Gouvernance des données : sécuriser vos informations clients avec le RGPD

Un fichier clients partagé « à toute personne disposant du lien », une boîte mail commune où circulent les devis, un export du CRM oublié sur un poste : c'est souvent ainsi que commencent les ennuis dans une petite entreprise. Le RGPD ne demande pas à une TPE d'avoir un service juridique. Il lui demande de savoir quelles données elle détient, qui y accède, combien de temps elle les garde et comment elle les protège.

En bref : le RGPD s'applique à toute entreprise qui traite des données personnelles, sans seuil de taille. Pour une TPE ou une PME, la gouvernance des données clients tient en quelques gestes : cartographier les données, limiter les accès, encadrer les sous-traitants, fixer des durées de conservation et sauvegarder. Un premier audit interne se fait sans cabinet extérieur.

Mise à jour : octobre 2026

Le RGPD concerne-t-il vraiment une petite entreprise ?

Oui. Le règlement vise tout traitement de données personnelles : noms, adresses e-mail, numéros de téléphone, historiques d'achats. Il n'existe pas de seuil d'effectif. La seule dérogation liée à la taille porte sur le registre des traitements : elle vise les structures de moins de 250 employés, sauf si le traitement n'est pas occasionnel, présente un risque ou porte sur des données sensibles (article 30). Un fichier clients utilisé chaque semaine n'a rien d'occasionnel : la dérogation joue donc rarement.

Les obligations à connaître

1. Tenir un registre des traitements : pour chaque traitement, la finalité, les catégories de données, les destinataires et les délais d'effacement prévus.
2. Disposer d'une base légale : contrat, obligation légale, intérêt légitime ou consentement. Le consentement doit être libre, spécifique, éclairé et univoque ; une case cochée par défaut ne vaut pas consentement.
3. Désigner un délégué à la protection des données (DPO) lorsque le règlement l'impose : autorité publique, suivi régulier et systématique de personnes à grande échelle, ou traitement à grande échelle de données sensibles (article 37). Ailleurs, nous conseillons au moins un référent interne.
4. Répondre aux demandes des personnes (accès, rectification, effacement, portabilité) dans un délai d'un mois, prolongeable de deux mois si la demande est complexe (article 12).
5. Notifier une violation de données à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation ne présente probablement pas de risque pour les personnes (article 33).

Si vos équipes utilisent aussi des outils d'IA, notre article sur le déploiement de l'IA en PME sans risque RGPD complète ce panorama.

Quels outils pour stocker des données clients de façon maîtrisée ?

Vous n'avez pas forcément besoin d'un logiciel dédié. Des outils que vous utilisez déjà peuvent convenir, à condition de les configurer et de vérifier le contrat de l'éditeur.

L'article Airtable comme colonne vertébrale de sa PME montre comment structurer une base pour qu'elle reste lisible et auditable.

Trois réglages à faire tout de suite

• Limiter les accès : chaque collaborateur voit les données utiles à son travail, pas davantage.
• Activer la double authentification sur tous les outils qui la proposent.
• Encadrer les sous-traitants : un éditeur SaaS qui traite vos données clients pour votre compte est un sous-traitant. Le RGPD exige un contrat ou un autre acte juridique qui fixe l'objet, la durée, la finalité du traitement et les obligations de l'éditeur (article 28).

Combien de temps garder les données clients ?

Pas plus longtemps que nécessaire au regard de la finalité : c'est le principe de limitation de la conservation (article 5). La CNIL rappelle que, pour beaucoup de traitements, aucun texte ne fixe de durée : c'est à vous de la déterminer et de la documenter. Quelques repères existent :

• Candidatures non retenues : 2 ans maximum, sauf demande d'effacement du candidat, selon la CNIL.
• Données de facturation : dix ans, en application du Code de commerce, selon la même page de la CNIL.
• Prospects et clients : une durée liée à la relation commerciale, que vous fixez, écrivez dans votre registre et appliquez.

Programmer ces suppressions dans Airtable ou avec Make se fait sans coder. L'article No Code et conformité RGPD détaille plusieurs workflows de ce type.

Comment sauvegarder sans perdre ni exposer vos données ?

Cybermalveillance.gouv.fr recommande de faire plusieurs sauvegardes sur différents supports, d'en conserver une dans un lieu différent des données d'origine et de déconnecter le support de sauvegarde après usage. Pour une TPE sous Google Workspace, cela peut donner, à titre d'exemple : les fichiers de travail dans le Drive, une sauvegarde automatique vers un stockage chiffré, et un export périodique conservé hors des locaux.

Comment réaliser un premier audit interne ?

Un premier état des lieux ne demande pas de cabinet spécialisé. Voici la méthode que nous suivons :

1. Lister les points de collecte : formulaires web, devis, e-mails, cartes de visite numérisées, logiciel de caisse.
2. Repérer où les données sont stockées : tableur, CRM, boîte mail, serveur local, outil cloud.
3. Vérifier la base légale de chaque traitement.
4. Contrôler les accès : qui voit et modifie quoi, et ces droits sont-ils à jour ?
5. Tester la réponse aux droits : si un client demande l'effacement de ses données, pouvez-vous lui répondre dans le délai d'un mois ?

Pour une grille plus large sur votre maturité numérique, voyez notre méthode d'audit en 5 étapes. Pour suivre la conformité dans la durée, l'article sur le tableau de bord No Code de conformité propose un outil de suivi.

Que risque une entreprise qui néglige ses données ?

La CNIL dispose d'une palette de mesures correctrices prévue par l'article 58 : avertissement, rappel à l'ordre, injonction de mettre les traitements en conformité, limitation ou interdiction d'un traitement. Elle peut aussi prononcer des amendes administratives. Pour les manquements les plus graves, le plafond est de 20 000 000 euros ou, pour une entreprise, 4 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (article 83). Pour une PME, l'interdiction d'un traitement peut à elle seule bloquer une activité.

Et quand l'IA entre dans la boucle ?

Si vous utilisez des outils d'IA sur des données clients (assistant conversationnel, tri de demandes, analyse de comportements), ces traitements relèvent aussi du RGPD. L'AI Act ajoute ses propres obligations, distinctes : notre article AI Act vs RGPD fait la part des choses. Et si vos collaborateurs collent déjà des informations clients dans ChatGPT sans cadre, lisez notre article sur le shadow AI.

Par où commencer cette semaine ?

Sources

• Règlement (UE) 2016/679 (RGPD), texte intégral, EUR-Lex
• CNIL : les durées de conservation des données
• Cybermalveillance.gouv.fr : les sauvegardes, bonnes pratiques

Article rédigé par Aurélien Page, fondateur d'Audiaa, agence IA et No Code à Rennes.