Que doit faire une PME pour respecter le RGPD ?

Mis à jour le 30 octobre 2026 · Auteur : SYAGA Consulting

En bref. Le RGPD s'applique dès qu'une entreprise traite des données personnelles, quelle que soit sa taille. Le socle tient en six gestes : tenir un registre des traitements (article 30), encadrer chaque sous-traitant par un contrat (article 28), sécuriser les données (article 32), savoir notifier une violation à la CNIL dans les meilleurs délais et, si possible, sous 72 heures (article 33), mener une analyse d'impact quand le risque est élevé (article 35) et informer les personnes concernées (articles 13 et 14).

Ce que dit le texte

Le registre des activités de traitement (article 30)

Chaque responsable de traitement tient un registre écrit, papier ou électronique. Pour chaque activité, il indique les finalités, les catégories de personnes et de données, les destinataires, les transferts hors de l'Union, les délais d'effacement et une description générale des mesures de sécurité. La CNIL rappelle que le registre concerne « l'ensemble des traitements mis en œuvre » par l'organisme et publie un modèle simplifié au format ODS.

Les moins de 250 salariés ne sont pas dispensés

L'article 30, paragraphe 5, prévoit une dérogation pour les organismes de moins de 250 salariés, mais elle ne couvre que les traitements occasionnels, sans risque et sans données sensibles. La CNIL précise que cette dérogation reste limitée à des cas très particuliers et recommande, en cas de doute, d'inscrire le traitement.

Les sous-traitants (article 28)

Un prestataire qui traite des données pour votre compte (messagerie en ligne, paie, hébergement, outil de gestion commerciale) est un sous-traitant. Le contrat qui vous lie doit comporter les mentions de l'article 28, paragraphe 3 : traitement sur instruction documentée, confidentialité, sécurité, aide au respect des droits, sort des données en fin de contrat, droit d'audit.

La sécurité (article 32)

Le responsable met en œuvre des mesures techniques et organisationnelles adaptées au risque : pseudonymisation et chiffrement, confidentialité et disponibilité des systèmes, capacité de restauration, test régulier de l'efficacité des mesures.

Les violations de données (articles 33 et 34)

Une violation présentant un risque est notifiée à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Toute violation, même non notifiée, est documentée (article 33, paragraphe 5). Si le risque est élevé, les personnes concernées sont aussi informées.

L'analyse d'impact (article 35) et le délégué (article 37)

Une analyse d'impact est requise lorsqu'un traitement est susceptible d'engendrer un risque élevé. La désignation d'un délégué à la protection des données est obligatoire pour les organismes publics et pour ceux dont l'activité de base implique un suivi régulier et systématique à grande échelle ou des données sensibles à grande échelle.

Les sanctions (article 83)

Les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (paragraphe 4), et 20 millions d'euros ou 4 % pour les manquements les plus graves (paragraphe 5). Le montant tient compte de la gravité, de la durée, du caractère délibéré ou négligent de la violation (paragraphe 2, point b) et des mesures prises.

Le registre en pratique : une fiche type

L'article 30, paragraphe 1, fixe sept rubriques. Voici comment elles se remplissent pour une activité que toute entreprise employeuse connaît, la paie. Une fiche par finalité, pas par logiciel : la paie reste une seule fiche même si elle passe par un logiciel, un expert-comptable et une messagerie.

Fiche « Gestion de la paie » : les rubriques de l'article 30, paragraphe 1
Rubrique (article 30.1)	Exemple de contenu
a) Responsable du traitement, et délégué s'il y en a un	La société, son représentant légal, ses coordonnées
b) Finalités	Établir les bulletins de paie et les déclarations sociales
c) Personnes et catégories de données	Salariés ; identité, coordonnées, numéro de sécurité sociale, rémunération
d) Destinataires	Service paie, expert-comptable, organismes sociaux, éditeur du logiciel de paie
e) Transferts vers un pays tiers	Aucun, ou le pays et la garantie utilisée (voir plus bas)
f) Délais d'effacement	Double des bulletins conservé cinq ans (Code du travail, article L3243-4)
g) Mesures de sécurité	Accès réservé au service paie, double authentification, sauvegardes testées

Deux précisions du même article. Si votre entreprise traite aussi des données pour le compte de ses clients (prestataire informatique, cabinet de paie, centre d'appels), elle tient en plus un registre de sous-traitant, aux rubriques plus courtes (paragraphe 2). Et le registre est mis à la disposition de la CNIL si elle le demande (paragraphe 4) : il doit donc pouvoir être produit rapidement, sous une forme lisible.

