RGPD pour entrepreneurs : ce que vous devez mettre en place en 2026
Par Lucas Ferrand — 18 mars 2026
Le RGPD concerne les entrepreneurs dès qu’ils traitent des données personnelles dans le cadre de leur activité : fichier clients, facturation, formulaire de contact, newsletter, outil de réservation, boutique en ligne ou suivi d’audience. La taille de l’entreprise ne dispense pas de respecter les principes du règlement, mais les mesures à prendre dépendent des traitements réellement mis en œuvre et de leurs risques.
Une page de confidentialité et un bandeau cookies ne suffisent donc pas à rendre une activité « conforme ». La démarche consiste à savoir quelles données vous utilisez, pourquoi, pendant combien de temps, avec quels prestataires et comment les personnes peuvent exercer leurs droits.
Réponse courte : cartographiez vos traitements, choisissez une base légale pour chaque finalité, informez les personnes au bon moment, limitez les données et leur durée de conservation, encadrez vos prestataires, sécurisez les accès et préparez les demandes de droits ainsi que les violations de données.
Le RGPD s’applique-t-il à votre activité ?
Si votre activité est établie dans l’Union européenne, le RGPD s’applique aux traitements de données personnelles réalisés dans le cadre de cette activité. Une entreprise située hors de l’Union peut aussi être concernée lorsqu’elle offre des biens ou services à des personnes se trouvant dans l’Union ou suit leur comportement dans les conditions prévues par l’article 3 du règlement.
Une donnée personnelle permet d’identifier une personne directement ou indirectement : nom, adresse électronique nominative, adresse postale, numéro de téléphone, identifiant client, adresse IP, historique d’achat ou données de navigation rattachables à une personne. Les données d’une société ne sont pas toujours personnelles, mais celles de son contact humain peuvent l’être.
Exemples courants pour un indépendant :
- un prospect remplit un formulaire de contact ;
- un client reçoit un devis ou une facture ;
- un abonné s’inscrit à une newsletter ;
- un visiteur est mesuré au moyen de traceurs ;
- un prestataire cloud héberge votre CRM, vos fichiers ou votre messagerie.
La rubrique TPE-PME de la CNIL rassemble les premières étapes adaptées aux petites structures.
Étape 1 : cartographier vos traitements et tenir le bon registre
Commencez par une liste opérationnelle, et non par un modèle juridique générique. Pour chaque activité utilisant des données, notez la finalité, les catégories de personnes et de données, les destinataires, les prestataires, les transferts éventuels hors Espace économique européen, la durée de conservation et les mesures de sécurité.
La CNIL explique la tenue du registre et la dérogation limitée dont bénéficient les organismes de moins de 250 salariés. Cette dérogation ne supprime pas le registre pour les traitements non occasionnels, risqués ou portant sur certaines données sensibles. La gestion habituelle des clients, prospects, salariés ou fournisseurs est généralement non occasionnelle.
| Traitement | Finalité à préciser | Point de contrôle |
|---|---|---|
| Devis et factures | Préparer et exécuter la prestation, respecter les obligations comptables | Données nécessaires, durée légale, accès comptable |
| Formulaire de contact | Répondre à une demande | Champs minimaux, information au formulaire, durée |
| Newsletter | Envoyer des communications commerciales | Règles de prospection, preuve du choix, désinscription |
| Mesure d’audience | Comprendre l’usage du site | Traceurs utilisés, consentement ou conditions d’exemption |
| Prestataires cloud | Héberger ou traiter les données pour votre compte | Contrat, localisation, sécurité, sous-traitants ultérieurs |
Étape 2 : définir une finalité et une base légale pour chaque usage
Le consentement n’est pas la base légale de tous les traitements. La CNIL rappelle qu’un même fichier peut poursuivre plusieurs finalités reposant sur des bases différentes : l’exécution du contrat pour gérer une commande, une obligation légale pour la comptabilité, et selon le contexte le consentement ou l’intérêt légitime pour certaines opérations de prospection.
La fiche CNIL sur les bases légales aide à ne pas choisir un fondement par réflexe. Pour chaque finalité :
- décrivez l’objectif de manière précise ;
- vérifiez que le traitement est réellement nécessaire ;
- retenez la base légale adaptée avant de collecter ;
- ne réutilisez pas les données pour un objectif incompatible ;
- collectez uniquement les champs utiles et fixez une durée justifiable.
Ajouter une clause dans des conditions générales ne rend pas automatiquement un traitement nécessaire au contrat. De même, demander un consentement inutile peut créer une fausse impression de conformité si ce consentement n’est pas libre, spécifique, éclairé et révocable.
