RGPD en fin d’année : les obligations à vérifier avant le 31 décembre pour éviter les amendes

À l’approche du 31 décembre, le bilan RGPD ne se limite pas à vérifier quelques documents dans un dossier partagé. C’est le bon moment pour confronter les pratiques réelles de l’entreprise à ses obligations : quelles données personnelles sont collectées, qui peut y accéder, combien de temps elles sont conservées et quels prestataires les manipulent ? Un outil ajouté au printemps, un nouveau formulaire commercial ou un changement de fournisseur peut avoir modifié les flux sans que le registre des traitements ait suivi.

Une revue de fin d’année permet de repérer ces écarts avant qu’ils ne deviennent coûteux. Elle aide aussi à préparer les équipes aux demandes des personnes concernées et aux incidents de sécurité. Pour une PME, quelques contrôles bien ciblés — assortis de preuves datées et de responsables clairement identifiés — valent mieux qu’une documentation volumineuse que personne ne consulte.

En bref : les contrôles RGPD à faire avant le 31 décembre

• 🔎 Mettre à jour le registre des traitements et vérifier les nouveaux outils, fichiers et usages.
• ⚖️ Contrôler la base légale, le consentement et les informations fournies pour chaque collecte.
• 🗂️ Vérifier les durées de conservation et supprimer ou archiver les données devenues inutiles.
• 🤝 Revoir les contrats des sous-traitants et les éventuels transferts de données hors de l’Union européenne.
• 🛡️ Tester les mesures de sécurité et préparer la procédure de réponse aux violations de données.
• 📨 S’assurer que les demandes d’accès, de rectification ou d’effacement sont traitées dans les délais.

1. Délimiter les traitements concernés par le RGPD

Le RGPD concerne tout organisme qui traite des informations permettant d’identifier une personne, directement ou indirectement. La taille de la structure et le support utilisé ne changent pas ce principe : une TPE sans site internet peut être concernée si elle gère des dossiers salariés ou un fichier clients. Un formulaire de contact, une liste d’adhérents ou un outil de suivi commercial entrent également dans le périmètre.

Avant la fin d’année, il est donc utile de faire le tour des services plutôt que de se limiter au site web. Les ressources humaines, la comptabilité, le marketing, le support client et l’informatique détiennent souvent des fichiers distincts. Une PME fictive, Atelier Lenoir, découvre par exemple qu’une ancienne liste de prospects est encore utilisée dans une campagne, alors que le formulaire actuel ne précise pas clairement la finalité de la collecte.

Cette vérification doit aussi inclure les traitements papier et les outils en ligne : logiciel de paie, CRM, plateforme d’emailing, stockage cloud ou solution de recrutement. Pour chaque activité, notez qui décide de son objectif, quelles données sont utilisées et qui y a accès. La conformité commence par un périmètre réaliste, pas par une déclaration générale d’intention.

2. Actualiser le registre des traitements et la cartographie

Le registre des traitements décrit les opérations réalisées avec des données personnelles. Il indique notamment leur finalité, les catégories de personnes et de données concernées, les destinataires, les durées de conservation et les grandes mesures de sécurité. Ce document aide l’entreprise à comprendre ses flux et à démontrer sa démarche en cas de contrôle.

La revue de décembre doit repérer les changements intervenus pendant l’année : nouveau logiciel, nouvelle campagne, évolution d’un processus RH, accès accordé à un prestataire ou transfert vers un service hébergé à l’étranger. Chez Atelier Lenoir, l’adoption d’un outil de gestion de candidatures a créé un traitement supplémentaire. L’ajout au registre permet de vérifier au passage les accès, les durées de conservation des CV et les informations données aux candidats.

Le RGPD prévoit une exception limitée pour certaines petites organisations, mais elle ne dispense pas automatiquement de tenir un registre : des traitements réguliers ou susceptibles de présenter un risque peuvent rendre cette documentation nécessaire. En pratique, un tableau partagé peut convenir à une petite structure, à condition qu’il soit complet, compréhensible et maintenu à jour. Une revue trimestrielle facilite le travail du bilan annuel.

Les informations à rassembler pour chaque activité

• 🧾 La finalité et la base légale du traitement.
• 👥 Les catégories de personnes et de données concernées.
• 🔐 Les destinataires, les accès internes et les éventuels sous-traitants.
• ⏳ Les durées de conservation et les modalités de suppression.
• 🌍 Les transferts hors UE, le cas échéant, et les garanties associées.

Une cartographie fiable révèle souvent des données oubliées dans des exports ou des comptes inactifs. C’est précisément ce qui permet ensuite de corriger les priorités sans traiter tous les dossiers de la même manière.

