Le RGPD fait souvent peur aux artisans, TPE et PME : texte complexe, vocabulaire juridique, sanctions mises en avant… Pourtant, pour une petite structure, la conformité repose surtout sur du bon sens, quelques règles clés et une sensibilisation minimale des équipes.
Dans cet article, nous allons répondre à deux questions que se posent beaucoup de dirigeants :
- Quelles sont, concrètement, les obligations RGPD pour une TPE / PME ?
- Faut-il une formation RGPD pour les salariés, et comment l’organiser simplement ?
L’objectif : vous donner une vision claire, pragmatique, adaptée à la réalité des petites entreprises de la région Auvergne-Rhône-Alpes.
1. Le RGPD, ça concerne vraiment les TPE / PME ?
Oui. Le RGPD s’applique à toute organisation qui traite des données personnelles, quelle que soit sa taille : artisan, association, TPE, PME, ETI…
Une donnée personnelle, c’est toute information permettant d’identifier une personne : nom, prénom, e-mail professionnel, numéro de téléphone, plaque d’immatriculation, adresse IP, etc. Autrement dit, dès que vous avez :
- Un fichier clients ou prospects,
- Des devis et factures avec des coordonnées,
- Un logiciel de paie ou de gestion du personnel,
- Un CRM, un formulaire de contact sur votre site web,
- Des campagnes d’e-mailing ou de SMS,
… vous êtes concerné par le RGPD.
La bonne nouvelle : la CNIL et le texte lui-même prévoient une application proportionnée à la taille de l’entreprise. On ne demande pas la même chose à une TPE de 5 personnes qu’à un groupe international.
2. Les obligations RGPD de base pour une TPE / PME
Pour une petite structure, respecter le RGPD revient à suivre quelques grands principes. Voici les obligations essentielles à connaître.
2.1. Avoir une base légale pour chaque traitement de données
Pour chaque utilisation de données personnelles, vous devez répondre à la question : « Ai-je le droit de le faire, sur quelle base ? » Les bases légales les plus fréquentes en TPE / PME sont :
- L’exécution d’un contrat : devis, facturation, suivi de commande, service après-vente.
- L’obligation légale : comptabilité, gestion sociale, déclarations administratives.
- L’intérêt légitime : prospection BtoB raisonnable, sécurisation des locaux, amélioration de la relation client.
- Le consentement : newsletter, cookies non essentiels, certaines opérations marketing.
Dans une petite entreprise, la majorité des traitements repose sur le contrat, l’obligation légale ou l’intérêt légitime. Le consentement doit être réservé aux cas où il est réellement nécessaire.
2.2. Informer clairement vos clients, prospects et salariés
Le RGPD impose une information transparente des personnes dont vous traitez les données, à travers par exemple :
- Une politique de confidentialité sur votre site internet,
- Des mentions d’information sur vos formulaires (contact, téléchargement de brochure, demande de devis, etc.),
- Un paragraphe dédié dans les contrats de travail ou le livret d’accueil des salariés.
Cette information doit préciser :
- Qui est le responsable du traitement (votre entreprise),
- Pour quelles finalités les données sont utilisées,
- Combien de temps elles sont conservées,
- Qui y a accès (interne, sous-traitants),
- Les droits des personnes (accès, rectification, opposition, etc.) et comment les exercer.
Digitandco accompagne les entreprises dans la rédaction de ces documents, dans une approche compréhensible et adaptée à votre activité. Pour aller plus loin sur le sujet, vous pouvez consulter notre page dédiée à l’accompagnement RGPD pour TPE / PME.
2.3. Tenir un registre de vos traitements
Le registre des traitements est un document, souvent sous forme de tableau, qui recense :
- Vos grands processus : gestion commerciale, RH, marketing, site web, etc.
- Les données collectées et pour quelles finalités,
- Les catégories de personnes concernées (clients, prospects, salariés, fournisseurs),
- Les durées de conservation,
- Les destinataires (interne, cabinet comptable, prestataire paie, hébergeur, etc.).
Pour une TPE / PME, ce registre peut tenir sur quelques pages seulement. L’essentiel est qu’il reflète la réalité de vos pratiques et qu’il soit tenu à jour.
2.4. Maîtriser vos sous-traitants et prestataires
Vous utilisez un logiciel de facturation en ligne, un outil de newsletter, un CRM, un cloud, un prestataire de paie, un hébergeur de site web ? Tous ces acteurs traitent des données pour votre compte : ce sont des sous-traitants au sens du RGPD.
