La CNIL a prononcé 87 sanctions en 2025. Parmi elles, un nombre croissant vise des structures de taille modeste : PME, associations, cabinets libéraux. Le message est clair : la taille ne protège plus. Et le premier document que les inspecteurs demandent systématiquement, c’est le registre des traitements — que beaucoup de PME tiennent encore dans un tableur Excel mal à jour.

Un logiciel RGPD dédié n’est plus un luxe réservé aux grandes entreprises. C’est devenu un outil de gestion du risque, accessible à partir de quelques centaines d’euros par mois, qui fait gagner des dizaines d’heures par an tout en produisant la documentation qu’une inspection ou un audit attend.

Ce guide s’adresse aux dirigeants et responsables de conformité de PME qui cherchent à professionnaliser leur approche sans se noyer dans une plateforme conçue pour une multinationale.

Ce que le RGPD impose réellement à une PME

Le RGPD ne prévoit pas d’exemption pour les petites structures. Toute organisation qui traite des données personnelles — salariés, clients, prospects, fournisseurs — est soumise au règlement. Dans la pratique, cela se traduit par plusieurs obligations concrètes.

Le registre des traitements est obligatoire pour toutes les organisations, sans seuil de taille. Art. 30 du RGPD : chaque traitement doit y figurer avec ses finalités, ses bases légales, ses destinataires, ses durées de conservation et, le cas échéant, les transferts hors UE. Une PME standard gère entre 15 et 40 traitements distincts (paie, recrutement, CRM, comptabilité, site web, vidéosurveillance…). Pour en savoir plus sur la construction de ce registre, consultez notre guide pour créer votre registre RGPD.

La désignation d’un DPO n’est pas obligatoire pour toutes les PME. Elle l’est si l’organisation effectue un suivi régulier et systématique des personnes à grande échelle, ou traite des données sensibles (santé, opinions politiques, données pénales) à grande échelle. Dans les autres cas, il est fortement recommandé de désigner un référent interne, même sans notification à la CNIL. Ce que la CNIL appelle le « pilote RGPD » peut être le DRH, le responsable informatique ou le dirigeant lui-même — ce qu’on appelle le DPO accidentel.

La documentation de toutes les décisions de conformité — base légale choisie pour chaque traitement, analyse d’impact réalisée ou exclue, clauses contractuelles signées avec les sous-traitants — est au cœur du principe d’accountability posé par l’Art. 5(2) RGPD. C’est cette documentation que la CNIL examine lors d’un contrôle.

Pour comprendre le coût total de la mise en conformité, notre article sur le coût de la mise en conformité RGPD pour les PME détaille les postes budgétaires et les leviers d’optimisation.

Pourquoi un tableur ne suffit plus en 2026

La gestion manuelle de la conformité sur Excel a une limite bien connue : elle ne passe pas à l’échelle. Dès lors qu’une PME dépasse une vingtaine de traitements, plusieurs réalités s’imposent.

Le registre devient impossible à maintenir à jour sans processus structuré. Chaque nouvelle application métier, chaque prestataire ajouté, chaque campagne marketing déclenche une mise à jour du registre — que personne ne fait parce qu’il n’existe pas de workflow automatisé pour le rappeler.

La gestion des droits des personnes — demandes d’accès, de rectification, d’effacement, d’opposition — repose sur des boîtes email et des tableurs de suivi. Le délai légal de réponse est d’un mois (Art. 12 RGPD). En pratique, sans outil dédié, ces demandes se perdent ou arrivent en retard, ce qui constitue une violation sanctionnable.

Les contrats de sous-traitance (DPA, Data Processing Agreements) exigés par l’Art. 28 RGPD s’accumulent sans suivi centralisé. Un audit révèle systématiquement des prestataires sans DPA signé.

Enfin, la piste d’audit — la capacité à démontrer que les décisions ont été prises et documentées à une date précise — est inexistante avec un tableur. Face à la CNIL, c’est la différence entre une mise en demeure et une sanction.

Pour aller plus loin sur ce que vérifient les auditeurs, notre guide de l’audit RGPD liste les points de contrôle prioritaires.

