GDPR : 11 actions pour se mettre en conformité (2026)

L’essentiel. Le GDPR (RGPD en français) n’exige pas la perfection : il exige de pouvoir démontrer une démarche sérieuse. En traitant onze chantiers prioritaires — minimisation, base légale, données sensibles, information, portabilité, registre, sécurité, violations, DPO, AIPD, transferts hors UE — une PME couvre l’essentiel du risque de sanction en quelques semaines. Ce guide donne, pour chacun, le fondement juridique, l’action concrète et le piège à éviter.

Le RGPD est l’une des plus grandes réformes juridiques jamais mises en œuvre, tant par le nombre de personnes qu’elle touche que par l’ampleur des sanctions. La CNIL prononce chaque année des amendes qui se comptent en centaines de milliers, parfois en millions d’euros, et les TPE ne sont pas épargnées : une vidéosurveillance excessive des salariés ou un dispositif biométrique mal encadré suffisent à déclencher une procédure. Pour un panorama, voir les sanctions RGPD à connaître.

Bonne nouvelle : sans viser une conformité à 100 %, on réduit l’essentiel des risques majeurs en traitant les bons chantiers, dans le bon ordre. Ce guide couvre onze actions prioritaires. Elles ne remplacent pas une démarche complète, mais elles éliminent les manquements que la CNIL sanctionne le plus souvent.

Les 11 actions en un coup d’œil

#	Action	Fondement RGPD	Objectif
1	Minimiser les données collectées	Art. 5(1)©	Ne collecter que le strict nécessaire
2	Sécuriser la base légale	Art. 6	Justifier juridiquement chaque traitement
3	Encadrer les données sensibles	Art. 9	Interdiction de principe, sauf exception
4	Délivrer l’information (mentions)	Art. 13-14	Informer au moment de la collecte
5	Assurer la portabilité	Art. 20	Permettre l’export des données
6	Tenir le registre des traitements	Art. 30	Cartographier et documenter
7	Sécuriser les données	Art. 32	Mesures adaptées au risque
8	Gérer les violations de données	Art. 33-34	Notifier sous 72 h, tenir un registre
9	Désigner un DPO	Art. 37	Piloter la conformité
10	Mener une AIPD	Art. 35	Analyser les traitements à risque élevé
11	Encadrer les transferts hors UE	Art. 44 s.	Sécuriser les flux internationaux

1. Minimiser les données personnelles collectées

C’est l’un des changements les plus substantiels en pratique : le règlement impose de ne collecter que les données strictement nécessaires. L’article 5(1)© énonce que les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités » (principe de minimisation).

Prenons une newsletter. Quelles données sont strictement nécessaires ? L’adresse e-mail — et rien d’autre. Ni le nom, ni le prénom, ni le sexe, ni l’adresse postale, sauf justification particulière (un envoi papier justifierait l’adresse). C’est une rupture avec l’ancienne loi Informatique et Libertés, qui se contentait d’interdire les données « excessives ».

Deux chantiers en découlent :

• purger les données qui ne sont pas strictement nécessaires dans les applications existantes ;
• limiter les données collectées à l’avenir, traitement par traitement.

Les traitements à passer en revue en priorité : site internet, paie, contrôle d’accès aux locaux, vidéosurveillance, géolocalisation de véhicules, facturation, recrutement (CV), prospection commerciale, logs serveurs, sauvegardes. Pour chacun, définissez la liste des données nécessaires ; le reste doit être purgé. La minimisation se documente ensuite dans le registre (action 6).

2. Sécuriser la base légale du traitement

Aucun traitement n’est licite s’il ne repose sur l’une des six bases de l’article 6 RGPD : consentement, exécution d’un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public, ou intérêt légitime. Contrairement à une idée reçue, le consentement n’est pas la base par défaut : il est souvent le mauvais choix. Une paie repose sur une obligation légale, une vente en ligne sur l’exécution du contrat, une prospection B2B fréquemment sur l’intérêt légitime.