Vous avez l’obligation de :
- Choisir des prestataires offrant des garanties suffisantes en matière de sécurité et de conformité,
- Signer des contrats ou CGU incluant des clauses RGPD,
- Vérifier, a minima, où sont hébergées les données (UE ou hors UE) et selon quelles garanties.
En pratique, cela passe par un inventaire de vos outils, une relecture des contrats clés, et parfois quelques ajustements.
2.5. Sécuriser les données au quotidien
Le RGPD ne demande pas une sécurité « parfaite », mais une sécurité adaptée à la taille de l’entreprise, à ses risques et à ses moyens. Pour une TPE / PME, cela se traduit par des mesures simples :
- Des mots de passe robustes et uniques, éventuellement avec un gestionnaire de mots de passe,
- La double authentification sur les comptes sensibles (messagerie, CRM, outils de paie, banque),
- Des sauvegardes régulières et testées,
- Des droits d’accès limités au strict nécessaire (principe du « besoin d’en connaître »),
- Un minimum de sensibilisation contre le phishing et les pièces jointes suspectes.
Ce sont souvent ces mesures de base qui évitent les incidents et les violations de données les plus fréquentes.
3. Les obligations spécifiques vis-à-vis des salariés
Le RGPD s’applique aussi à vos collaborateurs : salariés, apprentis, alternants, intérimaires, candidats, etc. Plusieurs points méritent une attention particulière.
3.1. Informer vos salariés sur l’usage de leurs données
Comme pour les clients, vous devez expliquer à vos salariés comment leurs données sont utilisées. En pratique, cela passe souvent par :
- Une note d’information remise à l’embauche,
- Un paragraphe RGPD dans le règlement intérieur ou le livret d’accueil,
- Des informations spécifiques en cas de vidéosurveillance ou de géolocalisation des véhicules, par exemple.
Cette information doit indiquer les données traitées (dossier RH, horaires, paie…), les finalités (gestion administrative, paie, sécurité), les durées de conservation et les droits des salariés.
3.2. Encadrer les outils de travail et le télétravail
Entre messagerie professionnelle, outils collaboratifs, CRM, smartphones d’entreprise, télétravail… les risques d’erreurs sont nombreux. Vous devez notamment :
- Définir des règles d’usage claires des outils (chartes, bonnes pratiques),
- Encadrer l’usage des équipements personnels pour travailler (BYOD),
- Donner des consignes minimales sur la protection des données à distance : connexion Wi-Fi, stockage des documents, impression à domicile, etc.
C’est là que la formation RGPD prend tout son sens : rappeler des règles simples pour éviter les fuites involontaires.
3.3. Sensibiliser les équipes aux risques quotidiens
Un grand nombre d’incidents RGPD en TPE / PME ne vient pas d’une cyberattaque sophistiquée, mais d’un oubli ou d’une maladresse :
- E-mail envoyé au mauvais destinataire, avec un fichier client en pièce jointe,
- Clé USB perdue, contenant des données sensibles,
- Poste non verrouillé dans un open space ou un atelier,
- Dossier papier client oublié lors d’un rendez-vous extérieur.
Une formation RGPD courte et adaptée au terrain permet de réduire fortement ces risques en quelques heures seulement.
4. Formation RGPD pour les salariés : pourquoi et comment ?
Le RGPD ne dit pas noir sur blanc « vous devez former vos salariés », mais il impose au responsable de traitement (l’entreprise) de mettre en place des mesures organisationnelles adaptées. Or, sans sensibilisation, les procédures restent théoriques.
Pour une TPE / PME, la formation RGPD est donc une mesure de bon sens qui répond à plusieurs besoins :
- Limiter les erreurs humaines,
- Donner un cadre clair aux équipes,
- Montrer à la CNIL, en cas de contrôle ou d’incident, que vous avez pris le sujet au sérieux.
4.1. Qui doit être formé en priorité ?
Tout le monde n’a pas besoin du même niveau de détail. Dans une petite entreprise, on distingue généralement :
- Le dirigeant : il doit avoir une vision globale des obligations, des risques et des priorités.
- Les fonctions clés (administratif, RH, commercial, ADV, marketing) : ce sont elles qui manipulent le plus de données au quotidien.
- L’ensemble des salariés : un socle commun de bonnes pratiques (e-mails, mots de passe, confidentialité, gestion papier).
La formation peut être organisée en plusieurs temps : une session de cadrage pour le dirigeant / manager, puis des ateliers courts pour les équipes.
4.2. Que doit couvrir une formation RGPD pour vos équipes ?
Une formation RGPD efficace pour une TPE / PME ne doit pas se transformer en cours de droit. Elle doit être concrète et centrée sur les situations réelles rencontrées par vos équipes.