Sous-traitants : ce que le contrat doit contenir

Le responsable ne fait appel qu'à des sous-traitants qui présentent des « garanties suffisantes » (article 28, paragraphe 1). Le contrat, écrit (paragraphe 9), doit prévoir que le sous-traitant (paragraphe 3) :

ne traite les données que sur instruction documentée, y compris pour les transferts hors de l'Union (point a) ;
fait respecter la confidentialité par les personnes qu'il autorise (point b) ;
prend les mesures de sécurité de l'article 32 (point c) ;
respecte les conditions de recours à un autre sous-traitant (point d) ;
vous aide à répondre aux demandes des personnes : accès, rectification, effacement (point e) ;
vous aide pour la sécurité, les violations de données et les analyses d'impact, articles 32 à 36 (point f) ;
supprime ou restitue les données en fin de contrat (point g) ;
vous donne les informations nécessaires et permet des audits (point h).

Un sous-traitant ne peut pas en recruter un autre sans votre autorisation écrite préalable. Si l'autorisation est générale, il doit vous informer de tout changement pour que vous puissiez vous y opposer (paragraphe 2). C'est la raison d'être des listes de « sous-processeurs » que publient les grands services en ligne. La CNIL publie un exemple de clauses de sous-traitance, utilisable comme liste de contrôle.

Un tableau suffit pour suivre tout cela : le prestataire, le service rendu, les données concernées, la référence du contrat ou de l'avenant, le lieu de traitement, et l'adresse de sa liste de sous-traitants ultérieurs.

Transferts hors de l'Union

Le chapitre V du RGPD (articles 44 à 49) n'autorise un transfert vers un pays tiers que dans l'un des cadres qu'il prévoit. Les trois que rencontre une PME :

Une décision d'adéquation de la Commission européenne (article 45). Pour les États-Unis, la décision du 10 juillet 2023 (décision d'exécution (UE) 2023/1795) couvre les entreprises américaines inscrites au cadre de protection des données UE-États-Unis, et elles seules.
Des garanties appropriées (article 46), le plus souvent les clauses contractuelles types adoptées par la Commission le 4 juin 2021 (décision d'exécution (UE) 2021/914), ou des règles d'entreprise contraignantes pour les groupes.
Les dérogations de l'article 49 (consentement explicite, exécution d'un contrat avec la personne), réservées à des situations particulières et non à un flux régulier.

Le transfert se déclare à deux endroits : dans le registre (article 30, paragraphe 1, point e) et dans l'information donnée aux personnes, qui doit mentionner l'intention de transférer et la garantie utilisée (article 13, paragraphe 1, point f).

Durées de conservation

Les données ne sont gardées sous une forme identifiante que le temps nécessaire à la finalité (article 5, paragraphe 1, point e). La durée, ou les critères qui la fixent, figure dans l'information des personnes (article 13, paragraphe 2, point a) et les délais d'effacement dans le registre (article 30, paragraphe 1, point f).

La CNIL décrit trois phases successives : la base active, le temps d'atteindre l'objectif ; l'archivage intermédiaire, quand une obligation légale ou un contentieux possible impose de garder les données, avec un accès restreint à des personnes habilitées et une séparation de la base active ; et l'archivage définitif, réservé aux informations qui ont une valeur durable. Les deux dernières phases ne sont pas systématiques.