3. Vérifier la base légale, le consentement et l’information

Chaque traitement doit reposer sur une base légale adaptée : exécution d’un contrat, obligation légale, intérêt légitime, consentement ou autre fondement prévu par le règlement. Le consentement n’est donc pas la réponse à toutes les collectes. Pour gérer une commande, l’entreprise s’appuie généralement sur le contrat ; pour envoyer certaines communications commerciales, les règles applicables dépendent notamment du contexte et du destinataire.

Lorsque le consentement est nécessaire, il doit être libre, spécifique, éclairé et matérialisé par un acte positif. Une case précochée ou le silence de l’utilisateur ne suffit pas. Il faut aussi pouvoir conserver une preuve : date, contexte, information présentée et action réalisée. En fin d’année, examinez les formulaires, les bannières de suivi et les mécanismes de désinscription, puis testez-les comme le ferait un client.

Les mentions d’information doivent expliquer simplement qui traite les données, dans quel but, sur quelle base et pendant combien de temps. Elles indiquent également les droits des personnes et la possibilité de saisir la CNIL. Une politique interminable, écrite uniquement dans un langage juridique, peut rester difficile à comprendre : mieux vaut présenter les informations clairement, au moment où elles sont utiles.

Contrôle de fin d’année	Question pratique	Priorité
📋 Base légale	Le fondement est-il identifié et justifié pour chaque usage ?	Élevée si l’usage a changé
✅ Consentement	Le choix est-il libre, traçable et aussi facile à retirer qu’à donner ?	Élevée pour les traitements concernés
💬 Information	Les mentions sont-elles accessibles et à jour ?	À corriger sur chaque point de collecte
🗑️ Conservation	Une échéance et une règle de suppression sont-elles définies ?	À vérifier pour chaque fichier

Une collecte compréhensible et limitée inspire davantage confiance qu’un formulaire qui demande « au cas où » des renseignements sans utilité précise.

4. Répondre aux demandes des personnes dans les délais

Les personnes disposent de droits d’accès, de rectification, d’effacement, de limitation, d’opposition et, dans certaines situations, de portabilité. L’entreprise doit savoir recevoir une demande, vérifier l’identité de façon proportionnée, retrouver les données concernées et répondre. Le délai habituel est d’un mois à compter de la demande ; une prolongation est possible dans des cas complexes, sous réserve d’en informer la personne dans le délai initial.

Un courriel adressé au service client ou aux ressources humaines peut constituer une demande, même si la personne n’utilise pas le mot « RGPD ». Il est donc utile de désigner un point de contact et de prévoir une procédure simple : date de réception, service mobilisé, vérifications effectuées et date de réponse. Atelier Lenoir inscrit chaque demande dans un registre interne afin d’éviter qu’un message reçu pendant les congés ne reste sans suite.

La réponse doit être complète sans divulguer les informations d’autres personnes. Pour une demande d’accès, il faut identifier les données pertinentes et les communiquer de manière sécurisée. En décembre, un exercice rapide — par exemple simuler une demande d’accès d’un ancien client — permet de mesurer le temps nécessaire et de repérer les fichiers difficiles à retrouver.

Un processus testé à froid est plus fiable qu’une procédure improvisée sous la pression d’une échéance légale.

5. Revoir les sous-traitants et les transferts de données

Un prestataire qui traite des données pour le compte de l’entreprise ne fait pas disparaître les responsabilités du donneur d’ordre. Le contrat doit préciser les instructions, les mesures de sécurité, les conditions de recours à d’autres prestataires et le sort des données à la fin de la relation. La vérification annuelle est l’occasion de comparer le contrat avec les services réellement utilisés.

Examinez les fournisseurs de paie, d’hébergement, de support, de marketing et de sauvegarde. Qui peut accéder aux données ? Le prestataire dispose-t-il d’une procédure en cas d’incident ? Les données sont-elles supprimées ou restituées lorsque le contrat s’arrête ? Pour mieux cadrer la relation, les entreprises peuvent consulter ce guide sur les obligations liées à la sous-traitance en PME.

Il faut aussi repérer les transferts vers des pays situés hors de l’Union européenne. L’usage d’un service cloud ou d’un outil marketing peut impliquer un transfert ou un accès à distance. Il convient alors de vérifier le cadre juridique applicable et les garanties prévues, notamment les clauses contractuelles pertinentes. Une simple mention « données hébergées dans le cloud » ne suffit pas à décrire le risque.

Le bilan de fin d’année peut se conclure par une liste de fournisseurs classés selon la sensibilité et le volume des données confiées. Cette approche permet de concentrer les échanges et les contrôles là où les conséquences d’un problème seraient les plus importantes.

6. Renforcer la sécurité des données et préparer les incidents

La sécurité des données doit être adaptée aux risques et aux usages. Des mesures simples apportent déjà une protection utile : comptes individuels, droits d’accès limités, authentification renforcée, mises à jour, sauvegardes testées et chiffrement lorsque cela est pertinent. Vérifiez surtout que les accès des salariés partis ou ayant changé de poste ont bien été supprimés ou ajustés.

