L’application du Règlement Général sur la Protection des Données (RGPD) oblige, depuis le 25 mai 2018, toutes les organisations publiques et privées à implémenter un système de gestion du risque associé au traitement des données personnelles qui tombent en leur possession.
Le RGPD est venu harmoniser la réglementation sur la protection des données au niveau européen. Son objectif est de protéger les personnes physiques au regard du traitement de leurs données. La conséquence directe pour les entreprises et les collectivités est l’entrée dans une logique de traitement responsable des données personnelles : documenter, sécuriser, notifier, et pouvoir prouver sa conformité à tout moment.
Le risque cyber en France : une menace qui pèse sur les TPE et PME
Le risque cyber pour les entreprises françaises est significatif et en progression constante. Selon le Panorama de la cybermenace 2025 publié par l’ANSSI en mars 2026, l’agence a traité 1 366 incidents de sécurité confirmés en 2025, contre 831 en 2022 — soit une augmentation de plus de 60 % en trois ans.
La tendance la plus préoccupante pour les petites structures concerne les rançongiciels. En 2025, les PME, TPE et entreprises de taille intermédiaire représentent 48 % des victimes de ransomware recensées par l’ANSSI, contre 37 % en 2024. Cette surexposition s’explique par des budgets cybersécurité limités et un manque d’expertise interne, qui font des petites entreprises des cibles d’autant plus attractives.
Les conséquences peuvent être dévastatrices : selon France.Gouv, le risque de défaillance d’une entreprise augmente d’environ 50 % dans les six mois suivant un incident cyber. Les vecteurs d’attaque les plus fréquents restent le phishing, les ransomwares et les accès via des prestataires tiers mal sécurisés.
Le traitement des données personnelles
Qu’est-ce qu’une donnée personnelle ?
Une donnée personnelle est toute information qui se rapporte à une personne physique identifiée ou identifiable, soit directement par son nom et son prénom, soit indirectement par un identifiant : numéro client, numéro de téléphone, caractéristique biométrique (ADN, empreintes digitales, contour de la main), ou des critères spécifiques à son identité physiologique, génétique, psychique, économique, culturelle ou sociale. La voix et l’image font également partie des données personnelles.
Qu’est-ce que le traitement des données ?
Le traitement des données personnelles inclut toute opération appliquée à ces données : collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, transmission ou mise à disposition. Ces opérations peuvent être automatisées ou non — les fichiers papiers classés sont donc eux aussi soumis au RGPD, ce qui surprend encore beaucoup de dirigeants.
Votre entreprise est-elle concernée ?
Si vous traitez des données permettant d’identifier directement ou indirectement une personne physique, si ce traitement inclut des opérations telles que la collecte, le stockage ou l’utilisation, et si ce traitement a lieu sur le territoire de l’Union Européenne, alors le RGPD s’applique à vous. En pratique, toute entreprise ayant des clients, des salariés ou des prospects est concernée.
Les obligations des entreprises au titre du RGPD
Les entreprises sont tenues de mettre en place un système de gestion des données personnelles adapté à leur taille et à la sensibilité des données traitées.
Le registre des activités de traitement
C’est la pièce maîtresse de toute démarche de conformité. Toute entreprise de plus de 250 salariés est tenue de le tenir formellement. En dessous de ce seuil, l’obligation s’applique néanmoins si les traitements ne sont pas occasionnels, s’ils portent sur des données sensibles (santé, convictions religieuses, données biométriques) ou s’ils présentent un risque pour les droits des personnes. En pratique, la quasi-totalité des entreprises ayant des clients, salariés ou prospects sont concernées.
Ce registre recense l’ensemble des traitements effectués, leur finalité, les catégories de données impliquées, les durées de conservation et les mesures de sécurité associées.
Les bases légales du traitement
Chaque traitement de données doit reposer sur une base légale clairement identifiée parmi les six prévues par le RGPD : le consentement de la personne, l’exécution d’un contrat, le respect d’une obligation légale, la sauvegarde des intérêts vitaux, l’exécution d’une mission d’intérêt public, ou l’intérêt légitime du responsable de traitement. Mélanger ou ignorer ces bases légales est l’une des causes les plus fréquentes de mise en demeure par la CNIL.
Les obligations opérationnelles clés
Les entreprises doivent notamment :
- Protéger les données personnelles par des mesures techniques et des changements organisationnels.
- Nommer, le cas échéant, un délégué à la protection des données (DPO). La nomination est obligatoire pour les autorités publiques, les organismes effectuant un suivi régulier et systématique des personnes à grande échelle, et ceux traitant à grande échelle des données sensibles. Pour les autres entreprises, un référent interne est fortement recommandé.
- Développer et maintenir la documentation démontrant la conformité au RGPD, dont le registre des traitements en premier lieu.
- Intégrer la protection des données dès la phase de conception des produits ou services (principe de privacy by design).
- Notifier toute violation de données à la CNIL dans un délai de 72 heures suivant la découverte. Ce délai est strict et souvent sous-estimé : il impose une organisation de crise préparée à l’avance. Les personnes concernées doivent également être informées lorsque leurs droits et libertés sont hautement à risque.