Voici les principaux thèmes que nous abordons chez Digitandco lors de nos formations :
- Les notions de base : ce qu’est une donnée personnelle, un traitement, un responsable de traitement, un sous-traitant.
- Les bons réflexes : mot de passe, verrouillage de session, classement et destruction des documents, usage des messageries et clés USB.
- La gestion des e-mails : envoi de pièces jointes, destinataires en CCI, diffusion interne, réponses à des demandes sensibles.
- La relation client : collecte des données, informations à donner, respect des préférences en matière de prospection.
- Les situations à risque : départ d’un salarié, changement d’outil, incidents de sécurité, travail en mobilité.
- Le rôle de chacun en cas d’incident : qui alerter, comment réagir rapidement.
Chaque formation est adaptée au secteur (BTP, industrie, services, commerce, etc.) et aux outils réellement utilisés dans l’entreprise.
4.3. Mode présentiel, distanciel, e-learning : que choisir ?
Selon la taille de votre structure, votre organisation et vos contraintes, plusieurs formats sont possibles :
- Ateliers en présentiel : idéals pour les équipes terrain, avec échanges de cas concrets.
- Classe virtuelle : pratique pour les équipes réparties sur plusieurs sites (Lyon, Grenoble, Saint-Étienne, Valence, Chambéry, Annecy…).
- Parcours mixte : un tronc commun en e-learning, complété par une session courte en visio ou en présentiel pour répondre aux questions.
Digitandco, certifiée Qualiopi, propose des formations RGPD finançables dans le cadre de la formation professionnelle. Nous construisons avec vous un parcours adapté à votre réalité : temps disponible, profils de salariés, niveau de maturité digitale.
5. Comment démarrer simplement votre mise en conformité RGPD ?
Plutôt que de vouloir tout faire en une fois, la clé pour une TPE / PME est de avancer étape par étape, avec un plan d’action réaliste. Par exemple :
- Faire un point de départ : un audit rapide de vos pratiques, de vos outils et de vos documents (site web, contrats, formulaires).
- Mettre à jour vos documents clés : mentions d’information, politique de confidentialité, registre des traitements simplifié.
- Sécuriser les accès : mots de passe, double authentification, sauvegardes, droits d’accès.
- Former vos équipes : une première session de sensibilisation, puis un rappel annuel ou tous les deux ans.
- Mettre en place une routine : mise à jour du registre, revue périodique des prestataires, suivi des incidents.
En quelques semaines, il est possible d’atteindre un bon niveau de conformité pour une petite structure, sans y consacrer tout votre temps. L’essentiel est d’avoir un fil conducteur et de pouvoir démontrer, en cas de contrôle ou de question d’un client, que vous avez engagé une démarche structurée.
6. Se faire accompagner : un gain de temps pour les dirigeants de TPE / PME
Pour un dirigeant déjà très sollicité, se plonger seul dans les textes RGPD peut vite devenir chronophage. C’est pourquoi beaucoup d’artisans, TPE et PME choisissent de se faire accompagner pour :
- Traduire le RGPD dans le langage de leur métier,
- Prioriser ce qui est vraiment important,
- Éviter les erreurs classiques (modèles copiés-collés, politiques inadaptées),
- Mettre en place une formation RGPD sur mesure pour leurs équipes.
Basée à Lyon, Digitandco accompagne depuis 2016 les TPE / PME de la région Auvergne-Rhône-Alpes dans leur transformation digitale : outils, organisation, automatisation, RGPD, agents IA… Nous intervenons sur site (Lyon, Saint-Étienne, Grenoble, Valence, Chambéry, Annecy…) ou à distance.
Pour approfondir les enjeux de la transformation numérique dans votre entreprise, vous pouvez également consulter notre page dédiée à l’accompagnement à la transformation digitale ainsi que nos articles sur l’usage d’un CRM en TPE / PME et sur l’automatisation des processus.
Passer à l’action : parlons de votre conformité RGPD
Vous vous demandez par où commencer ou comment structurer une formation RGPD pour vos salariés ?
- Nous réalisons un diagnostic rapide de votre situation,
- Nous définissons avec vous un plan d’action priorisé et adapté à vos moyens,
- Nous construisons une formation RGPD sur mesure, centrée sur les enjeux concrets de vos équipes.
Contactez Digitandco pour échanger sur vos obligations RGPD et vos besoins en formation : nous vous proposerons un accompagnement pragmatique, adapté à votre taille d’entreprise et à votre secteur d’activité.