Quelques durées citées par les textes et par la CNIL
Données	Durée	Source
Dossier d'un candidat non retenu	2 ans au maximum, sauf demande d'effacement	CNIL, exemple de base active
Données de facturation	10 ans, même si la personne n'est plus cliente	Code de commerce, selon la CNIL
Double des bulletins de paie	5 ans	Code du travail, article L3243-4, cité par la CNIL

Les durées recommandées par la CNIL sont un repère : on peut s'en écarter, à condition de documenter son choix. Une durée qui n'est appliquée par aucun réglage (suppression programmée, archivage séparé) reste une intention.

Le cas Microsoft 365

Pour la plupart des PME, la messagerie, les documents partagés et les réunions passent par Microsoft 365. Le service touche donc presque toutes les fiches du registre. Ce qu'il faut savoir, d'après la documentation de Microsoft :

Qui est responsable de quoi

Votre organisation est responsable du traitement ; pour les données client, Microsoft agit comme sous-traitant, pour votre compte, et prend les engagements de l'article 28 dans ses contrats. Concrètement, Microsoft 365 s'inscrit comme destinataire dans chaque fiche dont les données transitent par Exchange Online, OneDrive, SharePoint ou Teams, et son avenant de protection des données se classe avec vos contrats de sous-traitance.

Où sont les données

Avec la limite de données de l'UE, Microsoft s'est engagé à stocker et traiter dans l'UE et l'AELE les données client et les données personnelles de ses services en ligne d'entreprise, dont Microsoft 365, sous réserve de circonstances limitées qu'il documente. Les clients qui ont acheté les capacités Multi-Geo de Microsoft 365 n'en relèvent pas, même si leur locataire est déclaré dans un pays de l'UE ou de l'AELE. Pour les transferts restants vers les États-Unis, Microsoft indique s'appuyer sur les clauses contractuelles types, bien que certifié au cadre UE-États-Unis, sur lequel il ne s'appuie pas. C'est ce que note la rubrique « transferts » de vos fiches.

Combien de temps

Les stratégies de rétention de Microsoft Purview permettent de conserver un contenu pendant une durée minimale, de le supprimer au terme d'une durée, ou les deux : c'est l'outil qui fait passer une durée du registre dans les faits. Les journaux d'audit, qui contiennent des noms d'utilisateur, sont conservés 180 jours par défaut en Audit (Standard) depuis le 17 octobre 2023.

Droits des personnes et sécurité

Pour répondre à une demande d'accès ou d'effacement, Microsoft documente l'usage de la recherche de contenu (eDiscovery) dans les boîtes aux lettres, les sites et Teams. Côté sécurité (article 32), le registre décrit des mesures : double authentification, partages externes, comptes administrateurs. Elles se vérifient dans la configuration du locataire, pas dans un document : voir comment savoir si votre Microsoft 365 est bien sécurisé.

Les étapes, à faire vous-même

Lister vos activités par finalité, pas par logiciel. Paie, recrutement, gestion des clients, prospection, vidéosurveillance, messagerie : la CNIL demande d'identifier les traitements « par finalité et non par logiciel utilisé ». Faites le tour de chaque service et des formulaires de votre site.
Remplir une fiche par activité avec les rubriques de l'article 30 ; le modèle ODS de la CNIL suffit pour démarrer.
Dresser la liste de vos sous-traitants et vérifier, pour chacun, que le contrat porte les mentions de l'article 28. Les grands éditeurs en ligne publient leur avenant de protection des données : retrouvez-le et classez-le.
Vérifier les mesures de sécurité de base : double authentification des comptes, sauvegardes testées, droits d'accès revus, chiffrement des postes nomades. Notez-les dans le registre.
Écrire la conduite à tenir en cas de violation : qui prévient qui, comment qualifier le risque, comment notifier la CNIL dans les meilleurs délais et, si possible, sous 72 heures, et un tableau des violations tenu à jour.
Repérer les traitements à risque élevé (liste publiée par la CNIL des types de traitements soumis à analyse d'impact) et conduire l'analyse avant leur mise en œuvre.
Informer les personnes : mentions sur les formulaires, notice pour les salariés, page de confidentialité du site.
Tenir le tout à jour à chaque nouveau traitement, nouveau prestataire ou nouvelle durée de conservation.

