La protection des données en entreprise repose sur deux piliers. D’un côté, la conformité au RGPD : registre des traitements, information des personnes, notification des violations sous 72 heures. De l’autre, des mesures de sécurité concrètes : contrôle des accès, encadrement des prestataires, formation des équipes. Le premier pilier sans le second ne protège personne.
Les chiffres le confirment. En 2025, la CNIL a reçu 6 167 notifications de violations de données, un record, et un incident sur deux relève d’un piratage, selon son rapport annuel 2025. Être en règle sur le papier ne suffit donc plus. Voici ce que la loi impose, et surtout ce qu’il faut mettre en place au quotidien.
Sommaire
- Protection des données en entreprise : ce que couvre le RGPD
- Les obligations incontournables pour toute entreprise
- Pourquoi la conformité seule ne suffit plus
- Les bonnes pratiques au-delà du RGPD
- Les données des salariés, un angle mort fréquent
- Questions fréquentes
Protection des données en entreprise : ce que couvre le RGPD
Le RGPD encadre le traitement des données personnelles, c’est-à-dire toute information se rapportant à une personne physique identifiée ou identifiable : un nom, un email nominatif, un numéro de téléphone, une adresse IP ou même un croisement de données permettant de remonter à quelqu’un, comme le précise la CNIL.
Le périmètre est plus large qu’on ne le pense :
- les fichiers clients et prospects, y compris dans le CRM ;
- les données RH : contrats, paie, évaluations, arrêts de travail ;
- les journaux de connexion, les enregistrements d’appels, les images de vidéosurveillance ;
- les fichiers papier, qui sont concernés au même titre que les fichiers informatiques.
Toutes les entreprises sont soumises au règlement, quelle que soit leur taille, dès lors qu’elles sont établies dans l’Union européenne ou qu’elles ciblent des résidents européens. Une TPE de trois personnes qui gère un fichier clients traite des données personnelles, au même titre qu’un grand groupe.
Les obligations incontournables pour toute entreprise
Tenir un registre et minimiser la collecte
Le registre des traitements documente qui traite quoi, pourquoi, combien de temps et avec quelles mesures de sécurité. C’est la première des quatre actions prioritaires recommandées par la CNIL, avec la minimisation des données : ne collecter que ce qui est strictement nécessaire et supprimer ce qui ne sert plus, rappelle le ministère de l’Économie.
Informer les personnes et garantir leurs droits
Chaque personne doit savoir quelles données sont collectées, dans quel but et pour combien de temps. Elle dispose de droits qu’il faut pouvoir traiter dans des délais raisonnables : accès, rectification, effacement, opposition, portabilité. Concrètement, cela suppose un point de contact identifié et une procédure interne pour répondre aux demandes.
Désigner un DPO quand c’est obligatoire
Le délégué à la protection des données (DPO) est obligatoire pour les organismes publics et pour les entreprises dont l’activité implique un suivi régulier et à grande échelle des personnes, ou un traitement massif de données sensibles. Il peut être interne, externe ou mutualisé. Le détail des cas d’obligation figure sur Service-Public Entreprendre.
Notifier les violations sous 72 heures
En cas de violation de données (piratage, envoi au mauvais destinataire, perte de matériel), l’entreprise doit notifier la CNIL dans les 72 heures lorsque l’incident présente un risque pour les personnes concernées. Si le risque est élevé, les personnes elles-mêmes doivent être informées. Les retards de notification sont sanctionnés comme un manquement à part entière.
En cas de non-conformité, les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
Pourquoi la conformité seule ne suffit plus
Une entreprise peut avoir un registre impeccable, une politique de confidentialité à jour et un DPO désigné, et perdre l’intégralité de son fichier clients en une nuit. La conformité documentaire ne bloque pas une attaque.
Le bilan 2025 de la CNIL est parlant :
- 6 167 violations de données notifiées, un record, dont un incident sur deux lié à un piratage ;
- des violations de plus en plus massives, impliquant souvent des prestataires ;
- 83 sanctions prononcées, pour un montant total de près de 487 millions d’euros ;
- les manquements en matière de cybersécurité représentent près de 30 % des sanctions.
Face à cette situation, la CNIL annonce qu’elle consacrera en 2026 la moitié de ses contrôles et de ses actions répressives à la sécurité des données. Le message est clair : la sécurité effective des traitements est devenue le premier terrain de contrôle, devant les aspects purement documentaires.
Le bilan des sanctions 2025 le confirme : la sécurisation insuffisante des données figure parmi les trois premiers motifs de sanction en procédure simplifiée, une procédure qui touche aussi les PME et les petites structures.
