Appliquer le RGPD en PME : registre des traitements, sécurité et violations de données

Le RGPD (AVG en néerlandais) s'applique depuis 2018, mais dans de nombreuses PME, « être conforme au RGPD » reste une case cochée un jour et jamais mise à jour depuis. Pendant ce temps, l'autorité néerlandaise de protection des données, l'Autoriteit Persoonsgegevens (AP), poursuit ses contrôles et le nombre de notifications de violations de données augmente chaque année. Dans cet article, nous expliquons concrètement ce que le RGPD exige d'une PME, quels éléments vous devez réellement maîtriser et comment y parvenir sans avoir de juriste spécialisé en protection des données dans vos effectifs.

Ce que le RGPD exige des PME

Le RGPD, le Règlement général sur la protection des données, est applicable depuis le 25 mai 2018. Aux Pays-Bas, c'est l'AP qui en assure le contrôle, en s'appuyant sur la loi néerlandaise d'application du RGPD (Uitvoeringswet AVG). Pour une PME, cela se traduit par six domaines pratiques à organiser : un registre des traitements, la sécurité technique, une procédure de gestion des violations de données, des règles claires sur les droits des personnes concernées, des accords avec vos sous-traitants et des durées de conservation cohérentes.

Le règlement fonctionne avec des normes ouvertes (« mesures techniques et organisationnelles appropriées »), dont le caractère approprié dépend de l'état de l'art, de la nature des données et du risque. Pour les dirigeants de PME, c'est à la fois frustrant et avantageux : vous n'avez pas à faire tout ce que font Shell ou ING, mais vous devez pouvoir expliquer pourquoi vos choix sont raisonnables.

Ce que représentent réellement les amendes

L'article 83 du RGPD prévoit deux niveaux d'amendes. Le plus élevé peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le niveau inférieur s'établit à 10 millions d'euros ou 2 %. Les lourdes amendes de ces dernières années visent surtout de grandes entreprises : 290 millions d'euros pour Uber (2024), 30,5 millions pour Clearview AI, 4,75 millions pour Netflix.

Pour les PME, la réalité est plus nuancée. Selon le rapport annuel 2024 de l'AP, l'autorité a prononcé cette année-là six amendes, quatre astreintes et sept rappels à l'ordre, en plus de plus de 2 000 entretiens et actions de sensibilisation. Sa politique est claire : miser fortement sur l'information des PME et réserver les amendes élevées aux contrevenants de grande envergure. Ce n'est pas un blanc-seing pour autant : à la suite d'une violation de données ou d'une plainte, une PME peut tout à fait recevoir un rappel à l'ordre ou voir son nom rendu public.

Le registre des traitements : presque toujours obligatoire

L'article 30 du RGPD rend le registre des traitements obligatoire pour les organisations de 250 salariés ou plus. Cela semble rassurant pour les PME, mais l'exception figure dans la même disposition : en dessous de 250 salariés, vous devez aussi tenir un registre si le traitement n'est pas occasionnel, s'il comporte un risque ou s'il porte sur des données sensibles ou pénales. En pratique, presque toutes les PME relèvent de cette exception. Dès lors que vous avez du personnel, des clients, des fournisseurs et une newsletter, vous effectuez des traitements qui ne sont pas occasionnels.

Un registre opérationnel décrit, pour chaque activité de traitement : quelles données personnelles, concernant qui, dans quel but, sur quelle base légale, pendant combien de temps, partagées avec qui et protégées comment. Un fichier Excel suffit. L'essentiel est de le tenir à jour : à chaque nouveau système informatique qui touche à des données personnelles (CRM, logiciel de paie, plateforme marketing), vous complétez le registre. L'AP propose un plan d'action pratique pour les entrepreneurs et les PME (en néerlandais), dans lequel le registre constitue une étape concrète.

Mesures techniques : qu'est-ce qui est « approprié » ?

L'article 32 du RGPD exige des mesures techniques et organisationnelles appropriées. Pour une PME, cela se traduit par un socle de mesures de base indispensables :

• Authentification multifacteur sur tous les comptes ayant accès à des données personnelles. C'est devenu si courant que son absence est considérée comme une négligence lors d'un audit. Consultez aussi notre guide sur la mise en place de la MFA.
• Chiffrement des données sur les ordinateurs portables et les appareils mobiles, ainsi que lors de leur transfert (HTTPS, TLS pour les e-mails).
• Politique de mises à jour pour les systèmes d'exploitation, les applications et les plug-ins. C'est également une mesure obligatoire au titre de NIS2, et elle fait encore défaut dans trop de PME.
• Sauvegarde et restauration, avec une procédure de restauration testée.
• Gestion des accès qui ne donne aux collaborateurs accès qu'aux données nécessaires à leur travail.
• Journalisation et surveillance des accès aux systèmes sensibles.

Les recommandations du NCSC (le centre national néerlandais de cybersécurité) sur la gestion des identités et des accès précisent ces exigences. En somme, les mesures techniques courantes en cybersécurité comptent aussi pour le RGPD. En parcourant votre checklist de cybersécurité, vous avancez donc déjà beaucoup sur le RGPD.

L'obligation de notifier une violation de données sous 72 heures

Une violation de données est toute atteinte à la sécurité entraînant la perte, l'accès non autorisé ou la divulgation de données personnelles : un ordinateur portable perdu, un téléphone volé, un e-mail contenant des données clients envoyé au mauvais destinataire, une boîte mail piratée. En vertu de l'article 33 du RGPD, vous devez notifier une violation de données à l'AP dans les 72 heures suivant sa découverte, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes concernées.

72 heures, c'est court. Il vous faut donc une procédure simple qui permet à un collaborateur remarquant quelque chose de suspect de savoir à qui s'adresser. Vous devez aussi pouvoir déterminer en interne si un événement constitue une violation de données. En 2024, l'AP a reçu 37 839 notifications de violations de données (en partie en raison de notifications groupées émanant de grandes organisations), tandis que le nombre d'incidents uniques est passé de 5 480 en 2023 à 14 067 en 2024. Ces chiffres montrent que les violations de données ne sont plus une exception pour les PME.

Ce qu'il faut faire en cas de problème est détaillé dans notre guide pratique sur la conduite à tenir en cas de violation de données. L'amende pour défaut de notification ou notification tardive peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.

Les contrats de sous-traitance ne sont pas une formalité

Lorsqu'un prestataire externe traite des données personnelles pour votre compte (un prestataire de paie, une plateforme d'e-mailing, un hébergeur, un éditeur de CRM), vous devez conclure avec lui un contrat de sous-traitance. L'article 28 du RGPD en fixe le contenu minimal : finalité, durée, pouvoir d'instruction, sécurité, confidentialité, règles applicables aux sous-traitants ultérieurs, assistance pour l'exercice des droits des personnes concernées, notification des violations de données, droit d'audit et sort des données à la fin du contrat.

Les grands fournisseurs (Microsoft, Google, éditeurs de logiciels de paie) fournissent d'office un contrat de sous-traitance. Avec les plus petits fournisseurs, c'est à vous de le demander. Conservez le document avec votre registre des traitements et gardez une trace de ce qui a été convenu sur la localisation des données. Depuis que Microsoft a achevé son EU Data Boundary le 26 février 2025, la plupart des données de Microsoft 365 et d'Azure restent au sein de l'UE/AELE. C'est un progrès, mais le CLOUD Act américain peut en théorie encore permettre d'en exiger l'accès.

Durées de conservation : pas plus longtemps que nécessaire

Le RGPD ne fixe pas de durées de conservation précises. Le principe de « limitation de la conservation » (article 5) prévoit que les données ne sont pas conservées plus longtemps que nécessaire au regard de leur finalité. Voici quelques durées courantes aux Pays-Bas, incontournables :

• Données de candidature : sans consentement, 4 semaines maximum après la fin de la procédure ; avec consentement, jusqu'à 1 an.
• Documents fiscaux : 7 ans (article 52 de la loi fiscale néerlandaise AWR), 10 ans pour les biens immobiliers.
• Dossier du personnel : en principe 2 ans après le départ du salarié, sauf pour les éléments fiscaux.
• Données clients : pendant toute la durée de la relation commerciale, plus un délai raisonnable pour les garanties, les litiges ou les contrats en cours.
• Données marketing : tant que la personne concernée ne s'y oppose pas et que la finalité reste d'actualité.

Ce qui pose souvent problème dans les PME : de vieux fichiers dans les boîtes mail, des données déversées sur les lecteurs réseau, d'anciens collaborateurs encore présents dans le CRM. Un nettoyage trimestriel vous évite, en cas de violation de données, de devoir expliquer pourquoi un candidat de 2019 figure encore sur votre serveur.

Les huit droits des personnes concernées

Le RGPD accorde huit droits aux personnes concernées : droit à l'information, d'accès, de rectification, à l'effacement (droit à l'oubli), à la limitation du traitement, à la portabilité des données, d'opposition et le droit de ne pas faire l'objet d'une décision automatisée. Concrètement, si un collaborateur, un candidat ou un client vous demande « Quelles données détenez-vous sur moi ? », vous devez pouvoir lui répondre dans un délai d'un mois (prolongeable de 2 mois pour les demandes complexes).

Une approche opérationnelle : un interlocuteur désigné (direction, RH ou une adresse du type privacy@entreprise.fr), une procédure standard pour examiner la demande et un modèle de réponse type. L'affaire DPG Media a montré à quel point le sujet est sensible : une exigence d'identification excessive (copie systématique d'une pièce d'identité) a valu à l'entreprise une amende de l'AP, ramenée à 262 500 euros par le Conseil d'État néerlandais (Raad van State) le 24 septembre 2025. Ne demandez que ce qui est nécessaire pour confirmer l'identité de la personne.

Quand une AIPD ou un DPO est-il obligatoire ?

Une AIPD (analyse d'impact relative à la protection des données, ou DPIA) est obligatoire pour les traitements susceptibles d'engendrer un risque élevé. Pour une PME, la question se pose par exemple en cas de surveillance systématique des collaborateurs (logiciels de suivi), de traitement à grande échelle de données sensibles (données de santé, données biométriques) ou de prise de décision automatisée produisant des effets juridiques. L'AP publie une liste des catégories pour lesquelles une AIPD est obligatoire (en néerlandais), à laquelle vous pouvez vous référer.

Un délégué à la protection des données (DPD, plus connu sous le nom de DPO) est obligatoire pour les organismes publics et pour les organisations dont l'activité principale consiste en une observation à grande échelle ou en un traitement à grande échelle de données sensibles. La plupart des PME n'ont pas l'obligation de désigner un DPO, mais peuvent nommer volontairement un coordinateur vie privée. Ce rôle volontaire n'a pas le statut légal d'un DPO et n'a pas à être déclaré auprès de l'AP.

RGPD, ISO 27001 et NIS2 : évitez le travail en double

Trois cadres de conformité se croisent dans les PME : le RGPD (vie privée), ISO 27001 (sécurité de l'information) et NIS2 (cybersécurité dans les secteurs critiques). Ils se recoupent largement. Si vous obtenez la certification ISO 27001, vous couvrez déjà l'essentiel des mesures de sécurité exigées par le RGPD. Si vous mettez en place votre démarche NIS2, vous en couvrez à nouveau une bonne partie.

Pour la plupart des PME, c'est une bonne nouvelle. Les mesures que vous prenez pour votre cybersécurité (MFA, chiffrement, politique de mises à jour, journalisation, gestion des identités) comptent d'emblée pour le RGPD. Selon des sources du marché, un SMSI conforme à ISO 27001 recouvre de 70 à 80 % des exigences de NIS2. Tout l'art consiste à aborder les trois régimes comme un ensemble, et non comme trois projets distincts.

Questions fréquentes sur le RGPD pour les PME

Le RGPD s'applique-t-il aussi à mon entreprise individuelle ou à ma petite PME ?

Oui, le RGPD s'applique à toute organisation qui traite des données personnelles. La différence tient à la proportionnalité : une entreprise individuelle n'a pas à désigner de DPO ni à bâtir un système complexe de gestion de la vie privée, mais elle doit tenir un registre des traitements, être en mesure de notifier les violations de données et mettre en place une sécurité appropriée. L'AP tient compte de la taille de l'entreprise.

Dois-je demander à mes clients un consentement distinct pour chaque utilisation de leurs données ?

Pas toujours. Le RGPD prévoit six bases légales : le consentement, l'exécution d'un contrat, l'obligation légale, la sauvegarde des intérêts vitaux, l'exécution d'une mission d'intérêt public et l'intérêt légitime. Pour exécuter un contrat de vente, vous n'avez pas besoin d'un consentement distinct. Pour envoyer des messages marketing à de nouveaux contacts ou déposer des cookies, si. Associez chaque activité de traitement à la bonne base légale.

Quelle est la différence entre une violation de données et un incident de sécurité ?

Un incident de sécurité est toute perturbation de la sécurité informatique (une tentative de phishing, une tentative d'infection par un malware bloquée). Une violation de données est un incident au cours duquel des données personnelles ont réellement été mises en danger : divulguées, perdues, rendues visibles par erreur ou modifiées par une personne non autorisée. Tout incident n'est pas une violation de données, mais une violation de données commence souvent par un incident. Un bon tri initial permet de déterminer rapidement ce que vous devez notifier.

Puis-je stocker les données de mes clients dans le cloud ?

Oui, à condition de conclure les bons accords. Le fournisseur cloud doit vous remettre un contrat de sous-traitance, les données doivent être protégées (chiffrement, MFA, gestion des accès) et vous devez savoir où elles sont stockées. Pour Microsoft et Google, leurs projets EU Data Boundary garantissent depuis 2025 que la plupart des données restent au sein de l'UE/AELE. Pour les secteurs très sensibles (santé, administration), des exigences supplémentaires continuent de s'appliquer au titre de la norme néerlandaise NEN 7510 ou de réglementations sectorielles.

Combien coûte la mise en conformité RGPD de ma PME ?

Cela dépend de votre point de départ. Une PME qui dispose déjà de la MFA, de sauvegardes et de postes de travail cloud modernes peut souvent se mettre en conformité pour quelques milliers d'euros d'analyse et de documentation. Pour une entreprise qui part de zéro, le budget peut atteindre plusieurs dizaines de milliers d'euros, plus une maintenance annuelle. Dans tous les cas, c'est moins cher qu'une violation de données assortie d'une atteinte à la réputation.

Conclusion

Le RGPD n'est pas un texte de loi que l'on coche un vendredi après-midi. C'est un ensemble de mesures de base, étroitement liées à la cybersécurité, qui demandent un suivi structuré : un registre des traitements à jour, une sécurité technique appropriée, une procédure de gestion des violations de données qui fonctionne, des contrats de sous-traitance clairs et des durées de conservation cohérentes. Pour la plupart des PME, la charge de travail reste raisonnable, surtout si vous l'associez à votre démarche de cybersécurité et de conformité NIS2.

Vous voulez savoir où en est votre entreprise et quelles sont les prochaines étapes les plus pragmatiques ? Appelez TRON Group au +31 85 303 5869 ou découvrez notre offre de cybersécurité. Nous réalisons un audit RGPD, cartographions les risques et vous aidons à mettre en pratique le registre des traitements, les mesures techniques et la procédure de gestion des violations de données, en cohérence avec votre environnement IT et votre préparation à NIS2.