RGPD pour le site d’une TPE : le minimum viable en 2026

Un site de TPE est en règle quand son dirigeant peut répondre à quatre questions sans chercher : quelles données le site collecte, pour quoi faire, chez qui elles transitent, et qui répond si une personne les réclame. Tout le reste de la conformité découle de ces quatre réponses, écrites une fois, sur quelques pages. Voici ce qu’il faut documenter, ce qu’il faut régler sur le site, et ce que la CNIL sanctionne réellement.

Gilles dirige un cabinet d’architecture d’intérieur de huit salariés. Un mardi matin, une ancienne cliente lui écrit : elle demande à savoir quelles données le cabinet détient sur elle, et à les faire effacer. Personne ne sait qui doit répondre. Les coordonnées de la cliente dorment dans le formulaire du site, dans la boite de la secrétaire, dans l’outil d’envoi de la lettre d’information et dans une sauvegarde de l’hébergeur. Le délai légal d’un mois, fixé par l’article 12 du RGPD, a commencé à courir.

Ce que le RGPD demande à une TPE, et ce qu’il ne lui demande pas

Le règlement s’applique dès qu’un site collecte une donnée qui identifie quelqu’un, et un simple formulaire de contact suffit. La taille de l’entreprise change le niveau de formalisme, pas le principe. Le dirigeant reste le responsable du traitement, y compris quand tout est confié à un prestataire.

Ce que la loi ne demande pas : un délégué à la protection des données, une analyse d’impact ou une certification, tant que vous ne traitez ni données sensibles ni surveillance à grande échelle. Le guide pratique de sensibilisation au RGPD, publié en 2018 par Bpifrance Le Lab avec la CNIL, ramène l’essentiel à quatre actions : recenser, trier, respecter les droits, sécuriser. Quatre actions, pas quarante.

Sur le registre des traitements, la règle est moins souple qu’on ne le dit. La CNIL précise que l’obligation vise tous les organismes quelle que soit leur taille. Les structures de moins de 250 salariés bénéficient d’une dérogation limitée : elles inscrivent les traitements non occasionnels, ceux qui présentent un risque et ceux qui portent sur des données sensibles. Gestion des clients, paie et prospects sont non occasionnels. En pratique, votre registre existe, et il tient sur une page.

Où votre site collecte des données sans que personne l’ait décidé

La difficulté d’un site de TPE tient moins aux grandes décisions qu’aux collectes héritées. Quatre endroits concentrent presque tous les écarts.

Le formulaire de contact. Il collecte un nom, une adresse, un message, parfois un numéro. Le guide CNIL et Bpifrance demande une mention d’information sous le formulaire : qui collecte, pourquoi, combien de temps, et comment exercer ses droits. Les champs superflus sont un risque, pas un atout : ne demandez que ce qu’il faut pour répondre.

Les cookies et les outils de mesure. Les règles de la CNIL sur les traceurs sont constantes : un consentement préalable pour tout traceur non exempté, un refus aussi simple que l’acceptation, un retrait possible à tout moment. Un bandeau qui dépose les traceurs avant le choix de la personne est non conforme, quel que soit son design. La mesure d’audience peut être exemptée sous conditions, ce qui évite parfois le bandeau, mais ces conditions se vérifient outil par outil.

La lettre d’information. Une inscription suppose une action volontaire de la personne : pas de case précochée, pas d’abonnement déduit d’une demande de devis. Chaque message doit comporter un lien de désinscription qui fonctionne.

Les extensions et services tiers. Une carte intégrée, une vidéo, un chat, un plugin de réservation : chacun peut transmettre l’adresse IP du visiteur à une société tierce. Gilles en comptait sept sur son site. Il en avait choisi deux.

Le dossier minimum : trois documents, une demi-journée

Un site de TPE conforme s’appuie sur trois documents qui se rédigent en une demi-journée si l’inventaire a été fait.

Le registre. Une ligne par traitement : finalité, catégories de données, destinataires, durée de conservation. La CNIL propose un modèle de registre simplifié au format tableur, pensé pour les petites structures. Pour un site, comptez cinq à huit lignes : contacts, lettre d’information, mesure d’audience, comptes clients s’il y en a, candidatures spontanées, sauvegardes.

La liste de vos sous-traitants et les contrats qui vont avec. Hébergeur, prestataire de maintenance, outil d’envoi, agence : chacun traite des données pour votre compte, et chacun doit être encadré par un contrat ou des conditions qui fixent ses obligations. La CNIL a rappelé dans son bilan que les sous-traitants sont sanctionnés eux aussi pour défaut de sécurité et de suppression en fin de contrat. Vérifier ce point au renouvellement du contrat de maintenance de votre site coûte un échange de courriels.

Une page de politique de confidentialité à jour. Elle reprend les lignes du registre en langage clair. Elle se met à jour dès qu’un outil est branché ou débranché, sans quoi elle décrit un site qui n’existe plus.

