Checklist RGPD pour les petites entreprises : 12 étapes pour votre site

Une petite entreprise n’est pas exemptée du RGPD. Si vous proposez des biens ou des services à des personnes dans l’UE, ou si vous suivez leur comportement sur votre site, le règlement s’applique quelle que soit votre taille, et la plupart de ses obligations sont les mêmes pour une boutique de cinq personnes que pour un grand groupe. La bonne nouvelle : pour un site typique, la conformité se résume à une douzaine de tâches concrètes, dont la plupart se font une fois et se revoient une fois par an. Cette checklist suit l’ordre dans lequel elles sont le plus simples à faire.

1. Quelles données personnelles détenez-vous vraiment ?

Commencez par un inventaire : le formulaire de contact, les inscriptions à la newsletter, les comptes clients, les commandes et factures, les e-mails du support, les cookies de mesure d’audience et de publicité, les widgets de chat, les candidatures. Pour chacun, notez quelles données sont collectées, pourquoi, où elles sont stockées, qui peut y accéder, quel prestataire les traite, et combien de temps vous les gardez. L’article 30 exige un registre écrit des activités de traitement. Les entreprises de moins de 250 salariés n’en sont dispensées que si le traitement est occasionnel, n’est pas susceptible d’engendrer un risque et ne porte pas sur des catégories particulières de données ; un site qui collecte des contacts tous les jours n’a rien d’occasionnel, donc en pratique la plupart des petites entreprises tiennent ce registre. Un tableur suffit.

2. Quelle base légale couvre chaque usage ?

L’article 6 énumère six bases légales. Le site d’une petite entreprise en utilise surtout trois : le contrat pour traiter une commande ou un compte, l’obligation légale pour les factures et les documents fiscaux, et le consentement pour les newsletters et les cookies non essentiels. L’intérêt légitime peut couvrir la prévention de la fraude ou la prospection auprès de clients existants, mais il demande une mise en balance écrite. Notez la base à côté de chaque ligne de votre inventaire, car la politique de confidentialité doit l’indiquer.

3. Vos cookies attendent-ils le consentement ?

Selon les règles ePrivacy, la mesure d’audience, la publicité et la plupart des contenus embarqués exigent un consentement avant d’être stockés ou lus sur l’appareil du visiteur. Cela veut dire un bandeau avec Accepter et Refuser dès le premier écran, rien de pré-coché, et des balises qui attendent réellement le choix. Le bandeau est la partie visible ; le blocage est ce que les autorités contrôlent. Vérifier les cookies avant consentement montre comment le tester en cinq minutes avec votre navigateur.

4. Votre politique de confidentialité est-elle complète ?

Les articles 13 et 14 listent ce que vous devez dire aux personnes : qui vous êtes et comment vous contacter, les finalités et les bases légales, les destinataires et les sous-traitants, les transferts hors de l’UE et leur garantie, les durées de conservation, les droits des personnes, le droit d’introduire une réclamation auprès d’une autorité de contrôle, et le caractère obligatoire ou non de la fourniture des données. Mon site a-t-il besoin d’une politique de confidentialité passe le contenu en revue. Mettez-la en lien sur chaque page et depuis chaque formulaire.

5. Avez-vous signé les contrats de sous-traitance ?

Chaque prestataire qui traite des données personnelles pour vous (hébergement, e-mailing, mesure d’audience, CRM, paiement, support) est un sous-traitant, et l’article 28 exige un contrat comportant des clauses précises. La plupart des prestataires publient un accord de traitement des données (DPA) que vous acceptez dans les paramètres du compte ou que vous téléchargez. Rassemblez-les dans un même dossier.

6. Les transferts hors de l’UE sont-ils couverts ?

Envoyer des données à un prestataire situé dans un pays sans décision d’adéquation exige une garantie, en général les clauses contractuelles types incluses dans le DPA du prestataire. Pour les prestataires américains, la Commission européenne a adopté le 10 juillet 2023 une décision d’adéquation pour le cadre de protection des données UE-États-Unis (Data Privacy Framework), qui couvre les entreprises certifiées dans ce cadre ; vérifiez la certification du prestataire.

7. Pouvez-vous répondre à une demande en un mois ?

Les personnes peuvent demander une copie de leurs données, leur rectification, leur effacement, la limitation du traitement, la portabilité, et peuvent s’opposer au traitement. L’article 12 vous donne un mois pour répondre, prolongeable de deux mois pour les demandes complexes. Décidez qui traite les demandes, comment vous vérifiez l’identité, et où vous cherchez les données (l’inventaire de l’étape 1 sert de carte).

8. Les données sont-elles en sécurité ?

L’article 32 demande une sécurité adaptée au risque. Pour une petite entreprise, cela veut dire des comptes individuels avec double authentification sur chaque outil, des accès limités au strict nécessaire, des mises à jour appliquées, des sauvegardes chiffrées, du HTTPS partout, et la suppression des accès quand quelqu’un part.

9. Savez-vous quoi faire après une violation de données ?

Un ordinateur portable perdu, une boîte mail piratée ou un e-mail contenant des données clients envoyé au mauvais destinataire peuvent constituer une violation de données personnelles. L’article 33 impose de la notifier à l’autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes, et l’article 34 impose d’informer les personnes concernées quand le risque est élevé. Écrivez qui décide, et tenez un journal de chaque incident, y compris ceux que vous n’avez pas notifiés.

10. Ne gardez-vous les données que le temps nécessaire ?

Fixez des durées de conservation par catégorie : les factures pendant la durée qu’exige votre droit fiscal, les prospects pendant une durée fixe après le dernier contact, les preuves de consentement aussi longtemps que vous vous appuyez sur le consentement puis pendant le délai de prescription, comme l’explique combien de temps garder les preuves de consentement. Supprimez ou anonymisez le reste selon un calendrier.

11. Avez-vous besoin d’un DPO ou d’un représentant dans l’UE ?

Un délégué à la protection des données n’est obligatoire, selon l’article 37, que pour les autorités publiques et pour les organismes dont les activités de base impliquent un suivi régulier et systématique à grande échelle des personnes, ou le traitement à grande échelle de données sensibles. La plupart des petites entreprises n’en ont pas besoin, mais quelqu’un doit porter le sujet. Une entreprise sans établissement dans l’UE qui cible des clients européens doit en général désigner un représentant dans l’UE au titre de l’article 27.

12. Revoyez-vous tout cela une fois par an ?

Inscrivez une revue annuelle au calendrier : nouveaux outils ajoutés au site, nouveaux formulaires, prestataires changés, cookies apparus. Un scan du site montre quels traceurs sont présents aujourd’hui, ce qui ne correspond souvent pas à ce que décrit la politique de confidentialité.

Que coûte une erreur ?

Les amendes prévues par l’article 83 atteignent 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves, et les autorités doivent les garder proportionnées. Pour les petites entreprises, l’issue la plus fréquente est une plainte, une mise en demeure de corriger et une amende plus modeste. La page RGPD détaille les règles.

Où se place un outil de consentement ?

Les étapes 3, 4 et une partie de la 10 sont ce qu’un outil de consentement automatise. L’offre gratuite de Cookiequiet couvre un site : une balise script placée avant vos autres scripts, « Tout refuser » activé par défaut, Google Consent Mode v2 activé dans l’extrait que vous donne le tableau de bord, un scan qui remplit le tableau des cookies et préremplit la politique de confidentialité et la politique de cookies, et un registre des consentements. Comptez environ cinq minutes entre l’inscription et un bandeau en ligne ; le scanner de cookies gratuit montre ce que votre site dépose aujourd’hui, sans compte.