RGPD pour les TPE/PME en 2026 : obligations, délégué et sanctions

Le RGPD en 2026 : de quoi les TPE/PME doivent-elles se soucier ?

Le Règlement Général sur la Protection des Données (RGPD) s'applique à tout organisme, quelle que soit sa taille, dès lors qu'il traite des données personnelles : fichiers clients, paie, candidatures, vidéosurveillance, cookies… Une TPE qui gère un fichier de 50 clients est tout autant concernée qu'une multinationale. En 2026, la CNIL a significativement renforcé ses contrôles et les sanctions financières s'alourdissent : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

Pour les TPE/PME, les obligations clés sont au nombre de cinq :

• Le registre des traitements — documenter toutes les opérations de données personnelles que vous réalisez (obligatoire pour toutes les entreprises, pas seulement les grandes).
• Le consentement éclairé — obtenir un consentement libre, spécifique et éclairé avant toute collecte, notamment pour les cookies et la prospection commerciale.
• La sécurité des données — mettre en place des mesures techniques et organisationnelles adaptées (chiffrement, accès restreint, mots de passe solides).
• Les droits des personnes — informer les personnes concernées et répondre à leurs demandes d'accès, de rectification ou de suppression dans un délai d'un mois.
• La notification des violations — signaler toute faille de sécurité à la CNIL sous 72 heures si elle présente un risque pour les personnes.

Le registre des traitements : votre première obligation

Le registre des traitements est le document central de votre conformité RGPD. Il recense toutes les opérations impliquant des données personnelles au sein de votre entreprise : gestion des clients, paie, candidatures, vidéosurveillance, site web, etc.

Pour chaque traitement, le registre doit mentionner :

• La finalité : pourquoi collectez-vous ces données ? (ex. : gestion de la relation client, paiement des salaires)
• Les catégories de données : nom, email, numéro de téléphone, données bancaires, etc.
• Les catégories de personnes concernées : clients, prospects, salariés, candidats
• Les destinataires : qui a accès à ces données en interne et en externe (CAB, expert-comptable, hébergeur)
• La durée de conservation : combien de temps gardez-vous les données (ex. : factures 10 ans, candidatures 2 ans, données clients 3 ans après fin de relation)
• Les mesures de sécurité : chiffrement, accès restreint, sauvegarde, etc.

La CNIL propose un modèle gratuit de registre adapté aux TPE/PME sur son site (cnil.fr). Ce registre peut être tenu sous format numérique ou papier, mais doit pouvoir être présenté en cas de contrôle.

DPO obligatoire ou facultatif ? Comment décider pour votre TPE/PME

Le Délégué à la Protection des Données (DPO) est obligatoire uniquement dans trois cas :

1. Votre organisme est une autorité publique ou un établissement public.
2. Vos activités principales impliquent des opérations de traitement à grande échelle nécessitant un suivi régulier et systématique des personnes concernées (ex. : plateforme de e-commerce avec profiling comportemental).
3. Vos activités principales impliquent un traitement à grande échelle de données sensibles (données de santé, opinions politiques, origine raciale, etc.).

Pour la grande majorité des TPE/PME, le DPO n'est pas obligatoire. la CNIL recommande de nommer un référent RGPD en interne — un salarié qui se forme aux bases du RGPD et coordonne la conformité. Cette personne n'a pas le statut juridique du DPO mais assure une fonction similaire à l'échelle de l'entreprise.

Si vous nommez un DPO (volontairement), celui-ci doit être déclaré à la CNIL et ne peut pas recevoir d'instructions dans l'exercice de sa mission. Pour une TPE, le coût d'un DPO externe (500 à 2 000 €/mois) est rarement justifié : un référent formé en interne est souvent suffisant.

Le consentement cookies et la prospection : deux pièges fréquents

Les TPE/PME sont particulièrement exposées sur deux points :

1. Le consentement aux cookies

Les recommandations CNIL de 2023 imposent :

• Un bandeau de consentement au premier accès, avec un bouton « Tout refuser » aussi visible et accessible que le bouton « Tout accepter ».
• Le consentement doit être recueilli avant tout dépôt de cookie (sauf cookies strictement nécessaires au fonctionnement du site).
• Les cookies de mesure d'audience (Google Analytics, etc.) nécessitent un consentement explicite — l'exception « mesure d'audience » de la CNIL impose des conditions strictes (anonymisation IP, opt-out, durée max 13 mois).
• Le consentement est révocable à tout moment via un bouton persistant sur chaque page.

2. La prospection commerciale par email

L'article L. 34-5 du Code des postes et des communications électroniques impose le consentement préalable (opt-in) pour toute prospection par email auprès des particuliers. Pour les professionnels (B2B), le régime est plus souple : l'opt-out est possible si les coordonnées sont obtenues légitimement et que la prospection porte sur des produits similaires. En pratique, mieux vaut toujours obtenir un consentement explicite.

Les sanctions CNIL : ce que risquent réellement les TPE/PME

Les sanctions du RGPD ne sont pas théoriques. En 2024-2025, la CNIL a prononcé des sanctions contre des entreprises de toutes tailles :

• Amende administrative : jusqu'à 20 millions d'euros ou 4 % du CA mondial annuel (le montant le plus élevé étant retenu). Pour une TPE, l'amende est adaptée à sa taille et à sa situation financière, mais reste significative (plusieurs milliers d'euros minimum).
• Mise en demeure : premier avertissement formel de la CNIL, avec obligation de se mettre en conformité dans un délai imparti (souvent 3 à 6 mois).
• Sanction pécuniaire simplifiée : depuis 2023, la CNIL peut prononcer des amendes forfaitaires pour les manquements les plus courants : absence de registre des traitements (7 500 €), non-respect des droits des personnes (15 000 €), cookies non conformes (20 000 €).
• Injonction de retrait de données : obligation de supprimer des données illégalement collectées.

En cas de violation de données impliquant un risque pour les personnes, vous devez notifier la CNIL sous 72 heures. Le non-respect de cette obligation est lui-même sanctionnable. Les personnes concernées doivent aussi être informées si le risque est élevé.