Les bonnes pratiques au-delà du RGPD
Ces mesures ne figurent pas toutes mot pour mot dans le règlement. Elles découlent de son article 32, qui impose une sécurité « appropriée au risque », et surtout du retour d’expérience des incidents réels.
1. Contrôler les accès
La majorité des violations de grande ampleur commence par l’usurpation d’un couple identifiant / mot de passe légitime. Trois réflexes limitent fortement ce risque :
- activer l’authentification multifacteur (MFA) sur la messagerie, les outils cloud et les comptes d’administration ;
- utiliser un gestionnaire de mots de passe pour bannir la réutilisation d’un même mot de passe ;
- appliquer le principe du moindre privilège : chacun n’accède qu’aux données dont il a besoin, et les comptes des collaborateurs partis sont désactivés sans délai.
2. Encadrer ses sous-traitants
Hébergeur, éditeur SaaS, prestataire de paie, opérateur télécom : dès qu’un tiers traite des données pour votre compte, l’article 28 du RGPD impose un contrat écrit précisant les instructions de traitement et les mesures de sécurité. Et depuis 2018, le sous-traitant est lui-même directement sanctionnable.
Dans la pratique, cela signifie choisir ses outils en intégrant le critère de la protection des données dès le départ : localisation de l’hébergement, engagements contractuels, réversibilité. C’est vrai pour un CRM comme pour un logiciel de retranscription de réunion, qui traite par nature des conversations nominatives, ou pour une solution de téléphonie VoIP, dont les journaux d’appels et enregistrements sont des données personnelles à part entière.
3. Cartographier et supprimer réellement
La minimisation ne doit pas rester un principe théorique. Les bases prospects conservées sans limite et les CV stockés des années après un recrutement figurent parmi les manquements régulièrement relevés par la CNIL. Deux habitudes simples :
- définir une durée de conservation pour chaque catégorie de données, et l’appliquer avec des purges régulières ;
- faire l’inventaire des copies dispersées : exports Excel, boîtes mail, anciens serveurs. Une donnée oubliée est une donnée non protégée.
4. Former les équipes
La CNIL le répète : la protection des données n’est pas que l’affaire des juristes ou des informaticiens. Les règles élémentaires doivent être connues de tous, comme le détaille sa fiche RGPD en pratique : ne pas divulguer de données à des tiers non autorisés, verrouiller son poste, ne pas stocker de documents professionnels sur des outils personnels. Des sensibilisations courtes et régulières valent mieux qu’une formation unique vite oubliée.
5. Préparer la réponse aux incidents
Le délai de notification de 72 heures se joue avant l’incident. Il faut savoir qui prévenir, comment isoler les systèmes touchés et où trouver les sauvegardes. Ce volet rejoint directement la sécurité informatique au sens large : notre guide cybersécurité pour les PME détaille les mesures techniques et les réflexes à adopter en cas d’attaque.
Les données des salariés, un angle mort fréquent
On pense d’abord aux clients, rarement aux collaborateurs. Pourtant, l’employeur traite en continu des données RH sensibles, et les excès de surveillance coûtent cher : en 2025, 16 organismes ont été sanctionnés pour non-respect des règles applicables à la vidéosurveillance des salariés, d’après le bilan de la CNIL.
Trois principes encadrent la surveillance au travail :
- elle doit reposer sur un intérêt légitime et rester proportionnée : pas de surveillance permanente d’un poste de travail ;
- les salariés doivent être informés des dispositifs mis en place, par exemple via la charte informatique ;
- un outil déployé dans un but donné ne doit pas servir un objectif caché, comme utiliser la géolocalisation des véhicules pour contrôler la vitesse des conducteurs.
Traiter correctement les données de ses équipes n’est pas qu’une question de conformité. C’est aussi un facteur de confiance interne, au même titre que la protection des données clients l’est vis-à-vis de l’extérieur.
Questions fréquentes
Tenir un registre des traitements, ne collecter que les données nécessaires, informer les personnes et garantir leurs droits, sécuriser les données, encadrer ses sous-traitants par contrat et notifier les violations à la CNIL sous 72 heures.
Oui. Toute entreprise établie dans l’UE ou ciblant des résidents européens est concernée, quelle que soit sa taille, dès lors qu’elle traite des données personnelles, y compris un simple fichier clients.
72 heures après en avoir pris connaissance, lorsque la violation présente un risque pour les personnes concernées. Si le risque est élevé, les personnes doivent aussi être informées directement.
Les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. En 2025, la CNIL a prononcé 83 sanctions pour un montant total proche de 487 millions d’euros.
L’entreprise reste responsable des données qu’elle confie, mais le sous-traitant est lui aussi directement sanctionnable depuis le RGPD. D’où l’importance d’un contrat conforme à l’article 28 et d’une vérification des mesures de sécurité du prestataire.
