Checklist RGPD pour PME : les 10 points à vérifier, d'après la CNIL

Une PME n'a pas besoin d'un service juridique pour démarrer sa mise en conformité RGPD : la CNIL publie une check-list en sept étapes pour les TPE et PME. Voici ces étapes, regroupées en dix points concrets, avec ce que la CNIL demande et ce que l'IA peut faire pour vous gagner du temps.

Avertissement : contenu informatif, non constitutif de conseil juridique. La CNIL précise elle-même que remplir sa check-list ne garantit pas la conformité au RGPD.

Étape 1 : cartographier vos données (points 1 à 5)

La CNIL commence par un inventaire. Chaque point ci-dessous se traite fichier par fichier : recrutement, paie, clients, prospects, fournisseurs.

• 1. Identifier vos fichiers : listez tous les endroits où vous enregistrez des données de personnes (tableurs, logiciel de paie, CRM, boîte de réception).
• 2. Les trier par nature (RH, clients, prospects, prestataires).
• 3. Noter l'objectif de chaque fichier : gestion des factures, fidélisation, paie. Un fichier sans objectif clair est un signal d'alerte.
• 4. Lister les informations enregistrées et vérifier qu'elles sont indispensables : la CNIL demande de supprimer, et de ne plus demander, celles qui ne le sont pas.
• 5. Identifier qui a besoin d'y accéder : employés, partenaires, prestataires. Réservez l'accès à ceux qui en ont l'usage.

Étape 2 : fixer les règles (points 6 et 7)

• 6. Définir une durée de conservation pour chaque type d'information et ne pas la dépasser. Sans date de suppression prévue, les données s'accumulent.
• 7. Tenir un registre des activités de traitement, avec une fiche par traitement de données. La CNIL peut vous le demander, c'est donc la pièce centrale de votre dossier.

Étape 3 : respecter les personnes (points 8 à 10)

• 8. Informer les clients, fournisseurs et salariés des données détenues sur eux, de la finalité, des personnes qui y ont accès et de la durée de conservation. La CNIL met à disposition des modèles de mentions d'information.
• 9. Répondre aux droits d'accès, de rectification et d'opposition dans un délai maximal d'un mois. L'absence de réponse peut être sanctionnée.
• 10. Sécuriser et sensibiliser : mises à jour, mots de passe forts, sauvegardes régulières, rangement sécurisé des documents sensibles, et information de vos salariés sur ces enjeux.

Ce que cette check-list ne couvre pas

Le document de la CNIL ne traite ni des sous-traitants, ni des violations de données, ni du délégué à la protection des données (DPO). Ce sont pourtant des sujets courants en PME : hébergeur, logiciel de paie, prestataire d'emailing.

En cas de violation de données présentant un risque pour les personnes, le RGPD (article 33) impose de la notifier à la CNIL dans les 72 heures. Préparez en amont qui prévient qui. Pour les sous-traitants et le DPO, consultez les fiches de la CNIL ou un juriste : je ne détaille pas ici ce que la source ne couvre pas.

Où l'IA peut vous aider, et où elle ne suffit pas

• Utile : produire un premier brouillon de fiche de registre à partir d'une description de traitement, reformuler une mention d'information en langage clair, préparer un modèle de réponse à une demande d'accès.
• Insuffisant : décider de la durée de conservation applicable, qualifier un traitement sensible ou un sous-traitant, répondre à un contrôle. Relisez toujours avec les fiches CNIL et, pour les cas à risque, un avocat.

Pour aller plus loin, lisez notre article sur les 5 obligations RGPD que beaucoup de PME ignorent et celui sur la génération de CGV et de mentions légales avec l'IA.

Questions fréquentes

Une PME doit-elle tenir un registre des traitements ?

La check-list de la CNIL pour TPE et PME en fait la septième étape et indique que la CNIL peut le demander. Les règles de dispense dépendent de la taille et des traitements : vérifiez votre situation auprès de la CNIL.

Combien de temps pour répondre à une demande d'accès ?

La CNIL indique un délai maximal d'un mois pour répondre aux droits d'accès, de rectification et d'opposition.

Cette check-list suffit-elle pour être conforme ?

Non. La CNIL précise que la remplir ne garantit pas la conformité au RGPD, et qu'elle ne traite pas les sous-traitants, les violations de données ni le DPO.