Les erreurs fréquentes

Construire le registre logiciel par logiciel : une même finalité est éclatée, une autre est oubliée.
Croire qu'une entreprise de moins de 250 salariés n'a pas de registre à tenir.
Oublier les services en ligne du quotidien (messagerie, stockage partagé, visioconférence) dans la liste des sous-traitants.
Confondre le registre des traitements (article 30) et le registre des violations (article 33, paragraphe 5) : il faut les deux.
Écrire le registre une fois et ne plus jamais l'ouvrir.
Décrire des mesures de sécurité qui ne sont pas réellement en place : le registre doit refléter la réalité.
Écrire « durée : illimitée » ou laisser la rubrique vide : l'article 5 exige une durée liée à la finalité.
Ignorer qu'un service en ligne transfère des données hors de l'Union : la rubrique « transferts » reste alors fausse.
Oublier la liste des sous-traitants ultérieurs d'un prestataire : c'est elle qui dit où vont réellement les données.

Questions fréquentes

Une PME de 10 salariés doit-elle tenir un registre des traitements ?

Oui en pratique : la dérogation de l'article 30, paragraphe 5, ne couvre que les traitements occasionnels, sans risque et sans données sensibles. La paie ou la gestion des clients ne sont pas occasionnelles, et la CNIL recommande d'inscrire tout traitement en cas de doute.

Sous quelle forme tenir le registre ?

Le RGPD exige seulement qu'il soit écrit, sur papier ou sous forme électronique. Le modèle ODS de la CNIL est un point de départ suffisant pour une petite structure.

Combien de temps pour notifier une violation de données ?

Dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33). Au-delà, la notification doit expliquer le retard.

Faut-il obligatoirement un délégué à la protection des données ?

Seulement dans les cas de l'article 37 : organisme public, suivi régulier et systématique à grande échelle, ou données sensibles à grande échelle. Les autres peuvent en désigner un volontairement.

Microsoft 365 ou un autre service en ligne est-il un sous-traitant ?

Oui, dès qu'il traite des données personnelles pour votre compte. Le contrat doit comporter les mentions de l'article 28, et le service doit figurer dans votre registre comme destinataire.

Faut-il un contrat écrit avec chaque sous-traitant ?

Oui. L'article 28, paragraphe 3, impose un contrat ou un autre acte juridique qui fixe l'objet, la durée, la nature et la finalité du traitement, et le paragraphe 9 précise qu'il est écrit, y compris sous forme électronique. Pour un grand service en ligne, c'est en général son avenant de protection des données.

Que noter dans le registre quand des données sortent de l'Union ?

L'article 30, paragraphe 1, point e, demande d'indiquer le pays tiers destinataire et, pour les transferts de l'article 49, paragraphe 1, second alinéa, les documents qui établissent l'existence de garanties appropriées. En pratique, notez le pays et l'outil juridique utilisé : décision d'adéquation, clauses contractuelles types ou règles d'entreprise contraignantes.

Combien de temps garder le dossier d'un candidat non retenu ?

La CNIL indique, à titre d'exemple, deux ans au maximum, sauf si le candidat demande l'effacement avant. Les durées recommandées par la CNIL sont un repère : on peut s'en écarter en documentant son choix.

Les données de Microsoft 365 quittent-elles l'Union européenne ?

Microsoft s'est engagé, avec la limite de données de l'UE, à stocker et traiter les données client et les données personnelles de ses services en ligne d'entreprise dans l'UE et l'AELE, sauf circonstances limitées qu'il documente. Les clients qui ont acheté les capacités Multi-Geo n'en relèvent pas. Pour les transferts restants, Microsoft indique s'appuyer sur les clauses contractuelles types, bien que certifié au cadre UE-États-Unis, sur lequel il ne s'appuie pas.