Le RGPD, beaucoup de dirigeants de TPE/PME le classent encore dans la case "ça concerne les grands groupes, pas nous". C'est faux depuis le premier jour. Le texte ne fixe aucun seuil de taille : dès qu'une entreprise traite une donnée personnelle (un fichier client, une fiche de paie, un formulaire de contact sur un site, une liste de prospection), elle est soumise au RGPD, qu'elle ait 2 salariés ou 2000. Elle est responsable de traitement pour ses propres fichiers, sous-traitante quand elle traite des données pour le compte d'un client, et parfois responsable conjointe avec un partenaire.
Ce que change 2026, ce n'est pas le texte : il est stable depuis mai 2018. Ce qui change, c'est le niveau de contrôle. Voici les chiffres réels de la CNIL, et ce qu'il faut poser en priorité.
Qui est concerné, concrètement
Si votre entreprise fait au moins une de ces choses, elle est concernée :
- Elle gère une fiche client, un CRM ou un fichier de prospection.
- Elle emploie du personnel (dossiers RH, paie, badgeuse, vidéosurveillance).
- Elle a un site avec un formulaire de contact, une newsletter ou des cookies de mesure d'audience.
- Elle utilise un outil d'IA (ChatGPT, Claude, un assistant CRM) sur des données concernant des personnes réelles.
Autrement dit : en pratique, très peu de TPE/PME y échappent. La question n'est pas "suis-je concerné", elle est "est-ce que je sais ce que je fais de ces données".
Ce que la CNIL a réellement sanctionné en 2025
En 2025, la CNIL a rendu 259 décisions, dont 83 sanctions, pour un montant cumulé d'environ 486,8 millions d'euros. Ce chiffre donne une impression trompeuse : il est presque entièrement porté par deux dossiers, Google (325 millions d'euros) et Shein (150 millions d'euros), sur des manquements liés aux cookies. Ces deux amendes représentent à elles seules environ 475 des 487 millions d'euros.
Le chiffre le plus parlant pour le risque quotidien d'une TPE/PME est ailleurs : sur les 83 sanctions de 2025, 67 sont passées par la procédure simplifiée, une procédure plus rapide, réservée aux dossiers moins complexes, quelle que soit la taille de l'entreprise. L'amende y est plafonnée à 20 000 euros pour une entreprise de moins de 50 millions d'euros de chiffre d'affaires, et à 100 000 euros au-delà depuis le 28 mai 2026. Dans la liste publiée par la CNIL pour janvier à avril 2026, ces amendes vont de 2 000 à 20 000 euros. Ces décisions ne sont jamais rendues publiques sous le nom de l'organisme sanctionné, contrairement aux grosses sanctions médiatisées. C'est cette invisibilité qui entretient l'idée fausse que "seuls les géants écopent".
| Motif de sanction (2025) | Structures concernées |
|---|---|
| Cookies et traceurs déposés sans consentement | 21 |
| Vidéosurveillance excessive des salariés | 16 |
| Manquements à la sécurité des données | 14 (procédure simplifiée) |
| Non-coopération avec la CNIL lors d'un contrôle | 14 |
| Atteintes aux droits des personnes (accès, suppression, opposition) | 14 |
← Faites glisser le tableau pour voir toutes les colonnes →
Un bandeau cookies mal configuré, une caméra qui filme en continu le poste d'une salariée, ou un client qui demande la suppression de ses données et n'obtient pas de réponse : ce sont exactement les motifs qui ont fait sanctionner des dizaines de structures en 2025, pas des cas théoriques.
Les 4 actions qui couvrent l'essentiel
La CNIL résume les premières étapes de la mise en conformité d'une entreprise en quatre actions. Pas besoin d'un service juridique interne pour les poser :
- Tenir un registre des traitements : la liste de ce que vous faites avec des données (paie, clients, prospection…), pourquoi, et combien de temps vous les gardez. Un tableau suffit pour démarrer. La dispense prévue sous 250 salariés est étroite : elle tombe dès qu'un traitement n'est pas occasionnel (la paie, le fichier client), présente un risque ou porte sur des données sensibles. En pratique, une TPE/PME a presque toujours besoin d'un registre.
- Faire le tri dans vos données : ne garder que les données nécessaires, en réserver l'accès aux personnes qui en ont besoin, et ne pas les conserver plus longtemps qu'utile.
- Respecter les droits des personnes : les informer, avec des mentions RGPD sur vos formulaires, votre site et vos contrats (ce que vous collectez, pourquoi, comment exercer ses droits). Puis leur permettre d'exercer ces droits : accès, rectification, suppression, opposition. Le délai de réponse est d'un mois, prolongeable de deux mois pour une demande complexe ou des demandes nombreuses, à condition d'en informer la personne dans le premier mois.
- Sécuriser vos données : mots de passe solides, accès différenciés selon les besoins, mises à jour, sauvegardes.
Confiez aussi le suivi à un référent interne, pas nécessairement un DPO. Le DPO n'est obligatoire que pour un organisme public, ou quand les activités de base de l'entreprise consistent en un suivi régulier et systématique de personnes à grande échelle, ou en un traitement à grande échelle de données sensibles ou relatives aux condamnations pénales et aux infractions. Pour la plupart des TPE/PME, un référent en interne suffit.
À côté de ces quatre piliers, deux points méritent une vigilance particulière en 2026 : la conformité de votre site (bandeau cookies, traceurs qui ne se déclenchent qu'après consentement) et les clauses avec vos sous-traitants (hébergeur, CRM, outils d'emailing, outils d'IA quand le fournisseur agit pour votre compte) qui doivent être encadrées par un contrat.
Le point aveugle : l'IA et vos données
Utiliser ChatGPT, Claude ou un assistant IA sur des données concernant des personnes réelles (extraits de dossiers clients, CV, échanges avec des salariés) pose les mêmes questions RGPD qu'un logiciel classique : base légale, minimisation des données transmises, et rôle du fournisseur de l'outil (sous-traitant, responsable de traitement ou responsable conjoint), à encadrer par le contrat qui correspond. Un compte gratuit grand public et un compte professionnel/API n'offrent pas les mêmes garanties sur l'utilisation de vos données. C'est un point que je regarde systématiquement en audit, parce que c'est souvent l'angle mort numéro un des équipes qui adoptent l'IA vite, sans cadrage.
Ce qu'il faut poser en 2026
- Vérifier le site en premier : les cookies sont l'un des principaux motifs de sanction (21 organismes sanctionnés en 2025), et la CNIL les contrôle en ligne. Certains manquements se voient depuis l'extérieur, comme un cookie publicitaire déposé avant tout choix de l'internaute, ou un refus plus difficile à exprimer que l'acceptation.
- Faire l'inventaire réel des traitements, y compris les outils utilisés sans validation officielle (CRM, outils IA, extensions).
- Poser un registre simple et des mentions d'information sur les points de collecte existants.
- Sécuriser l'essentiel : accès, mots de passe, sauvegardes, et contrats à jour avec les sous-traitants qui manipulent vos données.
Une PME peut aussi relever de la procédure ordinaire, dont les amendes vont jusqu'aux plafonds du RGPD : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Mais les motifs les plus fréquents des sanctions de 2025 sont des manquements courants : un bandeau cookies mal réglé, une caméra qui filme des salariés en continu, des mots de passe trop faibles, une demande d'accès ou de suppression restée sans réponse. En procédure simplifiée, ils coûtent déjà plusieurs milliers d'euros.
