Avocat RGPD à Paris : la conformité d'une PME sans DPO interne.

L'article 30 du RGPD impose à chaque responsable du traitement de tenir un registre des activités de traitement. Son paragraphe 5 écarte cette obligation pour une structure qui emploie moins de 250 personnes, mais l'exception tombe dans trois cas : le traitement comporte un risque pour les droits des personnes, il n'est pas occasionnel, ou il porte sur des données sensibles ou relatives à des condamnations (règlement (UE) 2016/679, article 30). La paie, la gestion des congés, le fichier clients ou la facturation fonctionnent toute l'année : ce ne sont pas des traitements occasionnels. Une PME qui emploie dix personnes et tient un fichier clients se trouve donc, en pratique, tenue de documenter ces traitements. Le registre n'est pas un formulaire administratif à déposer. Il sert de base à tout le reste : réponse à une demande d'accès, information des salariés, contrat avec les prestataires, réponse à un contrôle. La proposition de règlement dite omnibus numérique, encore en discussion au Parlement européen à l'automne 2026, ne modifie pas le droit applicable tant qu'elle n'est pas adoptée et publiée. Le cabinet établit avec le dirigeant un registre limité aux traitements réels de l'entreprise, rédigé pour être tenu à jour sans service juridique interne.

L'article 37 du RGPD ne rend la désignation obligatoire que dans trois situations : le traitement est effectué par une autorité ou un organisme public, les activités de base exigent un suivi régulier et systématique des personnes à grande échelle, ou elles consistent à traiter à grande échelle des catégories particulières de données, comme la santé ou les opinions, ou des données relatives aux condamnations et aux infractions. Une agence immobilière, un commerce, un cabinet de conseil ou une entreprise du bâtiment relèvent rarement de ces hypothèses, car le traitement de données n'y est pas l'activité de base. Hors de ces cas, la désignation reste facultative. Le délégué peut être un salarié ou un prestataire extérieur lié par un contrat de service, selon le paragraphe 6 du même article. Lorsqu'elle désigne un délégué, l'entreprise doit l'associer aux questions de protection des données, lui donner les moyens d'agir et ne pas lui adresser d'instructions sur l'exercice de ses missions (article 38). Renoncer à cette désignation ne dispense d'aucune autre obligation. Le cabinet vérifie d'abord si l'activité de base entre dans l'un des trois cas, puis organise la répartition des tâches entre le dirigeant, les responsables de service et, si la PME le souhaite, un délégué externe.

La société, en sa qualité de responsable du traitement, répond des manquements devant la CNIL et devant le juge. L'article 24 du RGPD lui impose de mettre en œuvre des mesures appropriées et de pouvoir prouver la conformité du traitement. En pratique, le dirigeant porte cette charge : c'est à lui que la CNIL adresse ses demandes, et c'est lui qui doit retrouver les notes d'information, contrats et réponses. Le Conseil d'État a rappelé que les dirigeants d'entreprises privées et les responsables de traitement ont l'obligation de coopérer avec la CNIL, en répondant avec diligence à ses demandes de communication. Il a maintenu une amende de 10 000 euros contre un commerce dont le gérant avait demandé de ne pas signer le procès-verbal de contrôle puis n'avait répondu ni au procès-verbal ni à la relance (CE, 30 janvier 2024, n° 473254). Ce manquement est autonome : il a été sanctionné sans que la conformité du système de vidéosurveillance contrôlé ait pu être appréciée. Le cabinet aide le dirigeant à désigner en interne une personne chargée de recevoir et d'orienter les demandes, et à tenir un dossier de preuves consultable rapidement.

Non lorsque la caméra permet aussi de contrôler leur activité. L'article L. 1222-4 du code du travail interdit de collecter une information concernant personnellement un salarié par un dispositif qui n'a pas été porté préalablement à sa connaissance. Dans une entreprise d'au moins cinquante salariés, le comité social et économique doit en outre être informé et consulté, avant la décision de mise en œuvre, sur les moyens permettant un contrôle de l'activité. Dans une affaire tranchée selon la loi informatique et libertés dans sa version alors en vigueur, une pharmacie avait installé un système destiné à la sécurité des biens et des personnes, qui « permettait également de contrôler et de surveiller l'activité des salariés » (Cass. soc., 10 novembre 2021, n° 20-12.263). La Cour de cassation en a déduit que la preuve tirée des enregistrements était illicite et a cassé l'arrêt qui avait validé le licenciement pour faute grave. L'article 13 du RGPD exige aujourd'hui une information comparable lors de la collecte. La finalité affichée compte aussi : une caméra présentée comme antivol ne se transforme pas, sans nouvelle information, en outil de contrôle du personnel. Le cabinet vérifie la note remise aux salariés, l'affichage, la consultation du comité et l'angle de prise de vue avant toute exploitation des images.

