Audit RGPD pour TPE et PME

Les 5 risques RGPD spécifiques aux TPE/PME

1. Registre des traitements absent. Obligatoire dès que vous traitez des données personnelles de manière régulière. La CNIL en demande systématiquement la production en cas de contrôle.
2. Politique de confidentialité copiée-collée. Une politique générique ne décrit pas vos vrais traitements et expose à une amende pour défaut d'information (art. 13 RGPD).
3. Sous-traitants sans DPA. Hébergeur, comptable, prestataire emailing, CRM : chacun doit signer un contrat conforme art. 28. Les modèles fournisseurs ne sont pas toujours suffisants.
4. Fichier clients en clair. Tableur partagé, Drive ouvert à tous, sauvegardes sans chiffrement : les manquements de sécurité représentent près de 40% des sanctions CNIL en TPE/PME.
5. Durée de conservation indéfinie. Conserver des prospects "au cas où" pendant 10 ans est un manquement classique. Définissez des durées précises et purgez automatiquement.

3 sanctions CNIL réelles dans le secteur PME

Checklist conformité TPE/PME

• Registre des traitements à jour, listant pour chaque traitement la finalité, les données, les durées et les destinataires.
• Politique de confidentialité publiée et mise à jour, avec mentions art. 13.
• Cookies du site web : bandeau conforme, refus aussi simple que l'acceptation, dépôt après consentement uniquement.
• Liste des sous-traitants tenue à jour, avec DPA signés.
• Procédure interne de gestion des demandes de droits (accès, effacement) avec délai de réponse 1 mois.
• Procédure de notification de violation à la CNIL sous 72 h.
• Sécurité : mots de passe forts, MFA sur outils critiques, chiffrement des sauvegardes.
• Formation annuelle des salariés au RGPD (basique mais traçable).
• Contrôle d'accès aux fichiers RH, séparation logique avec les fichiers commerciaux.
• Mentions RGPD dans les contrats de travail et fiches de poste sensibles.

Pour aller plus loin

• Calculateur d'amende RGPD CNIL
• Audit RGPD e-commerce
• Audit RGPD pour cabinets RH et recrutement