Le choix de la base n’est pas cosmétique : il détermine les droits de la personne, la possibilité de retrait, la durée de conservation et la charge probatoire. Lorsque vous invoquez l’intérêt légitime, formalisez un test de mise en balance (le « triple test ») démontrant que vos intérêts ne sont pas supplantés par les droits des personnes. Chaque traitement doit avoir une base légale clairement identifiée et justifiée — c’est le premier point qu’un contrôleur CNIL vérifie. Voir le guide complet sur la base légale RGPD.

3. Encadrer les données sensibles

L’article 9 RGPD pose une interdiction de principe de traiter les données sensibles : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques d’identification, données de santé, données relatives à la vie ou à l’orientation sexuelle.

Attention à ne pas confondre les données sensibles au sens du RGPD et les données « sensibles pour l’entreprise » (données financières, secrets d’affaires) — ces dernières n’entrent pas dans le champ de l’article 9. Le traitement de données sensibles n’est possible que si l’une des exceptions de l’article 9(2) s’applique (consentement explicite, obligations en droit du travail, protection des intérêts vitaux, données manifestement rendues publiques, etc.). Si vous traitez ces données, documentez précisément l’exception mobilisée.

4. Délivrer l’information (mentions RGPD)

L’article 13 (collecte directe) et l’article 14 (collecte indirecte) imposent d’informer la personne, au moment de la collecte, d’une série de mentions : identité et coordonnées du responsable de traitement, coordonnées du DPO le cas échéant, finalités et base légale, intérêts légitimes poursuivis lorsque c’est la base retenue, destinataires, durées de conservation, existence des droits (accès, rectification, effacement, opposition, portabilité), droit de réclamation auprès de la CNIL, et intention de transfert hors UE avec le fondement applicable.

L’absence de mentions d’information est un signal de non-maturité immédiat : lors d’un audit ou d’un contrôle, c’est souvent le premier indicateur d’un dossier fragile. Rien de complexe ici — il s’agit de rédiger un texte clair reprenant les éléments imposés, et de l’afficher pour chaque collecte (formulaire, contrat, pied de page, notice à l’embauche).

5. Assurer le droit à la portabilité

L’article 20 crée le droit, pour la personne, de recevoir les données qu’elle a fournies dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable. Ce droit ne s’applique qu’aux données fournies par la personne, traitées sur la base du consentement ou d’un contrat, et de façon automatisée.

C’est un droit qui s’anticipe dès la conception d’un système (privacy by design, article 25). Si vous fournissez un service en ligne, prévoyez une fonction d’export en libre-service : c’est plus économique que de traiter les demandes une par une. À défaut, organisez une procédure de réponse manuelle dans le délai d’un mois de l’article 12.

6. Tenir le registre des activités de traitement

Le registre est le socle documentaire de toute la conformité. L’obligation naît de trois dispositions combinées : l’article 5(2) (accountability — être en mesure de démontrer le respect du règlement), l’article 24 (mesures techniques et organisationnelles pour le démontrer) et surtout l’article 30, qui impose formellement de tenir un registre des activités de traitement.

Chaque fiche de traitement doit indiquer : coordonnées du responsable (et du DPO le cas échéant), finalités, catégories de personnes et de données, catégories de destinataires, transferts hors UE, durées de conservation et description générale des mesures de sécurité (article 32). Pour partir d’une base concrète, voir un exemple de registre RGPD rempli.

Un logiciel RGPD permet d’industrialiser la tenue du registre à partir de modèles de traitements pré-remplis (base légale, durées, mesures de sécurité), puis de suivre l’état réel des actions de conformité au fil du temps — ce qu’un simple tableur ne permet pas de piloter durablement.

7. Assurer la sécurité des données

L’obligation de sécurité est ancienne, et l’article 32 RGPD la reconduit en imposant des « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque » : pseudonymisation et chiffrement, confidentialité-intégrité-disponibilité-résilience des systèmes, capacité de restauration après incident, procédure de test régulier des mesures.