Les risques financiers et pénaux en cas de violation
La responsabilité civile
Toute personne ayant subi un préjudice à cause d’une atteinte à ses données personnelles peut engager la responsabilité civile de l’entreprise responsable — qu’il s’agisse d’un salarié, d’un client, d’un administré ou d’un adhérent. Les failles de sécurité peuvent résulter en la destruction, la perte, la divulgation ou l’accès non autorisé à des données, d’origine accidentelle ou malveillante. Si des dommages matériels, financiers ou moraux en découlent, la responsabilité civile est engagée.
Les sanctions administratives de la CNIL
Le barème des sanctions se décompose en deux niveaux :
- Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les manquements aux obligations de base (registre, DPO, notification des violations)
- Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les manquements aux principes fondamentaux (bases légales, droits des personnes, transferts internationaux)
C’est le montant le plus élevé qui s’applique dans les deux cas. En 2025, la CNIL a prononcé un total record de 486,8 millions d’euros d’amendes — contre 55 millions en 2024. Si les sanctions les plus médiatiques concernent les géants du numérique, les PME et TPE ne sont plus épargnées : 32 % des entreprises contrôlées en 2025 étaient des petites structures. Via la procédure simplifiée, dédiée aux dossiers moins complexes, les amendes s’échelonnent entre 3 000 et 20 000 euros, un montant qui peut impacter sérieusement la trésorerie d’une TPE.
Les sanctions pénales
Indépendamment des sanctions administratives du RGPD, le Code pénal français prévoit des poursuites pénales pour les traitements illicites de données personnelles : amende jusqu’à 300 000 euros et peine d’emprisonnement pouvant aller jusqu’à 5 ans. S’y ajoutent les frais de notification de la violation à la CNIL et aux personnes concernées, ainsi que les coûts de communication de crise.
Les principales mesures de prévention
Recenser, identifier, documenter
La démarche de conformité suit une progression logique. Dans un premier temps, il faut recenser tous les traitements de données personnelles ayant cours dans le cadre de l’activité, automatisés ou non. Dans un deuxième temps, il faut identifier les risques associés à chaque type de traitement : accès illégitime, modification non voulue, effacement des données. Dans un troisième temps, il faut identifier les sources de risques, humaines internes ou externes, malveillantes, ou non humaines.
L’Analyse d’Impact (AIPD) pour les traitements à risque élevé
Pour les traitements présentant un risque élevé pour les droits et libertés des personnes (profilage, données de santé, surveillance systématique), le RGPD impose de réaliser une Analyse d’Impact relative à la Protection des Données (AIPD), aussi connue sous l’acronyme anglais PIA. Cette analyse évalue la nécessité et la proportionnalité du traitement, les risques identifiés et les mesures envisagées pour y répondre. Elle doit être conduite avant le démarrage du traitement. La CNIL met à disposition un outil logiciel gratuit pour accompagner cette démarche.
Les points de contrôle essentiels
Il est par ailleurs primordial d’identifier :
- Les responsables opérationnels traitant les données, notamment les sous-traitants qui peuvent être un maillon clé — et un maillon faible — dans la gestion des données
- Les catégories de données et celles qui font encourir le plus grand risque
- Les raisons pour lesquelles vous collectez les données, et la base légale correspondante
- Les lieux où sont stockées les données
- La durée de conservation des données, souvent négligée et pourtant sanctionnée
- Les mesures de sécurité implémentées pour réduire les risques
Le rôle des compagnies d’assurance
Les compagnies d’assurance peuvent vous accompagner via une garantie assurance cyber, face au risque de mise en jeu de responsabilité civile dans le cadre de violation des données personnelles. Il est important de noter que certains éléments ne sont pas assurables.
Ce qui est couvert par les assurances cyber
- Les frais de notification à la CNIL et aux personnes concernées par la violation
- Les frais de gestion de crise : communication, préservation de la réputation
- Les conséquences financières : dommages corporels, matériels et immatériels, préjudice moral
- Les frais de défense et de conseil juridique
- Les frais d’expertise informatique, de reconstitution des données et de nettoyage des systèmes compromis
Ce qui n’est pas couvert par les assurances cyber
- Les sanctions pénales encourues
- Les amendes administratives prononcées par la CNIL (non assurables en France par principe d’ordre public)
- Les conséquences résultant de la collecte illicite des données par l’entreprise elle-même
Quel budget prévoir ?
En termes de coût, les primes d’assurance cyber pour une PME varient généralement entre 1 500 et 10 000 euros par an selon le chiffre d’affaires, le secteur d’activité et le niveau de couverture souhaité. Les plafonds de garantie proposés aux PME s’échelonnent souvent de 500 000 euros à plusieurs millions d’euros.
Avant de souscrire, il est essentiel de vérifier le plafond effectivement couvert, les exclusions détaillées, et les conditions de déclenchement de la garantie. En particulier : certains contrats conditionnent la prise en charge à la déclaration préalable à la CNIL dans le délai de 72 heures. Un délai non respecté peut donc suffire à rendre la garantie inopérante au moment où vous en avez le plus besoin.