Une preuve illicite n'est pas automatiquement écartée, mais elle n'est admise qu'à des conditions strictes. Le juge vérifie si le contrôle reposait sur des raisons concrètes, si l'employeur disposait d'un moyen moins intrusif et si l'atteinte à la vie personnelle est proportionnée. La solution peut être défavorable à l'employeur : la Cour de cassation a approuvé l'irrecevabilité d'enregistrements dès lors que « la production des enregistrements litigieux n'était pas indispensable à l'exercice du droit à la preuve de l'employeur, dès lors que celui-ci disposait d'un autre moyen de preuve qu'il n'avait pas versé aux débats » (Cass. soc., 8 mars 2023, n° 21-17.802). Elle a en revanche admis la vidéo lorsque « le visionnage des enregistrements avait été limité dans le temps, dans un contexte de disparition de stocks, après des premières recherches restées infructueuses et avait été réalisé par la seule dirigeante de l'entreprise » (Cass. soc., 14 février 2024, n° 22-23.073). Dans une PME, ce dernier critère joue souvent : qui a regardé les images, pendant combien de temps et après quelles vérifications. Le cabinet reconstitue cette chronologie avant d'engager une procédure disciplinaire fondée sur des images.

La surveillance continue d'un salarié qui travaille seul est la configuration la plus exposée. L'article L. 1121-1 du code du travail interdit d'apporter aux droits des personnes des restrictions qui ne seraient pas justifiées par la nature de la tâche ni proportionnées au but recherché. Dans un restaurant, la cour d'appel avait constaté que le cuisinier « était soumis à la surveillance constante de la caméra qui y était installée » (Cass. soc., 23 juin 2021, n° 19-13.856). La Cour de cassation a approuvé les juges qui ont tenu ce dispositif pour « attentatoire à la vie personnelle du salarié et disproportionné au but allégué » (Cass. soc., 23 juin 2021, n° 19-13.856), de sorte que les enregistrements n'étaient pas opposables au salarié ; le pourvoi de l'employeur a été rejeté. L'objectif de sécurité des personnes et des biens ne suffit donc pas lorsque la caméra cadre en continu un poste occupé par une seule personne. Pour une petite entreprise, la solution consiste à orienter les caméras vers les accès, la caisse ou les réserves, à limiter la conservation des images et à réserver leur consultation à des incidents précis. Le cabinet examine le plan d'implantation et les paramètres d'enregistrement avec le prestataire qui a posé le système.

Ces outils produisent des données personnelles : heures de connexion, appels décrochés, temps de traitement. Leur exploitation sans information préalable porte atteinte à la vie privée des salariés, mais la preuve peut être admise si elle est indispensable et proportionnée. Dans un centre d'appels, l'employeur « s'était borné à produire l'exploitation des données issues du logiciel de gestion informatisée du centre d'appels » (Cass. soc., 22 janvier 2025, n° 22-15.793), limitée aux communications professionnelles et complétée par un constat de commissaire de justice. La Cour de cassation a jugé cette production proportionnée et rejeté le pourvoi des salariées licenciées. Cette décision est favorable à l'employeur, mais elle tient à la sélection étroite des données produites : une extraction massive ou étendue à des échanges personnels aurait appelé une autre appréciation. Une PME qui déploie un logiciel de téléphonie, de pointage ou de gestion des tâches doit informer les salariés avant toute collecte les concernant et, si elle compte au moins cinquante salariés, informer ou consulter le comité social et économique avant d'introduire l'outil, selon qu'il sert à la gestion du personnel ou au contrôle de l'activité. Le cabinet relit le contrat de l'éditeur, les paramètres activés et la note d'information avant qu'un litige ne fasse de ces données une pièce contestée.

