RGPD : ce qu'une petite structure doit vraiment respecter

Beaucoup d'indépendants pensent que le RGPD ne concerne que les grands groupes qui traitent des millions de données. En réalité, dès qu'un formulaire de contact ou une newsletter collecte un nom et un e-mail, la réglementation s'applique — quelle que soit la taille de la structure.

Ce que la CNIL a réellement sanctionné en 2025

Autant partir des chiffres officiels plutôt que des idées reçues. Sur l'année 2025, la CNIL a rendu 259 décisions correctrices :

• 83 sanctions, pour un total de 486,8 millions d'euros ;
• 143 mises en demeure et 31 rappels à l'ordre ;
• 67 de ces 83 sanctions ont été prononcées en procédure simplifiée, celle qui vise les dossiers sans difficulté particulière.

Les centaines de millions d'euros concernent une poignée de très grands acteurs et ne sont pas votre horizon de risque. Le chiffre à retenir pour une petite structure est le second : la procédure simplifiée plafonne l'amende à 20 000 €, avec éventuellement une injonction de mise en conformité sous astreinte de 100 € par jour de retard. C'est ce niveau-là, loin d'être symbolique pour un indépendant ou une TPE, qui est réellement en jeu.

Les deux documents obligatoires sur un site professionnel

Les mentions légales, d'abord, imposées par la loi pour la confiance dans l'économie numérique (LCEN) : identité et coordonnées de l'éditeur du site, numéro SIRET, coordonnées de l'hébergeur. Leur absence — ou des mentions erronées — est un délit pénal, passible d'un an d'emprisonnement et de 75 000 € d'amende pour une personne physique, et jusqu'à 375 000 € pour une société.

Une politique de confidentialité, ensuite, qui explique simplement quelles données sont collectées, pourquoi, combien de temps elles sont conservées, et comment les visiteurs peuvent exercer leurs droits. Vous pouvez regarder à quoi ressemblent les mentions légales et la politique de confidentialité de ce site : elles n'ont rien d'un document de juriste.

Les obligations de fond, sans avoir besoin d'un juriste

• Informer clairement les visiteurs sur les données collectées et l'usage qui en est fait.
• Obtenir un consentement explicite et préalable pour tout ce qui n'est pas strictement nécessaire au fonctionnement du site : newsletter, mesure d'audience, publicité ciblée.
• Permettre à toute personne d'accéder, de rectifier ou de supprimer ses données, sans démarche compliquée.

Le registre des traitements, y compris à une personne

C'est l'obligation la plus souvent ignorée par les petites structures, alors qu'elle est simple. Le registre des activités de traitement recense ce que vous faites des données que vous collectez : quelles données, pour quoi faire, combien de temps, qui y a accès.

L'article 30 du RGPD prévoit bien un allègement pour les organismes de moins de 250 salariés — mais il est beaucoup plus étroit qu'on ne le croit. Restent obligatoirement inscrits au registre les traitements non occasionnels (gestion des clients, paie), ceux susceptibles de comporter un risque, et ceux portant sur des données sensibles. Autant dire l'essentiel de ce que fait une entreprise. La CNIL recommande d'ailleurs, en cas de doute, d'inscrire le traitement au registre.

En pratique, pour un indépendant, ça tient dans un tableau d'une page — et il est demandé en premier en cas de contrôle.

Le bandeau cookies mérite une attention particulière

Les cookies et traceurs ont représenté 21 des sanctions prononcées par la CNIL en 2025 — c'est l'un des tout premiers motifs. La CNIL maintient par ailleurs un observatoire qui analyse périodiquement les pratiques de dépôt de cookies des 1 000 sites les plus consultés en France.

Les erreurs qui reviennent le plus souvent, et que la CNIL considère explicitement comme non conformes :

• un bouton « Tout accepter » sans bouton de refus aussi simple d'accès ;
• un simple bouton « Paramètres » en face de « Tout accepter », qui décourage le refus ;
• des cases pré-cochées, ou des cookies déposés avant tout consentement ;
• un bandeau générique du type « ce site utilise des cookies », sans détailler les finalités.

Ne collectez que ce dont vous avez réellement besoin

Dernier réflexe, souvent négligé. Un formulaire de contact qui demande dix champs quand trois suffisent alourdit à la fois l'expérience utilisateur et votre responsabilité en cas de fuite de données. Moins vous stockez d'informations, moins le risque — et l'obligation qui l'accompagne — est important. C'est aussi une raison de plus de garder un site à jour : voir pourquoi la maintenance compte.

Rien de tout ça n'exige de devenir juriste. Juste d'adopter quelques réflexes simples dès la conception du site, plutôt que de les ajouter après coup, une fois que la CNIL ou un visiteur en fait la remarque.