Étape 3 : informer les personnes au moment utile
L’information doit être concise, transparente, compréhensible et aisément accessible. Elle est généralement présentée au point de collecte, avec un premier niveau court et un lien vers une information complète. Sur un site, la CNIL recommande qu’un lien clair vers la politique de protection des données soit visible depuis chaque page ; cela ne signifie pas qu’il faut recopier l’intégralité de cette politique dans chaque page.
Selon votre situation, l’information complète précise notamment :
- l’identité et les coordonnées du responsable de traitement ;
- les finalités et bases légales ;
- les catégories de destinataires ;
- les durées de conservation ou leurs critères ;
- les transferts éventuels hors Espace économique européen et leurs garanties ;
- les droits applicables, leur mode d’exercice et la possibilité de saisir la CNIL ;
- le caractère obligatoire ou facultatif des données demandées ;
- l’existence éventuelle d’une décision automatisée ou d’un profilage.
La CNIL détaille cette approche dans sa fiche sur l’information et la transparence. Notre générateur de politique de confidentialité peut servir de trame, mais le document doit être adapté à vos traitements, prestataires, durées et transferts réels. Un modèle ne réalise pas l’audit à votre place.
Étape 4 : gérer les cookies et autres traceurs
Les traceurs strictement nécessaires au service demandé n’exigent pas tous un consentement. En revanche, lorsque le consentement est requis, le traceur ne doit pas être déposé ou lu avant le choix de la personne. Accepter et refuser doivent être proposés avec un niveau de simplicité comparable, et le retrait doit rester possible à tout moment.
La simple poursuite de la navigation ne vaut pas accord. La présence d’un outil de mesure d’audience ne permet pas non plus de conclure automatiquement : certains dispositifs peuvent bénéficier d’une exemption uniquement s’ils respectent les conditions strictes définies par la CNIL. Vérifiez la configuration réelle, les finalités, les destinataires et les durées avant de décider.
Consultez les règles CNIL sur les cookies et autres traceurs. Le bandeau doit refléter les traceurs effectivement utilisés, pas une liste copiée d’un autre site.
Étape 5 : sécuriser les données et encadrer les prestataires
Le RGPD impose des mesures techniques et organisationnelles adaptées au risque. Le chiffrement HTTPS est une mesure élémentaire pour protéger les échanges d’un site, mais il ne suffit pas à démontrer la conformité de l’ensemble des traitements.
Pour une petite activité, le socle comprend généralement :
- des comptes individuels, des mots de passe robustes et l’authentification multifacteur quand elle est disponible ;
- des droits d’accès limités aux besoins, retirés à la fin d’une mission ;
- des logiciels, extensions et appareils maintenus à jour ;
- des sauvegardes testées et protégées ;
- un chiffrement approprié des flux et, selon le risque, des données stockées ;
- une procédure simple pour signaler et traiter les incidents.
Lorsque Mailchimp, un hébergeur, un CRM, un outil de facturation ou un autre fournisseur traite des données pour votre compte, vérifiez ses garanties. L’article 28 du RGPD présenté par la CNIL prévoit un contrat encadrant notamment l’objet, la durée, la finalité, les données, les personnes concernées et les obligations de chaque partie.
Étape 6 : organiser l’exercice des droits
Une adresse de contact identifiable est utile, mais elle ne remplace pas une procédure. Il faut pouvoir retrouver les données, vérifier raisonnablement l’identité du demandeur lorsque c’est nécessaire, protéger les droits des tiers, appliquer les exceptions légales et tracer la réponse.
Pour une demande simple, la réponse doit intervenir dans les meilleurs délais et au plus tard dans un mois. Le délai peut être prolongé de deux mois lorsque la complexité ou le nombre de demandes le justifie, à condition d’en informer la personne dans le premier mois. La CNIL explique la démarche dans sa fiche répondre à une demande de droit d’accès.
Préparez au minimum un canal de réception, un responsable, un registre des demandes, une méthode de recherche et de copie des données, ainsi qu’un modèle de réponse. Les droits applicables varient selon la base légale et le traitement : accès, rectification, effacement, limitation, opposition et, dans certains cas, portabilité.
Que faire en cas de violation de données ?
Une violation peut être une perte, une destruction, une altération, une divulgation non autorisée ou un accès indu. Toutes les violations doivent être documentées en interne. La notification à la CNIL dépend ensuite du risque pour les droits et libertés des personnes :
| Niveau évalué | Action principale |
|---|---|
| Aucun risque | Documenter la violation en interne ; pas de notification à la CNIL ni aux personnes. |
| Risque | Documenter et notifier la CNIL dans les meilleurs délais, si possible au plus tard 72 heures après en avoir pris connaissance. |
| Risque élevé | Documenter, notifier la CNIL et informer les personnes concernées dans les meilleurs délais, sauf exception applicable. |
La fiche CNIL sur les violations de données personnelles détaille l’analyse et le contenu de la notification. Les 72 heures ne sont pas un délai d’enquête à attendre : une première notification peut être complétée lorsque toutes les informations ne sont pas encore disponibles.
