L'un des mythes les plus tenaces du monde des affaires européen est celui-ci : « Nous sommes trop petits pour que le RGPD s'applique à nous. » Il se répète dans les groupes Facebook, se murmure entre chefs d'entreprise et est présumé chaque jour par des milliers de PME croates et européennes.

Il est complètement faux.

Le RGPD s'applique à votre entreprise quels que soient sa taille, son chiffre d'affaires ou son nombre de salariés. Si vous collectez, stockez ou traitez les données personnelles de personnes dans l'UE — un formulaire de contact, une inscription à une newsletter, une commande client — vous êtes concerné. Point final.

Ce guide explique ce qu'est réellement le RGPD, ce qu'il exige de vous en langage clair, et les 7 étapes pratiques que toute petite entreprise doit franchir en 2026.

Qu'est-ce que le RGPD ?

Le Règlement général sur la protection des données (UE) 2016/679 — RGPD — est une loi de l'Union européenne entrée en vigueur le 25 mai 2018. Elle a remplacé une mosaïque de lois nationales de protection des données par un cadre unique et unifié régissant la collecte, le traitement, le stockage et la suppression des données personnelles.

Les données personnelles désignent toute information se rapportant à une personne vivante identifiée ou identifiable. Cela inclut :

Si vous exploitez un site web avec un formulaire de contact, vous traitez des données personnelles. Si vous envoyez une newsletter, vous traitez des données personnelles. Si vous utilisez Google Analytics, vous traitez des données personnelles. Le seuil est bas — délibérément.

Le RGPD s'applique-t-il aux petites entreprises ?

La réponse courte est oui — avec une exception étroite.

L'article 30(5) du RGPD prévoit une exemption limitée de l'obligation de tenir des registres écrits détaillés des activités de traitement pour les organisations de moins de 250 salariés, mais seulement si le traitement est :

Cette exemption est plus étroite que la plupart des PME ne le pensent. Si vous envoyez régulièrement des newsletters, exploitez une boutique en ligne ou utilisez des outils d'analyse, votre traitement est systématique — pas occasionnel. L'exemption ne s'applique pas à vous.

Toutes les autres obligations du RGPD s'appliquent quelle que soit la taille de l'entreprise. Cela inclut l'obligation d'avoir une base licite de traitement, une politique de confidentialité, un mécanisme de consentement aux cookies et la capacité de répondre aux demandes des personnes concernées.

Les données d'application le confirment : ce n'est pas théorique. Un rapport de 2024 de l'autorité slovaque de protection des données a révélé que 62 % des amendes RGPD de l'année visaient des entreprises de moins de 50 salariés, avec une amende moyenne de 8 200 €. La plus forte amende de la période — 94 000 € — visait une boutique en ligne qui avait mal géré des demandes de personnes concernées. Ce ne sont pas des montants de multinationale, mais ils bouleversent la vie d'une petite entreprise.

Les 7 exigences fondamentales du RGPD pour votre entreprise

1. Une base licite pour chaque activité de traitement

En vertu de l'article 6 du RGPD, vous ne pouvez pas traiter de données personnelles sans base licite valable. Il existe six options, mais pour la plupart des PME, seules deux sont pertinentes :

Le consentement (art. 6(1)(a)) — La personne a accepté clairement et activement que ses données soient traitées pour une finalité précise. C'est ce qu'il vous faut pour les abonnements newsletter, les e-mails marketing et les cookies non essentiels.

L'intérêt légitime (art. 6(1)(f)) — Vous avez une véritable raison commerciale qui ne l'emporte pas sur les droits de la personne. Cela s'applique à des choses comme la journalisation de sécurité de base ou le traitement des données d'un formulaire pour répondre à un message.

Le mot essentiel est spécifique. Vous ne pouvez pas utiliser un langage vague comme « pour améliorer nos services ». Chaque activité de traitement a besoin de sa propre finalité explicite et documentée. Les régulateurs y prêtent une attention active depuis 2024.

2. Une politique de confidentialité qui explique vraiment les choses

Votre politique de confidentialité n'est pas une formalité — c'est un document juridique exigé par les articles 13 et 14 du RGPD. Elle doit dire aux visiteurs :

Une politique générique copiée sur internet ne remplit presque certainement pas ces exigences. Elle doit être propre à votre entreprise et à vos flux de données réels.

3. Une bannière de cookies conforme

Si votre site utilise des cookies au-delà du strictement nécessaire à son fonctionnement — et c'est le cas de presque tous les sites — il vous faut un mécanisme de consentement.

Le consentement doit être libre, spécifique, éclairé et univoque. Cela signifie :

Nous traitons ce sujet en détail dans notre article complémentaire : Les 5 erreurs de bannières de cookies les plus courantes.

