Le RGPD fait peur. Pas parce qu'il est complique intrinsequement, mais parce qu'on te le presente toujours avec 5 000 articles, 40 acronymes et un cabinet a 8 000 EUR de devis. On va faire autrement. Voici les 5 etapes concretes qu'un dirigeant de PME francaise peut suivre seul pour etre conforme au RGPD. Sans jargon. Avec des exemples.
1. Designe un pilote (et arrete de penser que c'est forcement un DPO)
Le RGPD n'impose un Delegue a la Protection des Donnees qu'a trois categories d'organismes :
- Les autorites ou organismes publics.
- Les organismes qui font du suivi regulier a grande echelle (par exemple : un site e-commerce avec millions d'utilisateurs).
- Les organismes qui traitent a grande echelle des donnees sensibles (sante, religion, orientation sexuelle, etc.) ou des condamnations penales.
Si tu es une PME classique de 20 salaries en B2B, tu n'as PAS l'obligation legale de designer un DPO.
Mais tu as quand meme besoin d'un pilote interne. Quelqu'un qui a le dossier dans la tete : le dirigeant, le DAF, un responsable IT motive. Son role : coordonner les quatre etapes suivantes. Pas piloter une armee. Juste repondre au telephone le jour ou la CNIL t'envoie un courrier.
Si tu veux un vrai DPO externe, rgpdsimplement a un partenariat avec un cabinet francais — 199 EUR ponctuel pour un accompagnement sur ton plan d'action et un rendez-vous de 15 min. Tu vois notre offre ici.
2. Fais ton registre des traitements (oui, c'est obligatoire)
Le registre, c'est la cartographie de tous les traitements de donnees que ton entreprise effectue. Concretement :
- Tu paies tes employes ? C'est un traitement (le registre RH).
- Tu as des clients ? Un traitement (le registre clients).
- Tu as un formulaire de contact sur ton site ? Un traitement.
- Tu envoies des newsletters ? Un traitement.
Pour chaque traitement, tu dois pouvoir repondre a 5 questions basiques :
- Pourquoi tu traites ces donnees ? (la finalite)
- Quelles donnees tu traites ? (email, nom, salaire...)
- Combien de temps tu les gardes ? (ex : 5 ans apres le depart de l'employe)
- Avec qui tu les partages ? (fournisseur paie, service comptable...)
- Comment tu les securises ? (mot de passe, chiffrement, acces restreint...)
Le registre est obligatoire au-dessus de 250 salaries, et fortement recommande sinon. En pratique, la CNIL va te le demander des que tu es dans son collimateur, peu importe ta taille. Mieux vaut l'avoir.
Le piege : tout le monde te dit « prends un template Excel et remplis-le ». Resultat : 3 heures de remplissage, 20 onglets, et au final un document illisible que personne ne relira. Chez rgpdsimplement, Cloclo te genere un registre pre-rempli a partir des fiches officielles CNIL et de ton contexte (secteur, taille, traitements habituels de ta categorie). Tu valides, tu ajustes. 10 minutes par registre.
3. Ton site web, parlons-en
Trois choses indispensables sur ton site public :
3.1 Les mentions legales
Obligatoires pour tout site professionnel en France (loi LCEN). Elles contiennent : raison sociale, siege, SIREN, hebergeur, responsable de la publication. Si ton site n'en a pas, tu t'exposes a une amende.
3.2 La politique de confidentialite
Explique en clair quelles donnees tu collectes, pourquoi, combien de temps, avec qui tu les partages, et les droits de tes visiteurs (acces, effacement, portabilite...). C'est l'article 12 RGPD. Mets-la dans le footer, en bas de chaque page.
3.3 Le bandeau cookies (peut-etre)
Si tu utilises Google Analytics, Meta Pixel, TikTok Pixel ou n'importe quel outil qui depose des cookies de tracking, tu DOIS avoir un bandeau de consentement conforme CNIL :
- Bouton « Tout accepter » et « Tout refuser » au meme niveau visuel.
