Données et RGPD

Données clients et RGPD : la checklist simple pour une TPE

Un carnet de contacts, des devis, une boîte e-mail, des notes d’appel et un agenda contiennent déjà des données personnelles. Le RGPD ne commence donc pas avec un grand logiciel : il commence quand l’entreprise sait quelles informations elle utilise, pourquoi et pendant combien de temps.

1. Un numéro de téléphone est déjà une donnée personnelle

Une donnée personnelle est une information liée à une personne identifiée ou identifiable. Nom, numéro, e-mail, adresse, historique d’achat, enregistrement vocal, localisation ou note de rendez-vous peuvent donc entrer dans cette définition. Les fichiers papier sont également concernés.

Ne confondez pas « donnée personnelle » et « donnée sensible ». Toutes les données personnelles doivent être protégées ; certaines catégories, comme les données de santé, appellent en plus des précautions et conditions particulières.

Commencez par regarder les usages réels : téléphone, messagerie, agenda, facturation, tableur, CRM, formulaires, vidéosurveillance éventuelle, dossiers papier et outils des prestataires. Un fichier oublié ne disparaît pas des responsabilités de l’entreprise.

2. Créer un registre qui sert réellement à piloter

La CNIL présente le registre des activités de traitement comme un outil de recensement et de pilotage. Pour une petite structure, une fiche par activité courante permet déjà de rendre visibles les décisions importantes.

Le registre doit refléter la réalité. Un modèle parfait mais jamais mis à jour protège moins qu’un document simple revu lors de chaque nouvel outil ou nouveau processus.

3. Définir l’objectif avant de choisir la base juridique

« Garder les coordonnées au cas où » n’est pas une finalité assez précise. Distinguez la réponse à une demande, l’exécution d’un contrat, la facturation, le suivi après prestation et la prospection commerciale. Chaque usage doit être justifié et expliqué.

Le consentement n’est pas la seule base juridique. Selon le traitement, la base peut notamment être l’exécution d’un contrat, une obligation légale, l’intérêt légitime ou le consentement. Ne choisissez pas automatiquement la case la plus pratique : vérifiez les conditions de la base retenue et documentez votre raisonnement.

Une donnée collectée pour établir un devis ne devient pas automatiquement utilisable pour n’importe quelle campagne. Les règles de prospection varient aussi selon le canal, le type de destinataire et la relation existante.

4. Demander moins pour protéger mieux

Le principe de minimisation impose des données adéquates, pertinentes et limitées à ce qui est nécessaire. Chaque champ doit donc correspondre à une décision ou à une obligation.

• Demandez une ville plutôt qu’une adresse complète si la zone suffit à orienter la demande.
• Gardez une date de naissance seulement si l’âge exact est réellement nécessaire.
• Évitez les champs libres quand une information très sensible pourrait y être déposée sans besoin.
• Ne recopiez pas un même dossier dans plusieurs outils sans raison.

La minimisation réduit à la fois la charge de saisie, le coût de maintenance et les conséquences d’une fuite. Elle améliore aussi la qualité : moins de données inutiles signifie moins d’informations obsolètes à corriger.

5. Dire clairement ce que vous faites et répondre aux droits

Au moment de la collecte, la personne doit pouvoir comprendre qui utilise ses données, pour quoi, sur quelle base, pendant combien de temps, avec quels destinataires et comment exercer ses droits. Une information courte peut renvoyer vers une page plus complète, à condition que le lien soit accessible et le texte cohérent avec la pratique.

Préparez un point de contact et une procédure pour l’accès, la rectification, l’opposition, l’effacement, la limitation ou la portabilité lorsque ces droits s’appliquent. La CNIL rappelle qu’une demande d’accès doit recevoir une réponse dans les meilleurs délais et au maximum sous un mois, sous réserve des règles prévues par le RGPD.

Vérifiez l’identité de la personne de manière proportionnée avant de communiquer un dossier. N’exigez pas automatiquement une copie de pièce d’identité si une vérification moins intrusive suffit.

6. Fixer une durée par objectif, pas une durée universelle

La CNIL rappelle qu’une donnée ne peut pas être conservée indéfiniment. La bonne durée dépend de l’objectif opérationnel, des obligations légales, d’un éventuel contentieux et de la phase de vie de la donnée.

