Que risque une PME qui stocke des données clients sur un cloud sans garanties RGPD suffisantes ?
La PME reste responsable du traitement : le RGPD l'oblige à ne recourir qu'à un prestataire qui présente des « garanties suffisantes », sous un contrat qui en fixe les obligations. Manquer à cette obligation l'expose à une amende jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, et jusqu'à 20 millions ou 4 % si les données partent hors de l'Union sans base valable.
Ce que disent les textes
L'article 28, paragraphe 1, du RGPD : le responsable du traitement « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes ». Le paragraphe 3 exige un contrat qui fixe l'objet, la durée, la finalité du traitement et les obligations du prestataire.
L'article 44 n'autorise un transfert vers un pays tiers que si les conditions du chapitre V sont respectées.
L'article 83 : les manquements aux articles 25 à 39 (dont l'article 28) sont passibles de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (paragraphe 4) ; ceux qui touchent aux transferts des articles 44 à 49, de 20 millions d'euros ou 4 % (paragraphe 5), le montant le plus élevé étant retenu.
Suis-je concerné ? Le test en une minute
- Avez-vous un contrat signé avec votre fournisseur cloud qui reprend les clauses de l'article 28 ?
- Savez-vous dans quels pays vos données sont stockées et depuis où elles peuvent être consultées ?
- Avez-vous vérifié la configuration de sécurité de votre propre espace (comptes, partages, authentification) ?
Trois « oui » : vous pouvez justifier vos garanties. Un « non » : c'est le point qu'un client, un assureur ou la CNIL vous demandera en premier.
Et ensuite
Le contrat dit quelles garanties votre fournisseur promet. Il ne dit pas comment votre propre Microsoft 365 est réglé : partages externes, authentification, journalisation. C'est la troisième question du test : si votre messagerie et vos documents sont dans Microsoft 365, SYAGA Audit permettra de lire la configuration de sécurité de votre locataire et de vous dire, point par point, ce qui est en place et ce qui ne l'est pas. Rien n'est installé sur vos serveurs ; la lecture se fait depuis votre poste (score gratuit).
Découvrir le diagnostic SYAGA Audit pour Microsoft 365
Guides voisins, même méthode sourcée
- Que doit faire une PME pour respecter le RGPD ? Registre, sous-traitants, transferts, durées de conservation, Microsoft 365
- AIPD : quand une analyse d'impact est-elle obligatoire ?
- NIS2 : quelles obligations pour les entreprises concernées ?
- Comment rédiger la PSSI d'une PME ?
- Charte informatique : l'adopter dans les formes prévues
- Comment savoir si mon Microsoft 365 est bien sécurisé ?
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit mesure votre environnement Microsoft 365 à une date donnée ; il ne se substitue pas à une démarche complète de mise en règle et ne garantit pas que vous respectiez une règle ou une réglementation. Les mesures reprennent les thèmes de l'ISO/IEC 27001 ; SYAGA n'a fait l'objet d'aucun audit par un organisme tiers sur cette norme.
Faits relus le 14/10/2026 sur les sources officielles citées (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.