Faut-il désigner un DPO ou réaliser une AIPD ?
Un délégué à la protection des données (DPO) n’est pas obligatoire pour chaque freelance. Sa désignation est notamment obligatoire pour les organismes publics, pour les activités de base impliquant un suivi régulier et systématique à grande échelle, ou un traitement à grande échelle de données sensibles ou relatives aux condamnations et infractions. En dehors de ces cas, une désignation volontaire reste possible.
Ne vous fiez pas à un pourcentage générique : appliquez les critères à votre activité avec la fiche CNIL sur la désignation du DPO.
Une analyse d’impact relative à la protection des données (AIPD) est requise lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés. La CNIL publie une méthode et des listes pour déterminer si une AIPD est nécessaire. Elle doit être réalisée avant le traitement concerné et révisée lorsque le risque évolue.
Quelles sanctions risque une petite entreprise ?
Les plafonds administratifs du RGPD peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour certaines obligations, et 20 millions d’euros ou 4 % pour les manquements les plus graves, le montant le plus élevé étant retenu dans le cas d’une entreprise.
Ces plafonds ne constituent pas un barème automatique. L’autorité tient compte de la nature, de la gravité, de la durée, du nombre de personnes concernées, des mesures prises et d’autres critères de chaque dossier. La CNIL peut également utiliser des rappels à l’ordre, injonctions, limitations de traitement ou autres mesures. Sa page sur les pouvoirs de la formation restreinte présente ces mécanismes.
Checklist RGPD pratique pour entrepreneur
- Recensez les traitements réels, y compris ceux confiés à des outils externes.
- Définissez chaque finalité, sa base légale et les données strictement nécessaires.
- Fixez et appliquez des durées de conservation justifiables.
- Tenez le registre correspondant à vos traitements.
- Informez les personnes au point de collecte et rendez l’information complète accessible.
- Auditez les cookies et bloquez ceux qui nécessitent un consentement avant le choix.
- Vérifiez les contrats, transferts et garanties de vos sous-traitants.
- Sécurisez les comptes, appareils, mises à jour, accès et sauvegardes.
- Préparez l’exercice des droits et le traitement des violations.
- Réévaluez DPO, AIPD et mesures de sécurité lors de tout changement important.
Complétez cette démarche avec notre générateur de mentions légales et, si vous vendez en ligne, notre guide sur les CGV e-commerce. Ces ressources répondent à des obligations distinctes : mentions légales, protection des données et conditions de vente ne sont pas interchangeables.
Questions fréquentes
Un simple formulaire de contact déclenche-t-il des obligations RGPD ?
Oui, s’il collecte des données personnelles dans le cadre professionnel. Vous devez notamment définir la finalité, la base légale, les destinataires et la durée, informer la personne et sécuriser la transmission. Les champs doivent rester proportionnés à la demande.
Une petite entreprise doit-elle toujours tenir un registre ?
La dérogation applicable aux organismes de moins de 250 salariés est limitée. Les traitements non occasionnels, risqués ou portant sur certaines données sensibles restent à inscrire. Comme les fichiers clients et prospects sont généralement utilisés de façon habituelle, le registre demeure l’outil de pilotage recommandé par la CNIL.
Le consentement est-il obligatoire pour traiter les données d’un client ?
Pas systématiquement. Les données objectivement nécessaires à l’exécution d’un contrat peuvent relever de cette base légale, tandis que la comptabilité peut relever d’une obligation légale. Chaque autre finalité, comme la prospection, doit être analysée séparément.
Installer un bandeau cookies rend-il le site conforme ?
Non. Le bandeau doit correspondre aux traceurs réels, permettre un choix valable et empêcher les traceurs soumis au consentement avant l’accord. Il ne couvre ni le registre, ni l’information générale, ni les prestataires, ni la sécurité, ni les droits.
Dois-je obligatoirement nommer un DPO ?
Seulement si votre situation entre dans les critères de désignation obligatoire, notamment certains suivis ou traitements sensibles à grande échelle. Une petite taille ne suffit ni à exclure ni à imposer le DPO : il faut examiner les activités de base et l’échelle.
Information générale, pas conseil juridique individualisé. Cette synthèse a été vérifiée le 24 juillet 2026 sur les ressources officielles de la CNIL et le RGPD. Les règles applicables dépendent de vos traitements, de votre secteur, des personnes concernées, des transferts et des risques. Pour un traitement sensible ou à fort enjeu, sollicitez un DPO ou un professionnel qualifié.