Le texte n’entre pas dans le détail technique : il impose une analyse de risque dont découlent des mesures proportionnées. En pratique, classez l’impact potentiel de chaque traitement pour les personnes selon quatre niveaux :

Niveau	Description	Exemples de conséquences pour les personnes
Négligeable	Désagréments surmontables sans difficulté	Perte de temps, réception de spam
Limité	Désagréments significatifs surmontables malgré des difficultés	Frais, refus de service, comptes bloqués, profilage abusif
Important	Difficultés réelles	Interdit bancaire, perte d’emploi, pertes financières notables
Critique	Conséquences graves, irréversibles ou insurmontables	Atteinte physique, endettement massif, préjudice psychologique durable

Plus l’impact est élevé, plus les mesures doivent être robustes. Cette grille alimente aussi la décision de mener une AIPD (action 10).

8. Gérer les violations de données

Le RGPD crée une double obligation en cas de violation de données à caractère personnel (destruction, perte, altération, divulgation ou accès non autorisé). L’article 33 impose de notifier la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d’engendrer un risque pour les droits et libertés. L’article 34 impose, lorsque le risque est élevé, d’informer aussi directement les personnes concernées.

La notification à la CNIL décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Deux réflexes à installer : disposer d’une procédure de réaction et tenir un registre des violations (même vide au départ), que la CNIL peut consulter à tout moment. Pour la méthode et un support, voir le guide notification de violation et le modèle de notification CNIL sous 72 h.

9. Désigner un DPO

Le délégué à la protection des données (DPO) est la pièce angulaire de la conformité. Sa désignation est obligatoire dans trois cas (article 37) : autorité ou organisme public ; suivi régulier et systématique à grande échelle des personnes ; ou traitement à grande échelle de données sensibles (article 9) ou relatives à des condamnations pénales.

Hors de ces cas, la désignation reste facultative — mais vivement conseillée, y compris via un DPO externalisé pour une PME. Le DPO informe et conseille, contrôle le respect du règlement, conseille sur les AIPD, coopère avec la CNIL et fait office de point de contact. Il doit disposer de moyens et d’une indépendance réels. Pour trancher, voir dans quels cas le DPO est obligatoire.

10. Mener une AIPD pour les traitements à risque

L’analyse d’impact relative à la protection des données (AIPD, DPIA en anglais) est imposée par l’article 35 « lorsqu’un type de traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ». L’article 35(3) vise trois cas obligatoires : l’évaluation systématique fondée sur un traitement automatisé produisant des effets juridiques (profilage, scoring) ; le traitement à grande échelle de données sensibles ; la surveillance systématique à grande échelle d’une zone accessible au public.

La CNIL publie en outre une liste de traitements soumis à AIPD. Au-delà, sont typiquement concernés : profilage et scoring, surveillance (vidéosurveillance, monitoring), données sensibles, traitements à grande échelle, interconnexions de fichiers, données de personnes vulnérables (mineurs, majeurs protégés), technologies innovantes et transferts hors UE. L’AIPD doit décrire le traitement, évaluer sa nécessité et sa proportionnalité, apprécier les risques et définir les mesures pour les maîtriser. Elle se consulte avec le DPO. Depuis l’entrée en application de l’AI Act, les systèmes d’IA à haut risque qui traitent des données personnelles imposent d’articuler AIPD et analyse propre au règlement IA.

11. Encadrer les transferts de données hors UE

Un transfert de données hors de l’Espace économique européen n’est licite que s’il repose sur l’un des mécanismes du chapitre V du RGPD, selon une logique en cascade :

• Décision d’adéquation : la Commission européenne reconnaît qu’un pays offre une protection adéquate. Depuis le 10 juillet 2023, les transferts vers les entreprises américaines certifiées au Data Privacy Framework (DPF) bénéficient d’une décision d’adéquation. Attention : elle ne couvre que les organisations effectivement certifiées, et fait l’objet de contestations juridiques — une veille reste nécessaire.
• Garanties appropriées : à défaut d’adéquation, on recourt principalement aux clauses contractuelles types (CCT) adoptées par la Commission en 2021 (décision 2021/914), complétées, depuis l’arrêt Schrems II, par une analyse d’impact des transferts (Transfer Impact Assessment) et, si besoin, des mesures supplémentaires (chiffrement, pseudonymisation).
• Règles d’entreprise contraignantes (BCR) pour les groupes.
• Dérogations de l’article 49 pour des situations particulières et ponctuelles.

