RGPD pour les TPE/PME : obligations, sanctions, et le rôle de l'assurance cyber

Le Règlement Général sur la Protection des Données s'applique à toute organisation qui traite des données personnelles dans l'Union européenne, indépendamment de sa taille ou de son chiffre d'affaires. Une TPE de 2 personnes qui détient un fichier client est soumise au RGPD au même titre qu'une multinationale.

Quelques allègements existent pour les structures de moins de 250 salariés (registre des traitements simplifié, pas de DPO obligatoire dans la majorité des cas), mais les principes fondamentaux s'appliquent intégralement.

La CNIL communique abondamment depuis 2020 sur les contrôles ciblés TPE/PME, notamment dans les secteurs e-commerce, immobilier, santé, professions libérales.

1) Tenir un registre des traitements : document listant les traitements de données personnelles effectués (clients, prospects, salariés, fournisseurs), leur finalité, leur base légale, leur durée de conservation. Modèle simplifié fourni par la CNIL pour les TPE.

2) Informer les personnes : mention RGPD claire dans les formulaires de contact, conditions générales, signatures email. Indiquer la finalité du traitement, la durée de conservation, les droits d'accès, rectification, suppression.

3) Sécuriser les données : mots de passe robustes, double authentification, chiffrement, sauvegardes régulières externalisées, mises à jour logicielles, restrictions d'accès. La CNIL exige un niveau de sécurité « approprié » au risque.

4) Encadrer les sous-traitants : tout prestataire qui traite des données pour vous (hébergeur, comptable, agence marketing) doit être lié par un contrat précisant ses obligations RGPD.

5) Notifier les violations de données : toute fuite de données personnelles doit être notifiée à la CNIL sous 72 heures, et aux personnes concernées si le risque est élevé.

6) Respecter les droits des personnes : répondre dans le mois aux demandes d'accès, rectification, suppression, portabilité.

Sanctions administratives : amendes pouvant aller jusqu'à 4 % du chiffre d'affaires mondial annuel ou 20 millions d'euros (le plus élevé des deux). Pour les TPE, les amendes prononcées en pratique vont de quelques milliers à quelques dizaines de milliers d'euros.

Sanctions réputationnelles : la CNIL publie systématiquement les délibérations de sanction, ce qui peut nuire durablement à l'image. Plusieurs TPE ont connu des chutes de CA significatives suite à une publication CNIL.

Sanctions civiles : les personnes concernées peuvent agir en justice pour préjudice. La fuite massive de données peut entraîner des centaines d'actions individuelles.

Risque cyber : 60 % des cyberattaques visent désormais les TPE/PME. Le coût moyen d'une attaque pour une petite structure tourne autour de 60 000 € (rançon + perte d'exploitation + récupération + notification + frais juridiques).

Une assurance cyber prend en charge plusieurs volets impossibles à gérer seul en cas de crise. Le premier volet est la réponse à incident : intervention d'experts cybersécurité dans l'heure, identification de la faille, confinement de l'attaque, restauration des systèmes.

Deuxième volet : la conformité RGPD post-incident. L'assureur prend en charge la notification à la CNIL, l'information des personnes concernées, la gestion juridique de la réponse aux demandes d'accès, et les éventuelles amendes (dans la limite des conditions contractuelles).

Troisième volet : les pertes d'exploitation pendant la période d'indisponibilité IT. Une attaque ransomware paralyse une activité 5 à 15 jours en moyenne. La garantie maintient la marge brute pendant cette période.

Quatrième volet : la responsabilité civile cyber. Si la fuite de données concerne des clients, ils peuvent vous attaquer pour préjudice. La RC cyber prend en charge la défense et les éventuelles condamnations.

Tarif indicatif pour une TPE de moins de 1 M€ de CA : 600 à 1 800 €/an. Pour une PME 1-10 M€ : 2 500 à 6 000 €/an. Pour les structures plus importantes ou les secteurs sensibles (santé, fintech, e-commerce), tarification spécifique.

Conditions de souscription : sauvegardes régulières et externalisées, antivirus à jour, double authentification sur les accès sensibles (email, comptabilité, banque), sensibilisation des salariés au phishing. Sans ces prérequis, certains assureurs refusent ou augmentent fortement la prime.

Points à vérifier : plafond global suffisant (1 M€ minimum recommandé), inclusion de la cyber-RC (responsabilité envers les tiers), couverture des pertes d'exploitation cyber, présence d'une cellule de crise 24/7 avec partenaires identifiés.