- Refus aussi facile que l'acceptation.
- Pas de « continuer a naviguer = accepter » (c'est illegal).
Si tu utilises un analytics sans cookie (comme Plausible ou Simple Analytics), pas de bandeau requis. C'est un vrai soulagement pour ton taux de rebond.
4. Prepare-toi a gerer les demandes d'exercice de droits
Les gens peuvent t'ecrire pour te demander :
- Quelles donnees tu as sur eux (droit d'acces, article 15).
- De corriger une donnee inexacte (droit de rectification, article 16).
- De supprimer leurs donnees (droit a l'effacement / oubli, article 17).
- D'exporter leurs donnees dans un format reutilisable (portabilite, article 20).
- De s'opposer a un traitement (article 21).
Tu as 1 mois pour repondre. Prolongeable de 2 mois si la demande est complexe (mais tu dois prevenir).
Le piege : un client fait une demande, elle arrive sur un email generique (contact@), personne ne la traite, la personne sature, saisit la CNIL, et la tu pleures. Solution : un email dedie (dpo@tonsite.fr par exemple), une procedure interne, un modele de reponse.
Chez rgpdsimplement, on genere automatiquement un formulaire de contact adapte a ton site, qui route les demandes dans ton espace client avec horodatage automatique. Tu sais exactement quand le chrono de 1 mois commence.
5. Documente tes sous-traitants
Si tu utilises des outils tiers qui accedent a des donnees personnelles (et oui, tu en as plein sans y penser), tu dois les lister et avoir un accord de traitement des donnees (DPA) avec chacun.
Les suspects habituels :
- Ton CRM : HubSpot, Pipedrive, Zoho, Brevo...
- Ton outil d'emailing : Mailjet, Brevo, Mailchimp...
- Ta paie : Silae, Payfit, Sage...
- Ton hebergement : OVH, Hetzner, AWS, Google Cloud...
- Ta visio : Zoom, Teams, Meet...
- Ton analytics : Google Analytics, Plausible, Matomo...
Pour chacun, tu dois :
- Verifier ou il heberge les donnees (UE ou hors UE).
- Signer le DPA (souvent automatique sur creation de compte).
- Lister dans ton registre des sous-traitants (oui, un deuxieme registre, plus leger).
Si un sous-traitant est hors UE (Stripe est en Irlande, Cloudflare est US, HubSpot est US...), tu dois documenter le transfert hors UE avec les Clauses Contractuelles Types de la Commission europeenne (version 2021).
La feuille de route concrete
Voici l'ordre dans lequel t'y prendre sur une apres-midi :
| Etape | Temps estime | Outil |
|---|---|---|
| 1. Designer un pilote interne | 5 min | Email a toi-meme |
| 2. Lister tes traitements (nom seulement) | 20 min | Feuille de papier |
| 3. Faire 3 registres prioritaires | 30 min | Cloclo |
| 4. Mettre mentions legales + politique conf sur ton site | 30 min | Templates rgpdsimplement |
| 5. Lister tes sous-traitants + signer DPA | 45 min | Dashboard de chaque outil |
Total : ~2h30. Si tu fais ca un mardi apres-midi en buvant un cafe, tu es largement plus conforme que 80% des PME francaises.
Le reste (AIPD, formation equipes, cookies si tu en as, incidents...) viendra naturellement sur les mois suivants. Mais la base est la.
On se parle ? rgpdsimplement est concu exactement pour accompagner ce parcours. Test gratuit 1 mois, 3 registres offerts, carte bancaire requise pour filtrer les abus, annulation en 1 clic. Si tu veux un coup de main humain sur le plan d'action, l'option Aide juridique 199 EUR t'obtient un rendez-vous de 15 min avec un avocat de notre reseau partenaire.
Pose-moi tes questions par email a contact@rgpdsimplement.xyz. Je les lis toutes.
— Cloclo