RGPD : les erreurs les plus fréquentes commises par les PME

Le RGPD s'applique à toute organisation qui traite des données personnelles, quelle que soit sa taille. La CNIL, l'autorité française chargée de veiller à son application, rappelle régulièrement dans ses contrôles que la conformité ne se résume pas à un bandeau de consentement sur un site web, contrairement à une idée répandue chez de nombreuses PME.

Les erreurs les plus fréquentes

• Ne pas tenir de registre des traitements, alors qu'il est obligatoire dès qu'un traitement de données personnelles est réalisé.
• Conserver les données indéfiniment, sans durée de conservation définie.
• Confondre consentement et base légale : tous les traitements ne nécessitent pas de consentement explicite.
• Ne pas encadrer contractuellement les sous traitants qui traitent des données pour le compte de l'entreprise.
• Ignorer les droits des personnes concernées (accès, rectification, effacement), faute de procédure interne pour les traiter.
• Ne pas avoir de procédure de notification en cas de violation de données.

Ce que le RGPD exige concrètement

Comment structurer sa mise en conformité

1. Cartographier les traitements de données personnelles réalisés par l'organisation.
2. Identifier les traitements à risque, qui peuvent nécessiter une analyse d'impact.
3. Formaliser un registre des traitements et le tenir à jour.
4. Mettre en place une procédure de traitement des demandes d'exercice de droits.
5. Sensibiliser les équipes qui manipulent des données personnelles au quotidien.

Ce que révèlent les sanctions de la CNIL

Dans son bilan 2024, la CNIL a prononcé 87 sanctions pour un montant cumulé de 55,2 millions d'euros, contre 42 sanctions pour environ 90 millions d'euros en 2023 (année marquée par une sanction record isolée). Elle a également reçu 17 772 plaintes, un niveau record, et 5 629 notifications de violation de données, en hausse de 20 % sur un an. Les secteurs des télécoms, du web et des réseaux sociaux concentrent 49 % des plaintes reçues, devant le commerce (19 %) et le secteur du travail (13 %). Premier motif de sanction en procédure simplifiée : le défaut de coopération avec la CNIL lors d'un contrôle, devant le non-respect de l'exercice des droits des personnes.

Ces chiffres illustrent un point souvent sous-estimé par les PME : l'essentiel de l'activité répressive de la CNIL vise des manquements procéduraux simples à corriger (absence de réponse à une plainte, registre manquant, défaut de coopération), pas des cas emblématiques de fuite massive de données. Les sanctions les plus spectaculaires, elles, concernent des acteurs d'une tout autre taille : Meta a été condamné à 1,2 milliard d'euros par l'autorité irlandaise en 2023 pour des transferts de données vers les États-Unis non conformes, puis à 251 millions d'euros supplémentaires en 2024, portant son cumul sur cinq ans à 2,2 milliards d'euros. En France, la CNIL a infligé à Amazon.fr une amende de 35 millions d'euros le 23 janvier 2024, pour des cookies publicitaires déposés sans consentement et une vidéosurveillance excessive des entrepôts. Ces cas rappellent que la mise en conformité ne se limite pas au bandeau de cookies, justement là où beaucoup de PME concentrent l'essentiel de leur effort.

Bonnes pratiques à mettre en place sans attendre un contrôle

• Répondre systématiquement et dans les délais à toute plainte ou demande de la CNIL, même mineure : le défaut de coopération est le premier motif de sanction en procédure simplifiée.
• Tester au moins une fois par an la procédure de notification de violation de données, plutôt que de découvrir son inefficacité le jour d'un incident réel.
• Auditer le bandeau de consentement et les cookies déposés avant tout clic, pas seulement leur présence formelle.
• Former les équipes en contact avec les demandes clients à reconnaître une demande d'exercice de droits, souvent formulée sans vocabulaire juridique précis.
• Revoir le registre des traitements à chaque nouveau projet impliquant des données personnelles, pas seulement une fois par an.

Les sanctions financières prévues par le RGPD peuvent atteindre des montants dissuasifs, mais la CNIL concentre ses contrôles sur les manquements les plus graves ou les plus signalés, comme elle l'indique dans ses priorités de contrôle publiées chaque année. Le risque le plus concret pour une PME reste souvent moins le contrôle formel que la violation de données mal gérée, avec la perte de confiance des clients qui s'ensuit. C'est cet angle-là, plus tangible qu'une menace de sanction abstraite, qui justifie de mesurer l'écart entre pratiques actuelles et exigences du règlement, domaine par domaine.