Guide RGPD TPE/PME : 2 référentiels CNIL et ANSSI

Mis à jour le 5 octobre 2026.

Le guide publié par la CNIL avec Bpifrance sert la documentation ; celui de l'ANSSI, publié avec la CPME, traite la sécurité du système d'information. Ni l'un ni l'autre ne décide à votre place quelles données supprimer ni par quel écart commencer. Le cadre applicable reste le RGPD, articulé en droit français par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

Que contient le guide CNIL-Bpifrance destiné aux TPE/PME ?

Le guide RGPD publié par la CNIL avec Bpifrance outille trois obligations d'une petite structure — tenir le registre des activités de traitement prévu à l'article 30 du RGPD, fixer des durées de conservation et informer les personnes — en fournissant une trame à remplir activité par activité.

Registre des traitements, durées de conservation, information des personnes : les obligations que le guide outille

Le registre est le premier livrable, et le seul que l'article 30 du RGPD impose nommément. Son paragraphe 5 écarte l'obligation sous 250 salariés, mais trois exceptions — traitement non occasionnel, risque pour les droits et libertés, données des articles 9 et 10 — la vident de son effet dès qu'une entreprise gère une paie et un fichier clients. Le modèle de registre simplifié publié par la CNIL en donne les rubriques ; notre article sur la façon de remplir un registre, les bases légales des traitements de ressources humaines et le registre d'un agent ou d'un courtier en assurance en détaillent la mécanique. La copie du guide CNIL-Bpifrance hébergée sur notre site reste téléchargeable.

Que couvre le guide de l'ANSSI en 13 questions ?

Le guide de l'ANSSI, réalisé avec la CPME, découpe la cybersécurité d'une petite structure en 13 questions, de la connaissance du parc informatique à la conduite à tenir en cas d'incident, chacune ouvrant sur des mesures concrètes qui déclinent la sécurité exigée par l'article 32 du RGPD.

Sécurité des données (article 32) et notification d'une violation à la CNIL dans un délai de 72 heures (article 33)

L'article 32 du RGPD, relatif à la sécurité du traitement impose des mesures appropriées au risque : pseudonymisation et chiffrement, confidentialité, intégrité, disponibilité et résilience des systèmes, capacité à rétablir l'accès aux données après un incident, test régulier de l'efficacité des mesures. Les questions de l'ANSSI en sont la traduction opérationnelle ; le Guide de la sécurité des données personnelles de la CNIL documente les mêmes sujets. Les thèmes couverts :

• Parc informatique : connaître ses équipements et ses actifs métier
• Sauvegardes : les réaliser régulièrement
• Mises à jour : appliquer les correctifs sur tous les appareils
• Mots de passe : une politique d'authentification robuste
• Messagerie : sécuriser le courrier électronique
• Accès à distance : encadrer les connexions hors des locaux
• Postes et serveurs : protéger les équipements de travail
• Sensibilisation : former les collaborateurs
• Incident : savoir quoi faire et qui appeler

La réaction à l'incident rencontre ici une obligation datée : l'article 33 du RGPD impose la notification à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après la prise de connaissance de la violation, via le téléservice de notification. Le guide se télécharge depuis l'espace des publications de l'ANSSI.

Que ne règlent ni le guide CNIL-Bpifrance ni le guide de l'ANSSI ?

Aucun des deux guides ne produit la preuve de conformité : celle-ci reste à la charge du responsable du traitement au titre de l'article 24 du RGPD, et cinq sujets demeurent entièrement hors de leur portée.

• La base légale : aucun modèle ne tranche entre contrat, obligation légale, intérêt légitime ou consentement, choix qui conditionne le respect des cinq grands principes du règlement.
• L'analyse d'impact : un guide ne dit pas si un dispositif déclenche une AIPD, ni ne la réalise.
• Les sous-traitants : l'article 28 exige un contrat écrit avec chaque prestataire ; aucun guide ne le rédige.
• La désignation d'un délégué : les cas de l'article 37.1 s'analysent au cas par cas — voir dans quels cas une organisation doit désigner un DPO, et les obligations propres aux collectivités territoriales.
• L'inventaire : un référentiel donne le format du registre, il ne le tient pas.

Notre méthode construit ce registre en ateliers, service par service. Ce qui en fait gonfler la charge n'est pas la taille de l'entreprise mais le nombre de services à rencontrer, l'état de la conformité trouvé au démarrage — reprendre un existant n'est pas le construire — et la criticité des données, qui fait apparaître des analyses d'impact. Ce sont les principaux facteurs, pas une liste fermée.

Par quoi une TPE commence-t-elle sa mise en conformité RGPD ?

La CNIL décrit quatre étapes pour se mettre en conformité — constituer un registre, faire le tri dans les données, respecter les droits des personnes, sécuriser les données ; notre méthode démarre toujours par un audit, jamais par des lots achetables séparément.

1. Atelier de démarrage d'environ une heure trente avec les responsables : méthode et amorce de la sensibilisation.
2. Ateliers d'inventaire des traitements, d'une à deux heures par responsable de service.
3. Construction du registre des activités de traitement.
4. Analyse des besoins d'analyse d'impact.
5. Audits dédiés — site web, applications, sécurité — chacun avec son rapport ; à titre de repère, l'audit d'un site web représente une journée, celui d'une application de 2 à 5 jours.
6. Rapport d'audit global portant le niveau de conformité et le plan d'action priorisé.
7. Mise en œuvre : procédures, notice d'information au titre des articles 13 et 14, politiques.

Avant l'atelier de démarrage, réunissez l'effectif, le nombre estimatif de personnes à rencontrer, le nombre de sites web, les applications développées en propre, le périmètre d'activité, l'usage cadré ou non de l'intelligence artificielle, les travaux déjà menés, le type de données manipulées et la disponibilité des équipes. C'est ce qu'un diagnostic de conformité RGPD pour une TPE ou une PME exploite dès le premier échange. À l'arrivée, vous disposez du registre des traitements, des registres des violations et des demandes d'exercice des droits, des procédures et guides associés, de la notice RGPD, de la charte informatique et de propositions de politique de confidentialité, de politique cookies et de mentions légales.

Ouvrez le guide de la CNIL et de Bpifrance en premier si aucun registre n'existe ; celui de l'ANSSI si les traitements sont documentés mais qu'aucune restauration de sauvegarde n'a jamais été testée. Depuis 2020, plus de 150 organismes ont été accompagnés jusqu'à la conformité (chiffre cumulé, arrêté à septembre 2026). La mission se pilote ensuite dans IZIRO — registre, violations, demandes de droits, veille — licences refacturées séparément.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus