RGPD pour les TPE : les points à vérifier

Dernière mise à jour : 4 octobre 2026

Le règlement général sur la protection des données (RGPD) s'applique depuis le 25 mai 2018. Il concerne toute entreprise qui traite des données personnelles : fichiers clients, prospects, candidats ou salariés. Voici les dix points que Balise vérifie en premier.

Les dix points

Le registre des traitements (article 30) : la liste de vos fichiers, leur finalité, leur durée de conservation et leurs destinataires.
Une base légale pour chaque traitement (article 6) : contrat, obligation légale, consentement, intérêt légitime, etc. Elle se choisit traitement par traitement.
L'information des personnes (articles 13 et 14) : dire qui collecte les données, pourquoi, combien de temps, et comment exercer ses droits.
Les durées de conservation (article 5) : fixer une durée pour chaque fichier, puis supprimer ou archiver les données une fois cette durée dépassée.
Les droits des personnes (articles 15 à 22) : accès, rectification, effacement, opposition. Vous disposez d'un mois pour répondre (article 12).
Les contrats avec vos prestataires (article 28) : un prestataire qui traite des données pour vous doit être encadré par un contrat écrit.
Les transferts hors Union européenne (articles 44 à 46) : ils doivent être encadrés par une garantie reconnue.
La sécurité des accès (article 32) : comptes individuels, mots de passe robustes, double authentification pour les outils qui contiennent des données.
La gestion des violations (articles 33 et 34) : une fuite de données présentant un risque doit être notifiée à la CNIL dans les 72 heures. Tenez aussi un registre interne des violations.
L'analyse d'impact (article 35) : obligatoire lorsqu'un traitement présente un risque élevé pour les personnes.

Et l'intelligence artificielle ?

Depuis que vos équipes utilisent des outils d'IA, ces dix points s'appliquent aussi à ce qu'elles saisissent. Un outil d'IA qui reçoit des données personnelles est un traitement comme les autres : il doit figurer au registre, et son fournisseur doit être encadré. Le règlement européen sur l'IA s'y ajoute, avec ses propres obligations.

Par où commencer

La plupart des PME ont déjà quelques éléments en place. Le plus utile est de faire le point sur les dix points ci-dessus : le diagnostic gratuit le fait en 3 minutes, et le guide gratuit détaille dix questions avec une piste d'action pour chacune.

Accompagné par Balise. Diagnostic indicatif, ne constitue pas un avis juridique.