La CNIL cible les TPE et PME en 2026
En 2026, la CNIL a intensifié ses contrôles sur les petites entreprises. Les sanctions ne sont plus réservées aux GAFAM : des amendes de 5 000 à 50 000€ ont été infligées à des PME françaises pour non-conformité RGPD.
Ne paniquez pas. La conformité RGPD n'est pas si compliquée quand on sait quoi faire.
Ce que le RGPD exige de votre site web
1. Le bandeau cookies conforme
C'est la première chose que la CNIL vérifie :
- Refuser doit être aussi simple qu'accepter : un bouton "Refuser tout" aussi visible que "Accepter tout"
- Pas de cases pré-cochées : le consentement doit être un acte positif
- Pas de cookie wall : vous ne pouvez pas bloquer l'accès au site si l'utilisateur refuse les cookies
- Cookies techniques exemptés : seuls les cookies de mesure d'audience et de publicité nécessitent un consentement
2. La politique de confidentialité
Chaque site web doit avoir une page de politique de confidentialité qui indique :
- Qui collecte les données : nom et coordonnées du responsable de traitement
- Quelles données sont collectées : nom, email, téléphone, adresse IP...
- Pourquoi : la finalité de chaque traitement (contact, newsletter, analyse d'audience)
- Combien de temps : la durée de conservation de chaque donnée
- Quels droits : accès, rectification, suppression, portabilité, opposition
- Comment exercer ses droits : email ou formulaire de contact dédié
3. Les formulaires de contact
Chaque formulaire qui collecte des données personnelles doit :
- Informer de la finalité du traitement
- Obtenir le consentement explicite pour les communications marketing
- Ne collecter que les données strictement nécessaires (minimisation)
- Permettre l'exercice des droits (accès, suppression)
Ce que le RGPD exige de votre entreprise
Le registre des traitements
Même les TPE doivent tenir un registre des traitements si elles traitent des données régulièrement :
- Fichier clients : qui y a accès, combien de temps vous conservez les données
- Fichier prospects : comment vous les avez obtenus, quelle est la base légale
- Fichier employés : données RH, contrats, paie
- Sous-traitants : qui traite vos données (hébergeur, CRM, logiciel de paie)
La sécurité des données
Vous devez mettre en place des mesures de sécurité proportionnées :
- Mots de passe robustes + authentification 2FA
- Sauvegardes régulières et chiffrées
- Mises à jour de sécurité appliquées rapidement
- Accès limités aux données (principe du moindre privilège)
- Chiffrement des données sensibles
La notification en cas de violation
Si vous subissez une fuite de données, vous devez :
- Notifier la CNIL sous 72 heures si la violation présente un risque
- Informer les personnes concernées si le risque est élevé
- Documenter l'incident dans un registre des violations
Checklist RGPD pour votre site web
- Bandeau cookies conforme avec refus aussi simple qu'acceptation
- Politique de confidentialité complète et à jour
- Mentions légales avec identité de l'éditeur
- Formulaires avec information sur la finalité du traitement
- HTTPS activé sur tout le site
- Google Analytics configuré en mode anonymisé ou alternative conforme (Matomo, Plausible)
- Consentement explicite pour l'inscription newsletter
- Procédure de suppression des données sur demande
Les sanctions en cas de non-conformité
- Avertissement : pour les premières infractions mineures
- Mise en demeure : obligation de se mettre en conformité sous délai
- Amende : jusqu'à 4% du chiffre d'affaires annuel ou 20 millions d'euros
- Publication de la sanction : dommage réputationnel majeur
La conformité RGPD n'est pas un fardeau — c'est un avantage concurrentiel. Un client qui voit que vous respectez ses données vous fait davantage confiance.
Notre audit cybersécurité inclut un diagnostic complet de votre conformité RGPD et la mise en place des actions correctives.