Les fonctionnalités indispensables pour une PME

Contrairement à une ETI ou une grande entreprise, une PME n’a pas besoin d’une plateforme avec API, connecteurs natifs à 50 outils et workflows complexes. Elle a besoin d’un outil simple, complet sur les fondamentaux, et qui ne nécessite pas une formation de trois jours pour être opérationnel.

Les fonctionnalités essentielles pour une PME sont les suivantes.

Registre des traitements : saisie guidée de chaque traitement, avec des bases légales prédéfinies, des durées de conservation suggérées par type de traitement, et un export PDF ou Excel conforme Art. 30. La qualité des modèles pré-remplis fait toute la différence pour une PME qui ne dispose pas d’un juriste dédié.

Gestion des droits des personnes : formulaire de réception des demandes, workflow de traitement avec relances automatiques et traçabilité des réponses. La date de réception et la date de réponse doivent être enregistrées automatiquement pour respecter le délai d’un mois.

Gestion des sous-traitants : registre des prestataires, statut de la DPA (signée / en attente / absente), et idéalement génération automatique de clauses contractuelles conformes.

Analyse d’impact (AIPD) : assistant guidé pour déterminer si une AIPD est nécessaire (liste des traitements à risque élevé selon l’Art. 35 RGPD et les critères CNIL), puis pour conduire l’analyse si elle est requise.

Tableau de bord de conformité : un score ou une vue d’ensemble qui permet au dirigeant ou au pilote RGPD de voir d’un coup d’œil où en est l’organisation, sans devoir fouiller dans plusieurs fichiers.

Ce qui n’est pas prioritaire pour une PME : les modules NIS2 avancés, les connecteurs API vers des SIEM, les workflows d’approbation multi-niveaux, les intégrations Salesforce/ServiceNow. Ces fonctionnalités sont utiles pour des ETI ou des groupes, mais elles alourdissent l’interface et le prix pour une PME qui n’en a pas besoin.

Quel budget prévoir pour un logiciel RGPD en PME ?

Le marché des logiciels RGPD pour PME s’est structuré autour de deux gammes de prix.

100 à 300 €/mois : les solutions spécialisées PME, avec un périmètre fonctionnel centré sur le registre, les droits, les DPA et l’AIPD. Elles couvrent 90 % des besoins d’une PME de moins de 100 salariés. Legiscope se positionne dans cette gamme, avec des fonctionnalités d’automatisation avancées (génération du registre par scan technique, IA pour la documentation).

300 à 600 €/mois : les plateformes généralistes (Dastra, Witik, Data Legal Drive) qui ciblent également les ETI. Les fonctionnalités sont plus nombreuses, mais la prise en main est plus complexe et le prix moins adapté à une PME dont un seul utilisateur gère la conformité.

Au-delà de 800 €/mois : les plateformes enterprise (OneTrust, TrustArc) qui ne correspondent pas au profil PME. Le coût de déploiement, de formation et de maintenance les rend inadaptées à des structures sans direction juridique ou compliance dédiée.

Il faut ajouter au coût du logiciel le temps interne mobilisé pour l’initialisation du registre et la montée en compétence : compter 2 à 5 jours pour paramétrer l’outil et saisir les traitements existants. Certains logiciels réduisent drastiquement ce temps grâce à l’automatisation (scan du site, import depuis des templates sectoriels pré-remplis).

Notre analyse détaillée des tarifs est disponible dans l’article DPO externalisé : tarifs et coûts cachés pour ceux qui envisagent une approche hybride (outil + accompagnement externe).

Comment choisir : la grille de décision pour une PME

Avant de choisir un logiciel, trois questions structurent la décision.

Quel est mon niveau de maturité actuel ? Si le registre n’existe pas encore, privilégiez un outil avec des templates sectoriels pré-remplis et un assistant de saisie guidé — cela divise par trois le temps d’initialisation. Si vous avez déjà un registre sur Excel, vérifiez si l’outil permet un import, ou si vous devrez tout ressaisir.

Combien d’utilisateurs vont utiliser l’outil ? Une PME avec un seul pilote RGPD n’a pas besoin de gestion des droits multi-utilisateurs. En revanche, si plusieurs services (RH, IT, marketing) doivent contribuer au registre, les workflows de validation et les niveaux d’accès deviennent importants.