Les transferts hors UE concentrent une part importante du risque, notamment via les prestataires cloud. Chaque flux international doit faire l’objet d’une analyse juridique avant sa mise en œuvre : identifier le mécanisme applicable, documenter la garantie retenue, et l’inscrire au registre.

Par où commencer : la checklist

1. Cartographier les traitements et rédiger le registre (action 6).
2. Vérifier la base légale de chaque traitement (action 2).
3. Rédiger et afficher les mentions d’information (action 4).
4. Minimiser les données et fixer les durées de conservation (actions 1 et 6).
5. Mettre en place la procédure violations et le registre associé (action 8).
6. Évaluer la sécurité traitement par traitement (action 7).
7. Décider de la désignation du DPO (action 9).
8. Identifier les traitements à risque élevé et lancer les AIPD (action 10).
9. Recenser et sécuriser les transferts hors UE (action 11).

Ce qu’il faut retenir

• Le GDPR se démontre : l’accountability (article 5(2)) impose de prouver sa démarche, pas d’atteindre une perfection illusoire.
• Le registre (article 30) est le socle : il structure tous les autres chantiers.
• La base légale et les mentions d’information sont les premiers points contrôlés par la CNIL.
• La violation de données se gère sous 72 h : une procédure et un registre dédiés s’installent avant l’incident, pas pendant.
• Les transferts hors UE reposent en 2026 sur le DPF (pour les entreprises américaines certifiées) ou sur les CCT 2021/914 assorties d’une analyse d’impact.

FAQ

GDPR et RGPD, est-ce la même chose ?

Oui. « GDPR » (General Data Protection Regulation) est le nom anglais du règlement (UE) 2016/679, dont l’acronyme français est « RGPD » (Règlement général sur la protection des données). Le texte, applicable depuis le 25 mai 2018, est identique dans toute l’Union.

Une TPE de moins de 250 salariés doit-elle tenir un registre ?

En pratique, oui. L’exemption de l’article 30(5) est très limitée : elle ne joue que si les traitements sont occasionnels, ne portent pas sur des données sensibles et ne présentent pas de risque pour les personnes. Or presque toute entreprise gère de la paie, des clients et de la vidéosurveillance de façon régulière. Un registre est donc de fait nécessaire.

Le consentement est-il toujours obligatoire pour traiter des données ?

Non. Le consentement n’est que l’une des six bases légales de l’article 6. Beaucoup de traitements reposent sur l’exécution d’un contrat, une obligation légale ou l’intérêt légitime. Choisir le consentement à tort crée un risque : la personne peut le retirer à tout moment, ce qui fragilise le traitement.

Quel délai pour notifier une violation de données ?

72 heures maximum après en avoir pris connaissance pour la notification à la CNIL, lorsque la violation présente un risque pour les personnes. Si le risque est élevé, il faut en outre informer directement les personnes concernées, dans les meilleurs délais. Un modèle de notification 72 h accélère la réaction.

Peut-on utiliser des services cloud américains en 2026 ?

Oui, sous conditions. Si le prestataire est certifié au Data Privacy Framework, le transfert bénéficie de la décision d’adéquation du 10 juillet 2023. À défaut, il faut des clauses contractuelles types (CCT 2021/914) et une analyse d’impact des transferts. Dans tous les cas, le flux doit être documenté au registre.

Combien de temps faut-il pour se mettre en conformité ?

Pour une PME, les onze chantiers prioritaires se traitent en quelques semaines à quelques mois selon la maturité. L’objectif réaliste n’est pas la conformité parfaite mais une démarche documentée et défendable : c’est elle qui protège en cas de contrôle. Suivez l’actualité RGPD 2026 pour maintenir le dispositif à jour.

---

Vous voulez recevoir mes analyses sur la conformité RGPD, les décisions CNIL et la jurisprudence CJUE ? Inscrivez-vous à la newsletter — un envoi par semaine, zéro spam.