Distinguez la base active, l’archivage intermédiaire lorsqu’il est justifié et la suppression ou anonymisation. Une sauvegarde ne doit pas devenir une archive éternelle : documentez aussi comment les suppressions sont répercutées ou prises en compte lors d’une restauration.

Écrivez une règle exécutable : date de départ, durée, responsable et méthode de purge. « On nettoiera plus tard » ne permet ni contrôle ni preuve.

7. Donner accès selon le besoin réel

Utilisez des comptes individuels, protégez les accès importants par une authentification multifacteur et retirez les droits lorsqu’une personne quitte l’entreprise ou change de fonction. Évitez les mots de passe partagés et les exports envoyés dans des boîtes personnelles.

Vérifiez aussi les accès indirects : application connectée, prestataire informatique, ancienne tablette, sauvegarde, lien public ou fichier synchronisé. Pour les mesures techniques prioritaires, le guide Cybersécurité TPE : les contrôles à mettre en place complète cette approche.

8. Savoir ce que font vos sous-traitants

Un éditeur de logiciel, un hébergeur, un prestataire de messagerie ou un cabinet qui traite des données pour votre compte peut être sous-traitant au sens du RGPD. Vérifiez le contrat, les finalités, la confidentialité, les mesures de sécurité, les autres sous-traitants, les lieux de traitement, l’assistance pour les droits et la restitution ou suppression en fin de service.

Un logo « conforme RGPD » ne suffit pas. La CNIL recommande de vérifier les garanties et de prévoir l’information rapide du responsable de traitement en cas d’incident ou de faille.

9. Préparer les violations avant qu’elles arrivent

Perte d’un téléphone, compte e-mail compromis, fichier envoyé au mauvais destinataire, suppression accidentelle ou accès non autorisé peuvent constituer une violation de données. Tous les incidents doivent être documentés en interne.

Lorsque la violation présente un risque pour les droits et libertés, le responsable de traitement doit la notifier à la CNIL dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées doivent aussi être informées selon les règles applicables.

Préparez une fiche avec les contacts, la méthode pour limiter l’incident, préserver les faits, évaluer les données touchées et décider des notifications. En situation réelle, utilisez le téléservice de la CNIL et une assistance compétente plutôt qu’un modèle générique.

10. Un plan d’action réaliste sur trente jours

Cette première passe ne clôt pas la conformité. Programmez une revue régulière et une vérification à chaque nouvel outil, nouveau formulaire ou nouvelle utilisation des données.

Sources officielles : CNIL — ressources pour les TPE-PME ; CNIL — registre des activités de traitement ; CNIL — minimisation des données ; CNIL — durées de conservation ; CNIL — gérer la sous-traitance ; CNIL — notifier une violation. Consultées le 31 juillet 2026.

Questions fréquentes

Le RGPD s’applique-t-il à une très petite entreprise ?

Oui dès lors qu’elle traite des données personnelles dans le cadre concerné, y compris dans des fichiers papier. Les modalités doivent être adaptées à la réalité et aux risques de l’activité.

Un numéro de téléphone est-il une donnée personnelle ?

Oui lorsqu’il se rapporte à une personne identifiée ou identifiable. Il doit être collecté, utilisé, conservé et protégé selon une finalité déterminée.

Faut-il toujours demander le consentement ?

Non. Le consentement est une base juridique parmi plusieurs. La base dépend de la finalité et du contexte ; elle doit être choisie et documentée avant le traitement.

Combien de temps conserver un fichier client ?

Il n’existe pas une durée unique pour toutes les données. Définissez-la selon la finalité, les obligations applicables et les besoins justifiés, puis organisez la suppression ou l’archivage.

Que faire si un fichier client est envoyé au mauvais destinataire ?

Limitez l’incident, documentez-le et évaluez le risque. Si les conditions sont réunies, notifiez la CNIL dans le délai applicable et informez les personnes en cas de risque élevé.

En résumé

Protéger les données clients commence par des décisions simples et vérifiables : savoir ce que l’on conserve, pourquoi, où, pendant combien de temps et avec quels accès. Le registre rend ces choix visibles ; la minimisation, les procédures et la sécurité les rendent applicables.