Le RGPD (Règlement Général sur la Protection des Données) constitue le texte de référence de l’Union européenne en matière de protection des données personnelles. Entré en application le 25 mai 2018, il remplace la directive de 1995 et encadre la façon dont les entreprises collectent, traitent, stockent et transfèrent les informations relatives aux personnes physiques. En France, la CNIL (Commission Nationale de l’Informatique et des Libertés) veille à son application.

Comment ça fonctionne

Le RGPD repose sur quelques principes fondateurs. Toute collecte de données doit s’appuyer sur une base légale : consentement explicite de l’utilisateur, exécution d’un contrat, obligation légale, intérêt légitime ou mission d’intérêt public. Sans base légale valide, le traitement devient illicite.

Le règlement impose également le principe de minimisation : ne collecter que les données strictement nécessaires à la finalité déclarée. Un formulaire de contact ne doit pas demander la date de naissance si cette information est inutile au traitement de la demande.

Les entreprises doivent tenir un registre des activités de traitement — un inventaire interne qui recense chaque flux de données, sa finalité, les personnes habilitées à y accéder et la durée de conservation. Ce document forme la colonne vertébrale de toute démarche de conformité.

Le dispositif place les droits des personnes au cœur du règlement : droit d’accès, de rectification, d’effacement (le fameux “droit à l’oubli”), de portabilité, d’opposition et de limitation du traitement. L’entreprise doit répondre à ces demandes dans un délai d’un mois.

En cas de violation de données (fuite, cyberattaque), l’entreprise dispose de 72 heures pour notifier la CNIL si la violation présente un risque pour les droits et libertés des personnes.

Pourquoi c’est important pour les PME

Beaucoup de dirigeants de PME pensent que le RGPD ne concerne que les grandes entreprises. C’est une erreur fréquente et coûteuse. Dès qu’une entreprise gère une base clients, envoie des newsletters, utilise un CRM ou un logiciel RH stocké dans le cloud, elle traite des données personnelles et entre dans le champ d’application du règlement.

La conformité RGPD n’est pas seulement une obligation légale — c’est aussi un argument de confiance. Les clients et partenaires B2B prêtent de plus en plus attention à la manière dont leurs données circulent et se trouvent protégées. Afficher une politique de confidentialité claire, recueillir les consentements correctement et répondre aux demandes d’accès renforce la crédibilité de l’entreprise.

Par ailleurs, la plupart des logiciels SaaS utilisés en PME (CRM, ERP, paie, facturation) traitent des données personnelles pour le compte de l’entreprise. L’entreprise garde la qualité de responsable du traitement même lorsqu’un prestataire héberge les données : elle doit signer un contrat de traitement des données (DPA) avec chaque fournisseur.

Le coût d’une mise en conformité est bien inférieur à celui d’une sanction ou d’une atteinte à la réputation. Démarrer par un audit simple — recenser les données collectées et leurs flux — suffit pour la plupart des PME.

Exemples concrets

Boutique e-commerce : un site vend des produits en ligne et collecte nom, adresse, e-mail et historique d’achats. Il doit informer ses clients, obtenir un consentement pour les e-mails marketing (distinct de la commande), et s’assurer que son prestataire de paiement signe un DPA.

Cabinet RH : un cabinet de recrutement stocke les CV de candidats. Il doit préciser la durée de conservation (généralement 2 ans), informer les candidats de leurs droits et effacer leurs données sur demande.

Agence de communication : elle gère des campagnes e-mailing pour ses clients. Elle est à la fois sous-traitant (pour ses clients) et responsable de traitement (pour ses propres données). Chaque rôle implique des obligations distinctes.

Logiciel RH en cloud : une PME qui utilise un SIRH hébergé chez un éditeur américain doit vérifier que cet éditeur garantit un niveau de protection adéquat (clauses contractuelles types ou autre mécanisme de transfert).

Termes liés

  • SaaS : définition — la plupart des outils SaaS B2B traitent des données personnelles pour le compte de leurs clients
  • API : définition — les intégrations entre logiciels via API créent des flux de données soumis au RGPD
  • Cloud computing : définition — l’hébergement cloud soulève des questions de localisation et de transfert de données
  • Logiciels de comptabilité — outils soumis aux obligations RGPD sur les données clients et fournisseurs
  • Logiciels RH — catégorie particulièrement sensible : données salariés, contrats, fiches de paie