« faire croitre ce qui compte vraiment »

Baseline Afervescence

Maëlys, gérante d’une boutique en ligne de literie de six salariés, a conduit ce travail en octobre dernier. Elle a découvert que son site envoyait les adresses de ses visiteurs à un service de cartes qu’aucun client n’utilisait. Elle l’a supprimé, et le registre est passé de douze lignes théoriques à sept lignes vraies.

Ce que la CNIL sanctionne, et le jour où une demande arrive

Dans son bilan des sanctions 2025, la CNIL recense 83 sanctions et 143 mises en demeure sur l’année. Les deux plus lourdes amendes, 325 et 150 millions d’euros, visent des plateformes sur les cookies. Les petites structures, elles, sont rattrapées par la procédure simplifiée : sur les 67 sanctions prononcées ainsi, 14 portent sur une sécurité insuffisante (mots de passe faibles, comptes partagés), 14 sur l’absence de réponse aux demandes de la CNIL et 14 sur le non-respect des demandes d’effacement, d’opposition ou d’accès.

Le message est net : la CNIL ne cherche pas la TPE avec un registre un peu court. Elle sanctionne celle qui ne répond pas, qui ne sécurise pas, ou qui ignore une personne qui demande ses droits. Désignez donc un interlocuteur, une adresse de réception des demandes, et une procédure de quelques lignes pour les traiter dans le mois.

Reste le cas de la fuite. Selon la CNIL, toute violation qui présente un risque pour les personnes se notifie à l’autorité dans un délai maximal de 72 heures, et toute violation, même sans risque, s’inscrit dans un registre interne. Un site piraté, un fichier de clients envoyé à la mauvaise personne, un ordinateur volé : ces cas relèvent de la même règle. Ayez le lien du téléservice de notification et le nom de celui qui le remplit.

Pour passer de l’inventaire aux correctifs sur le site lui-même (bandeau, formulaire, extensions, sauvegardes), c’est un chantier d’exécution web de quelques jours, bien moins coûteux qu’une régularisation sous mise en demeure. La logique d’inventaire est celle que nous appliquons à l’IA dans notre méthode d’audit, et les vérifications de formulaire recoupent celles de notre checklist des douze points.

Mettez votre registre à jour à chaque nouvel outil branché sur le site, et datez-le. Une page datée de moins de six mois répond à presque toutes les questions qu’un contrôle ou une cliente peuvent vous poser.

FAQ

Une TPE est-elle obligée de tenir un registre des traitements ?

Oui, dans la quasi-totalité des cas. La dérogation des moins de 250 salariés ne couvre que les traitements occasionnels sans risque. La gestion des clients, des fournisseurs et de la paie est un traitement régulier, donc inscrit. La CNIL propose un modèle simplifié au format tableur. Pour un site, quelques lignes suffisent : contacts, lettre d’information, mesure d’audience, candidatures et sauvegardes.

Mon site a-t-il besoin d’un bandeau cookies ?

Si le site dépose des traceurs non exemptés (publicité, vidéo ou carte tierce, certains outils de statistiques), oui, avec un refus aussi simple que l’acceptation. Un site qui n’utilise que des traceurs strictement nécessaires, ou une mesure d’audience répondant aux conditions d’exemption de la CNIL, peut s’en passer. Le plus sûr est de lister les traceurs réellement déposés avant de décider.

Que faire si un client demande l’effacement de ses données ?

Vous disposez d’un mois pour répondre, selon l’article 12 du RGPD. Identifiez tous les endroits où figurent ses données (site, messagerie, outil d’envoi, sauvegardes), supprimez ou justifiez la conservation de ce que la loi vous oblige à garder, par exemple les factures, puis confirmez par écrit. Notez la demande et la réponse : c’est la preuve que vous la demandera la CNIL.

Faut-il notifier la CNIL à chaque incident de sécurité ?

Non, mais chaque incident s’inscrit au registre interne des violations. La notification dans les 72 heures s’impose lorsque la violation présente un risque pour les droits des personnes. Quand les données perdues étaient chiffrées correctement, ou déjà publiques, le risque peut être écarté, à condition de le justifier par écrit. En cas de doute, notifiez.

Pour aller plus loin

• CNIL, Les violations de données personnelles : les règles à suivre
• CNIL, Sanctions et mesures correctrices : le bilan 2025
• CNIL, Le registre des activités de traitement
• Bpifrance Le Lab et CNIL, Guide pratique de sensibilisation au RGPD

Si vous voulez mettre votre site en conformité sans y consacrer des semaines, notre offre d’exécution web couvre l’inventaire, les corrections et la mise à jour de la documentation.

Les situations décrites sont des cas composites : prénoms et effectifs ont été modifiés. Cet article donne un cadre de travail et ne remplace pas un conseil juridique.

La rédaction Afervescence