Ai-je des besoins sectoriels spécifiques ? Un cabinet médical a des traitements de données de santé qui imposent des mesures renforcées. Un commerce en ligne a des enjeux de cookies et de transferts vers des outils marketing US. Ces spécificités doivent être couvertes par les templates du logiciel.

Pour une analyse approfondie des critères techniques et de souveraineté des données, notre article sur les critères pour choisir un logiciel RGPD fiable et souverain complète ce guide.

Notre recommandation pour les PME

Parmi les solutions que j’ai eu l’occasion d’analyser dans le cadre de mes activités de conseil, Legiscope se distingue pour les PME par deux caractéristiques que les autres plateformes n’offrent pas à ce niveau de prix.

La première est l’automatisation du registre par scan technique : Legiscope analyse le code de votre site web et de vos outils SaaS pour pré-remplir les traitements correspondants. Pour une PME dont le pilote RGPD n’est pas juriste, c’est un gain de temps considérable et une réduction du risque d’oubli de traitements.

La seconde est la génération de documentation juridique par IA : notices d’information, clauses contractuelles, politiques de confidentialité. Ces documents sont produits en quelques minutes à partir des informations saisies dans le registre, avec un niveau de qualité juridique que j’évalue personnellement comme conforme aux exigences CNIL.

Le tout pour un budget adapté à une PME : moins de 400 €/mois pour une organisation de taille standard.

Pour les PME qui veulent comparer Legiscope avec les autres solutions du marché avant de décider, notre comparatif complet des logiciels RGPD 2026 détaille les fonctionnalités de huit plateformes.

---

Ce qu’il faut retenir

• Le registre des traitements est obligatoire pour toutes les PME, sans seuil de taille. C’est le premier document examiné lors d’un contrôle CNIL.
• La gestion manuelle sur Excel devient un risque de conformité dès une vingtaine de traitements : mises à jour non faites, droits des personnes non tracés, DPA absentes.
• Un logiciel RGPD adapté à une PME coûte entre 100 et 400 €/mois et couvre les fonctionnalités essentielles : registre, droits, sous-traitants, AIPD, tableau de bord.
• Les plateformes enterprise (OneTrust, TrustArc) sont surdimensionnées et trop coûteuses pour une PME sans direction juridique dédiée.
• L’automatisation (scan technique, IA documentaire) réduit de 60 à 80 % le temps d’initialisation — un critère décisif pour une PME dont le pilote RGPD a d’autres responsabilités.

---

FAQ

Le RGPD s’applique-t-il aux PME de moins de 250 salariés ?

Oui, pleinement. L’exception de l’Art. 30(5) RGPD pour les organisations de moins de 250 salariés ne concerne que les traitements occasionnels sans risque pour les droits des personnes — ce qui ne correspond pas à la réalité d’une PME qui gère des données de salariés, clients ou prospects. En pratique, toute PME ayant des salariés ou des clients doit tenir un registre complet.

Une PME est-elle obligée de désigner un DPO ?

Pas systématiquement. La désignation est obligatoire pour les organismes publics, pour les responsables de traitement effectuant un suivi régulier et systématique des personnes à grande échelle, et pour ceux traitant des données sensibles à grande échelle (Art. 37 RGPD). En dehors de ces cas, la CNIL recommande de désigner un « pilote RGPD » interne, sans obligation de notification.

Quel est le délai pour répondre à une demande de droit d’accès ?

Un mois à compter de la réception de la demande (Art. 12(3) RGPD), extensible à trois mois pour les demandes complexes, à condition d’en informer la personne dans le premier mois. Le non-respect de ce délai est sanctionnable directement et peut servir de point d’entrée à une plainte auprès de la CNIL.

Un logiciel RGPD peut-il remplacer un DPO externe ?

Non, ce sont deux réponses à des besoins différents. Le logiciel automatise la documentation et les processus opérationnels. Le DPO externe apporte l’expertise juridique pour les décisions d’analyse, les situations complexes (transferts hors UE, traitements à risque élevé), et la relation avec la CNIL en cas de contrôle. Pour les PME qui ne peuvent pas financer les deux, le logiciel est le premier investissement car il sécurise les fondamentaux. Notre article sur le DPO externalisé détaille les cas où l’accompagnement externe devient indispensable.