L'article 15 du RGPD donne à toute personne le droit d'obtenir une copie de ses données. La messagerie professionnelle, l'agenda et les conversations internes d'un salarié en contiennent. La réponse est due dans le délai d'un mois prévu par l'article 12, paragraphe 3. Un refus fondé sur la seule confidentialité des affaires est risqué. La cour d'appel de Versailles a ordonné en référé la communication des courriels, de l'agenda et des conversations d'un salarié dont la période d'essai avait été rompue, en relevant que la société avait refusé « sans que la société [1] n'établisse devant la cour en quoi leur communication serait de nature à porter atteinte aux droits et libertés d'autrui » (CA Versailles, ch. soc. 4-2, 3 juin 2026, n° 25/02036). La même décision rappelle qu'il appartient au juge « de veiller au principe de minimisation des données à caractère personnel » (CA Versailles, ch. soc. 4-2, 3 juin 2026, n° 25/02036), et ordonne l'occultation des coordonnées des clients et des autres salariés. La voie utile pour l'entreprise consiste donc à communiquer en masquant ce qui concerne des tiers, plutôt qu'à opposer un refus global. Le cabinet organise l'extraction, les occultations et la lettre d'accompagnement.

Le défaut de réponse est en lui-même un manquement. L'article 31 du RGPD impose au responsable du traitement de coopérer avec l'autorité de contrôle, et la loi de 1978 interdit aux dirigeants de s'opposer à l'action de la CNIL. Le Conseil d'État l'a appliqué à une société qui n'avait répondu ni à une personne demandant l'effacement de ses données, ni aux relances et à la mise en demeure de la CNIL, revenues avec la mention pli avisé et non réclamé (CE, 28 novembre 2025, n° 499566). La société soutenait que les messages avaient été classés comme indésirables par un mauvais paramétrage de sa boîte générique. Le juge a retenu une négligence prolongée et maintenu l'amende de 15 000 euros et l'injonction sous astreinte, en relevant qu'il n'était pas établi que ce montant excédait les capacités contributives de l'entreprise. Cette décision est défavorable à la PME et montre un point concret : l'adresse électronique publiée pour l'exercice des droits doit être réellement lue, et les recommandés doivent être retirés. Le cabinet vérifie ces circuits de réception et, lorsqu'un courrier est déjà en souffrance, prépare une réponse complète avec les pièces demandées.

Prévue par l'article 22-1 de la loi informatique et libertés, elle permet au président de la formation restreinte, ou au membre qu'il désigne, de statuer seul sur une affaire qui ne présente pas de difficulté particulière. Elle n'ouvre que certaines mesures : rappel à l'ordre, injonction sous astreinte et amende. Dans sa rédaction en vigueur depuis le 28 mai 2026, l'amende ne peut dépasser 20 000 euros et l'astreinte 100 euros par jour ; ces plafonds passent à 100 000 euros et 500 euros lorsque le chiffre d'affaires annuel mondial total de l'exercice précédent du responsable de traitement excède 50 millions d'euros. La décision ne peut pas être rendue publique. Les garanties restent réelles : un rapport établi par un agent de la CNIL est notifié à l'entreprise, qui peut se faire assister, présenter des observations écrites et demander à être entendue. Le président de la formation restreinte peut aussi refuser cette voie et renvoyer à la procédure ordinaire de l'article 22. Pour une PME, les observations écrites sont le moment décisif : elles doivent montrer les corrections déjà faites, la coopération et la situation financière. Le cabinet les rédige à partir du rapport notifié.

Il peut l'engager si l'entreprise ne prouve pas que ses mesures de sécurité étaient appropriées. L'article 32 du RGPD impose des mesures adaptées au risque, et l'article 82 ouvre une action en réparation. Le tribunal judiciaire de Nice a jugé une agence immobilière, constituée en SARL, dont la messagerie d'un gestionnaire avait été piratée : le locataire avait reçu des courriels frauduleux et versé ses loyers sur un compte détourné. Le tribunal a retenu que « Le responsable du traitement en cause supporte la charge de prouver le caractère approprié des mesures de sécurité qu'il a mises en œuvre au titre de l'article 32 dudit règlement » (TJ Nice, 3e ch. civ., 18 novembre 2025, n° 22/03193). L'agence n'apportant aucune réponse sur ce point, elle a été condamnée à indemniser le locataire, pour cette faute et pour un manquement distinct relatif au loyer. Cette solution de première instance est défavorable à l'entreprise et peut être discutée en appel, mais elle montre ce qui compte : authentification renforcée, journalisation, procédure de vérification des changements de coordonnées bancaires, preuve de la date de découverte de l'incident. Le cabinet aide à documenter ces mesures avant l'incident et à organiser la défense après.

