20 août 2026 · par Ruben Martins

RGPD et automatisation : les règles à connaître en TPE

Le RGPD concerne-t-il vraiment une TPE ?

Oui, et c'est le premier malentendu à lever. Le texte ne fixe aucun seuil de chiffre d'affaires ni d'effectif : dès lors que vous conservez le nom d'un client, le téléphone d'un prospect ou l'adresse électronique d'un candidat, vous traitez des données personnelles. Une entreprise de trois personnes est donc concernée au même titre qu'un grand groupe. La différence tient à la proportion : vos obligations restent à la mesure de votre activité, et une structure qui traite peu de données a peu de choses à formaliser. Automatiser ne vous fait pas entrer dans un régime plus strict, mais rend plus visible ce que vous faisiez déjà à la main.

Quelles données circulent quand vous automatisez ?

Automatiser une tâche revient presque toujours à faire circuler des informations : une adresse électronique pour envoyer une confirmation, un numéro de téléphone pour un rappel de rendez-vous, un historique de commandes pour relancer au bon moment. Avant toute mise en place, nous dressons donc une liste simple, qui tient en général sur une page :

• Quelles données entrent dans le circuit, et lesquelles vous pouvez retirer sans rien perdre d'utile.
• Pourquoi chacune est nécessaire, c'est-à-dire à quoi elle sert concrètement dans votre activité.
• Où elles sont stockées, et si l'hébergement se situe en Europe ou offre des garanties équivalentes.
• Combien de temps vous les conservez, avec une durée décidée à l'avance plutôt que subie.
• Qui y a accès, dans votre équipe comme chez vos prestataires.

Cette liste est aussi la base du registre des traitements que la loi vous demande de tenir. Elle a un autre mérite : elle révèle souvent des champs collectés par habitude, que plus personne n'utilise. Les supprimer réduit d'un coup votre exposition et simplifie tout le reste.

Que vérifier avant de connecter un outil ?

Un prestataire qui traite vos données pour votre compte agit comme sous-traitant, et cette relation doit être encadrée par écrit. Concrètement, vérifiez que le contrat ou les conditions du service précisent ce que le prestataire fait de vos données, où il les héberge, ce qu'il s'engage à faire en cas d'incident et ce qu'il advient de vos informations le jour où vous partez. Un fournisseur sérieux met ces éléments à disposition sans que vous ayez à les réclamer ; leur absence est en soi un signal.

Le second point de vigilance concerne vos clients. Si une automatisation leur envoie des messages, assurez-vous qu'ils ont accepté d'être contactés lorsque leur accord est requis, et prévoyez toujours un moyen de se désinscrire qui fonctionne réellement, en un clic, sans passer par vous. Enfin, dites-le simplement dans votre politique de confidentialité : vos visiteurs doivent pouvoir comprendre ce que vous collectez et pourquoi, sans lire dix pages.

Comment garder la maîtrise dans la durée ?

Une automatisation propre le jour de sa mise en service peut dériver ensuite : un service ajouté sans vérification, une exportation qui traîne sur un poste, un accès resté ouvert pour une personne partie depuis longtemps. Nous recommandons donc une revue courte, une à deux fois par an, avec trois questions : les données collectées servent-elles encore, les durées de conservation sont-elles respectées, les accès correspondent-ils toujours aux bonnes personnes. Une demi-heure suffit quand la liste de départ existe.

C'est aussi le moment de vérifier que vous savez répondre à une demande d'accès ou de suppression. Un client vous écrit pour savoir ce que vous détenez sur lui : si vos données sont réparties dans une dizaine d'endroits, la réponse devient une corvée. Si elles vivent dans deux ou trois endroits identifiés, l'affaire prend quelques minutes. La conformité rejoint ici le bon sens : moins de données, mieux rangées, c'est moins de risque et moins de travail.

Questions fréquentes

Le RGPD s'applique-t-il à une entreprise de moins de dix personnes ?

Oui. Le RGPD ne fixe aucun seuil d'effectif : dès que vous conservez le nom, le téléphone ou l'adresse électronique d'un client, d'un prospect ou d'un salarié, vous êtes concerné. Les obligations sont simplement proportionnées à votre activité, et une petite structure qui traite peu de données a peu de choses à mettre en place.

Faut-il tenir un registre des traitements ?

Oui, dans la quasi-totalité des cas. Ce document liste, pour chaque usage de données, ce que vous collectez, pourquoi, où c'est stocké, combien de temps vous le gardez et qui y accède. La CNIL propose un modèle simplifié pour les petites structures, et un tableau tenu à jour suffit largement en TPE.

Avez-vous le droit d'envoyer des messages automatiques à vos clients ?

Oui, à condition de rester dans le cadre. Vers un particulier, la prospection par courriel suppose son accord préalable, sauf s'il est déjà client pour un produit ou un service comparable. Vers un professionnel, une information claire et un moyen de se désinscrire suffisent le plus souvent. Dans tous les cas, prévoyez un lien de désinscription qui fonctionne vraiment.

Que se passe-t-il si un client demande la suppression de ses données ?

Vous devez lui répondre, en principe dans un délai d'un mois, et supprimer ce qui n'a plus de raison d'être conservé. Certaines données restent obligatoires à garder un temps, comme les pièces comptables. L'important est de savoir où se trouvent ces informations : c'est bien plus simple quand vos automatisations reposent sur un nombre limité d'endroits identifiés.

Faut-il désigner un délégué à la protection des données ?

Rarement en TPE. Cette désignation est obligatoire pour les organismes publics et pour les entreprises dont l'activité principale consiste à suivre des personnes à grande échelle ou à traiter des données sensibles. Une petite entreprise classique n'entre pas dans ces cas, mais elle a tout intérêt à désigner en interne une personne responsable du sujet.

Crédits photos : Rawpixel via Openverse (licence CC0).