Mis à jour en avril 2025
Le Règlement Général sur la Protection des Données (RGPD) est un règlement européen entré en vigueur le 25 mai 2018, destiné à encadrer le traitement des données personnelles par les entreprises, associations et collectivités dans l’ensemble de l’Union Européenne.
En clair, si vous gérez un fichier client, si vous envoyez des emails commerciaux, ou si votre site Internet propose un formulaire de contact, vous êtes concerné par le RGPD et vous devez respecter un certain nombre d’obligations.
Qu’est-ce que le RGPD
Le RGPD vise à renforcer les droits des personnes et à responsabiliser les entreprises sur l’utilisation des données personnelles. Il s’applique à toutes les structures qui collectent, stockent ou utilisent des données permettant d’identifier une personne physique.
Ce règlement vous impose notamment de :
-
Informer clairement les personnes concernées (qui, quoi, pourquoi, combien de temps)
-
Obtenir un consentement explicite lorsque nécessaire
-
Respecter les droits des personnes (accès, rectification, suppression…)
-
Mettre en place des mesures de sécurité pour protéger les données
-
Être en mesure de prouver votre conformité
Contrairement à une idée reçue, le RGPD ne concerne pas uniquement les grandes entreprises. Même une TPE avec un simple formulaire de contact ou une base client Excel doit s’y conformer.
Quelques définitions pour bien comprendre ce nouveau règlement européen
-
Données personnelles : toute information permettant d’identifier une personne (nom, adresse, email, IP, téléphone, cookies, numéro client…).
-
Traitement : toute opération appliquée à ces données (collecte, stockage, consultation, suppression…).
-
Responsable de traitement : l’entreprise (ou la personne) qui détermine les finalités et moyens du traitement.
-
Sous-traitant : un prestataire qui traite les données pour le compte du responsable (ex. : un hébergeur, un routeur emailing, un CRM).
-
DPO (délégué à la protection des données) : une personne désignée dans certains cas pour superviser la conformité. Il n’est pas obligatoire pour toutes les entreprises, mais peut être recommandé.
Ce que vous devez faire pour être en conformité avec le RGPD
1. Cartographier vos traitements
Identifiez les fichiers et les traitements que vous mettez en œuvre : à quelles données avez-vous accès ? Pour quelle finalité ? Pendant combien de temps ?
Tenez un registre des traitements, même simplifié. La CNIL propose un modèle accessible aux TPE/PME.
2. Informer clairement vos utilisateurs
Sur votre site (notamment via une politique de confidentialité), vous devez indiquer :
-
quelles données vous collectez
-
à quoi elles servent
-
combien de temps vous les conservez
-
quels sont les droits des utilisateurs
Un lien vers cette page doit être accessible facilement, en particulier sur les formulaires.
3. Gérer le consentement
Le consentement doit être libre, spécifique, éclairé et univoque.
Pour les cookies ou les formulaires marketing, vous devez :
-
permettre à l’utilisateur de choisir
-
conserver la preuve du consentement
-
proposer un moyen de le retirer facilement
Depuis les clarifications de la CNIL, la poursuite de la navigation ne suffit plus : le refus doit être aussi simple que l’acceptation.
4. Respecter les droits des personnes
Vous devez permettre à chaque utilisateur de :
-
consulter les données que vous avez sur lui
-
les modifier ou les supprimer (droit à l’oubli)
-
limiter ou s’opposer à leur traitement
Une adresse ou un formulaire de contact doit être prévu à cet effet.
5. Sécuriser les données
Le RGPD vous impose de protéger activement les données que vous collectez. Cela passe par :
-
des mots de passe robustes
-
un hébergement sécurisé
-
des sauvegardes régulières
-
un accès restreint aux données sensibles
Focus : emailing et achat de base de données
Si vous avez acheté une base de données pour faire de l’emailing, sachez que cela n’est généralement pas conforme au RGPD, sauf si chaque contact a donné un consentement éclairé pour recevoir des messages de tiers identifiés.
Dans la pratique, il est vivement déconseillé d’utiliser ce type de fichier. Vous risquez des plaintes, une mauvaise délivrabilité, et d’éventuelles sanctions. Mieux vaut bâtir votre base avec des contacts que vous avez vous-même collectés, via un formulaire ou une inscription volontaire.
Ce que vous risquez en cas de non-conformité
Les sanctions prévues par le RGPD sont importantes : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel en cas de manquement grave.
Mais au-delà des sanctions, c’est aussi votre image et la confiance de vos clients qui peuvent être fortement impactées.
