le RGPD, en 30 secondes

Le RGPD encadre la collecte et le traitement des données personnelles — toute information se rapportant à une personne physique identifiable. Il repose sur quelques principes : finalité(un but précis), minimisation (le strict nécessaire), durée limitée, sécurité, transparence et respect des droits des personnes.

La checklist en 10 points

Cartographiez vos traitements (registre). Listez qui traite quoi, pourquoi, et combien de temps. Le registre des traitements est le point de départ obligatoire.
Justifiez chaque traitement par une base légale : consentement, exécution d'un contrat, obligation légale ou intérêt légitime.
Minimisez les données collectées : ne demandez que ce dont vous avez réellement besoin.
Fixez des durées de conservation et purgez ce qui est périmé (prospects inactifs, anciens CV, etc.).
Informez les personnes : une mention d'information claire sur vos formulaires, votre site et vos contrats (usage des données + droits).
Permettez l'exercice des droits (accès, rectification, effacement, opposition) et prévoyez une procédure pour répondre sous 1 mois.
Sécurisez les données : mots de passe robustes, double authentification, sauvegardes, accès restreints, chiffrement quand c'est possible.
Encadrez vos sous-traitants (hébergeur, logiciels SaaS, comptable) : vérifiez leurs garanties et signez des clauses RGPD.
Sachez gérer une violation de données : détecter, notifier la CNIL sous 72 h si risque, informer les personnes si le risque est élevé.
Désignez un référent (ou un DPO si vous y êtes soumis) : une personne responsable du sujet en interne.

Faut-il un DPO ?

Le DPO est obligatoire seulement dans trois cas : organisme public, suivi régulier et à grande échelle des personnes, ou traitement à grande échelle de données sensibles. Pour la plupart des TPE/PME, ce n'est pas obligatoire — mais désigner un référent interne est vivement recommandé.

Par où commencer concrètement

Si vous ne devez faire que trois choses cette semaine :

Ouvrez votre registre des traitements (le modèle CNIL suffit).
Renforcez la sécurité : mots de passe, double authentification, sauvegardes.
Rédigez votre mention d'information et ajoutez-la à vos formulaires.

En résumé : le RGPD n'est pas réservé aux grands groupes. Pour une TPE, c'est surtout de la rigueur et de la transparence — et une bonne partie recoupe votre cybersécurité. Commencez petit, mais commencez.

Sujet lié : le DUERP, autre obligation dès le 1er salarié.

Questions fréquentes

Le RGPD s’applique-t-il aux TPE et micro-entreprises ?: Oui, sans seuil de taille. Dès qu'une entreprise traite des données personnelles (clients, prospects, salariés), le RGPD s'applique — y compris aux micro-entreprises et aux indépendants.
Le registre des traitements est-il obligatoire pour une petite entreprise ?: Oui, dans la grande majorité des cas. Une dispense très limitée existe pour les entreprises de moins de 250 salariés, mais seulement si le traitement est occasionnel, sans risque et sans données sensibles — une condition rarement remplie. En pratique, tenez un registre : c'est aussi votre meilleur outil de pilotage.
Faut-il obligatoirement un DPO (délégué à la protection des données) ?: Non, sauf cas précis : autorité ou organisme public, suivi régulier et à grande échelle des personnes, ou traitement à grande échelle de données sensibles. Pour la plupart des TPE/PME, un référent interne identifié suffit — le DPO reste toutefois recommandé.
Que faire en cas de fuite ou de violation de données ?: Documentez l'incident, notifiez la CNIL dans les 72 heures s'il présente un risque pour les personnes, et informez les personnes concernées si le risque est élevé. Tenez un registre des violations, même mineures.
Où trouver un accompagnement officiel et gratuit ?: Auprès de la CNIL (cnil.fr), qui publie un guide pratique dédié aux TPE/PME ainsi que des modèles gratuits (registre, mentions d'information).

Voir aussi

← Toutes les ressources