4. Un mécanisme pour les droits des personnes

Le RGPD donne aux individus huit droits sur leurs données personnelles. Les plus fréquemment exercés sont :

Vous devez pouvoir répondre à ces demandes sous 30 jours, gratuitement. Il vous faut un mécanisme clair — une adresse e-mail dédiée ou un formulaire web — pour recevoir les demandes. L'enfouir dans une longue politique de confidentialité ne suffit pas.

5. Des accords avec les tiers (DPA art. 28)

Chaque outil tiers qui traite des données personnelles pour votre compte — votre plateforme d'e-mailing, votre CRM, votre hébergeur, votre outil d'analyse — est un « sous-traitant » au sens du RGPD. Il vous faut un accord de sous-traitance (DPA) avec chacun.

La bonne nouvelle : la plupart des SaaS sérieux proposent déjà des DPA dans leurs conditions d'utilisation ou leur documentation juridique. Vous devez les vérifier, les confirmer et les documenter.

6. Un inventaire des cookies et des données

On ne peut pas protéger des données dont on ignore l'existence. Le principe de responsabilité du RGPD (art. 5(2)) exige de pouvoir démontrer la conformité — ce qui commence par savoir quelles données vous collectez, où elles vont et combien de temps vous les gardez.

Pour la plupart des petites entreprises, c'est un simple document listant :

7. Un plan de réponse aux violations

En vertu de l'article 33 du RGPD, en cas de violation de données personnelles — un piratage, un e-mail envoyé par erreur, un ordinateur portable perdu — vous devez notifier votre autorité de contrôle sous 72 heures. En Croatie, c'est l'AZOP (Agencija za zaštitu osobnih podataka).

Cela ne signifie pas avoir une équipe complexe de réponse aux incidents. Pour une petite entreprise, cela signifie savoir : ce qui constitue une violation, qui contacter (AZOP : azop.hr) et quelles informations inclure dans une notification.

Mythes courants démontés

« Nous n'avons pas de bureau dans l'UE, donc le RGPD ne s'applique pas. »

Faux. Le RGPD s'applique à toute organisation qui traite les données de résidents de l'UE, quel que soit son lieu d'établissement. Une entreprise américaine avec des clients européens est concernée.

« Nous ne collectons que des e-mails professionnels, pas personnels. »

Les adresses e-mail professionnelles au format firstname.lastname@company.com sont des données personnelles. Le RGPD s'applique.

« Nous avons une bannière de cookies, donc nous sommes conformes. »

Avoir une bannière n'est pas la même chose qu'avoir une bannière conforme. La plupart des bannières que nous auditons présentent au moins deux ou trois violations. Voir notre article sur les cookies.

« Le RGPD ne concerne que les grandes entreprises. »

Les données d'application dans toute l'UE montrent systématiquement que les PME sont de plus en plus visées. Les autorités slovaque et espagnole ont infligé en 2024 plus d'amendes aux petites entreprises qu'aux grandes.

Que se passe-t-il si vous ne vous conformez pas ?

Les conséquences de la non-conformité se répartissent en trois catégories :

Amendes réglementaires — jusqu'à 20 millions € ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les violations graves. Pour les violations mineures, jusqu'à 10 millions € ou 2 % du chiffre d'affaires. Pour une PME réalisant 1 million € de revenus, le palier supérieur représente 40 000 €.

Atteinte à la réputation — les violations de données et les mesures d'application du RGPD sont publiques. Vos concurrents, clients et partenaires peuvent les voir.

Risque contractuel B2B — les grands clients exigent de plus en plus de leurs fournisseurs et prestataires qu'ils démontrent leur conformité RGPD comme condition commerciale. La non-conformité peut vous coûter des contrats.

Par où commencer

Le point de départ le plus efficace est un audit de conformité — comprendre ce que vous faites actuellement, où sont les lacunes et ce qu'il faut corriger. Cela n'a pas à être coûteux ni complexe.

Vous pouvez lancer un audit gratuit de votre site dès maintenant avec l'outil en haut de cette page. Il vérifie 10 exigences critiques du RGPD en moins de 30 secondes et vous donne une liste priorisée de ce qu'il faut corriger.

Si vous voulez de l'aide pour mettre en œuvre les corrections, ou simplement que quelqu'un relise votre politique de confidentialité et votre configuration de cookies en langage clair, sans jargon juridique — c'est exactement ce que fait GDPRGard. Réserver une consultation gratuite →

Cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Pour les situations complexes, consultez un professionnel qualifié de la protection des données ou un avocat.

À lire aussi :

⚠️ Cet article est fourni à titre purement informatif et ne constitue pas un conseil juridique. Pour les situations de conformité complexes, consultez un professionnel qualifié de la protection des données. Les exigences du RGPD et de l'AI Act européen font l'objet d'orientations réglementaires continues — vérifiez vos obligations actuelles avec votre conseiller juridique.