L'article L. 34-5 du code des postes interdit la prospection directe par courrier électronique utilisant les coordonnées d'une personne physique qui n'y a pas consenti préalablement. Une exception vise les clients : leurs coordonnées doivent avoir été recueillies auprès d'eux à l'occasion d'une vente ou d'une prestation, la prospection doit porter sur des produits ou services analogues fournis par la même entreprise, et le destinataire doit s'être vu offrir un moyen simple et gratuit de s'opposer dès la collecte de ses coordonnées puis à chaque message, sans l'avoir refusé d'emblée. Un fichier de particuliers acheté ne bénéficie pas de cette exception : il faut pouvoir établir le consentement recueilli par le vendeur du fichier, y compris pour la transmission à des partenaires. Pour des professionnels sollicités sur un sujet en rapport avec leur fonction, la CNIL admet une prospection fondée sur l'intérêt légitime, à condition de les informer et de leur permettre de s'opposer (fiche de la CNIL sur la prospection par courrier électronique). Le même raisonnement s'applique aux traceurs déposés sur le site, qui supposent un consentement préalable sauf exceptions (article 82 de la loi de 1978). Pour une PME, le risque vient souvent d'un outil d'envoi configuré par un prestataire, qui mélange clients et prospects dans une même liste. Le cabinet vérifie l'origine des adresses, la formulation du consentement et le lien de désinscription avant une campagne.

Oui dès que le prestataire traite des données pour le compte de l'entreprise : hébergement, logiciel de paie en ligne, CRM, maintenance avec accès aux serveurs. L'article 28 du RGPD impose de ne recourir qu'à un sous-traitant présentant des garanties suffisantes, et de régir la relation par un contrat qui précise ce qui est traité, pendant combien de temps, dans quel but et à propos de quelles personnes. Le contrat doit notamment prévoir que le prestataire n'agit que sur instruction documentée, que son personnel est tenu à la confidentialité, qu'il assure la sécurité et qu'il ne recrute pas un autre sous-traitant sans autorisation écrite. Le prestataire doit aussi signaler toute violation au responsable du traitement sans délai injustifié (article 33, paragraphe 2). Les conditions générales standard des éditeurs contiennent souvent ces clauses, mais pas toujours le sort des données à la fin du contrat ni le lieu d'hébergement. Le cabinet relit ces contrats, négocie les clauses manquantes et vérifie la réversibilité.

Oui lorsque l'enregistrement poursuit une finalité que la loi ne lui reconnaît pas. Le code du travail permet l'enregistrement des séances du comité social et économique pour la seule rédaction du procès-verbal, qui relève du secrétaire du comité. Un employeur avait enregistré les séances pour contrôler la fidélité des procès-verbaux et se constituer des preuves. La chambre sociale a validé l'analyse des juges d'appel, pour qui « l'employeur avait ainsi recueilli les données personnelles des représentants du personnel » (Cass. soc., 7 octobre 2026, n° 25-10.664), et qu'il avait agi « à des fins étrangères à l'obligation légale d'établissement par le secrétaire du comité des procès-verbaux des délibérations de l'instance » (Cass. soc., 7 octobre 2026, n° 25-10.664). Faute d'intérêt légitime au sens de l'article 6 du RGPD, le trouble manifestement illicite était caractérisé et le pourvoi de l'employeur a été rejeté. Cette décision est défavorable à l'entreprise. Elle concerne les structures d'au moins cinquante salariés, mais son raisonnement vaut pour tout enregistrement de réunions ou d'entretiens : la base légale se vérifie avant d'appuyer sur le bouton. Le cabinet examine les pratiques d'enregistrement et les documents qui les encadrent.