La procédure d’incident doit préciser qui alerter, comment contenir le problème et comment évaluer ses conséquences. En cas de violation présentant un risque pour les droits et libertés, le responsable de traitement doit notifier la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Lorsque le risque pour les personnes est élevé, celles-ci doivent également être informées, sous réserve des conditions prévues par le règlement.

Un scénario concret aide à tester les réflexes : un ordinateur portable est perdu, une boîte mail est compromise ou un fichier client est envoyé au mauvais destinataire. L’équipe doit savoir préserver les éléments utiles, prévenir le référent et éviter de masquer l’incident. Un plan de cybersécurité plus large peut compléter ces vérifications, comme le détaille ce point sur les menaces de cybersécurité qui concernent les PME.

La rapidité de réaction dépend autant de la préparation des personnes que des outils installés.

7. Prioriser les actions et organiser le pilotage RGPD

Le bilan n’a pas besoin de tout résoudre en une journée. Classez les écarts selon le risque pour les personnes, le volume de données, leur sensibilité et la facilité de correction. Une liste de prospects conservée sans échéance, un accès administrateur partagé ou un contrat manquant peuvent constituer des urgences plus concrètes qu’une amélioration de présentation documentaire.

Un responsable — DPO lorsque sa désignation est obligatoire, ou référent interne dans les autres cas — coordonne les actions et rend compte à la direction. La désignation d’un DPO est notamment requise pour les autorités et organismes publics, ainsi que dans certains cas de suivi régulier et systématique à grande échelle ou de traitement à grande échelle de données sensibles. Le dirigeant conserve la responsabilité de la conformité, même si des tâches sont confiées à un spécialiste.

Pour les traitements susceptibles d’engendrer un risque élevé, une analyse d’impact relative à la protection des données (AIPD) doit être réalisée avant leur mise en œuvre. Elle décrit le traitement, vérifie sa nécessité et sa proportionnalité, identifie les risques puis prévoit des mesures pour les réduire. Le 31 décembre est un bon jalon pour programmer les analyses manquantes et attribuer un responsable ainsi qu’une échéance à chaque action.

Feuille de route de fin d’année

Votre bilan RGPD avant le 31 décembre

Suivez les six étapes, cochez les actions réalisées et visualisez l’avancement de votre revue de conformité.

À garder en tête : le 31 décembre n’est pas une échéance générale fixée par le RGPD. Cette feuille de route est un point de contrôle annuel ; adaptez-la à vos obligations et à votre activité.

0 étape sur 6 terminée Commencez par la première étape.

Réinitialiser

Une gouvernance régulière transforme le bilan annuel en habitude de gestion, plutôt qu’en opération exceptionnelle menée à la dernière minute.

8. Comprendre les sanctions et conserver les preuves

Les sanctions et amendes ne sont pas le seul risque d’un manquement. Une entreprise peut aussi subir une limitation ou une interdiction de traitement, des demandes d’indemnisation, une perte de confiance ou des difficultés dans ses relations avec des clients professionnels. Pour les violations les plus graves, le plafond prévu par le RGPD peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. D’autres manquements relèvent de plafonds inférieurs.

Le montant réel dépend notamment de la nature du manquement, de sa durée, du nombre de personnes touchées, des mesures prises et de la coopération avec l’autorité. Il ne s’agit donc pas d’une amende automatique appliquée à toute erreur. En revanche, l’absence de réaction ou de documentation peut aggraver la situation, tandis qu’une démarche suivie et étayée permet de démontrer les efforts de conformité.

Conservez les versions du registre, les décisions relatives aux bases légales, les preuves de consentement quand il est requis, les contrats, les comptes rendus de formation, les demandes reçues et les incidents traités. Nommez les fichiers de façon claire et limitez leur accès. Un dossier probant doit permettre de comprendre rapidement ce qui a été décidé, quand, par qui et avec quelles mesures de protection.

La meilleure défense n’est pas un classeur rempli, mais une conformité démontrable, cohérente avec les pratiques de l’entreprise.

Questions fréquentes sur le bilan RGPD de fin d’année

Une TPE sans site web doit-elle respecter le RGPD ?

Oui. Le RGPD s’applique dès qu’une activité professionnelle traite des données personnelles, y compris dans des dossiers papier, des fichiers clients ou des documents RH.

Le registre des traitements doit-il être revu chaque année ?

Il doit être maintenu à jour à chaque changement significatif. Une revue annuelle est utile, mais une vérification trimestrielle aide à intégrer plus vite les nouveaux outils et usages.

Quel est le délai pour répondre à une demande d’accès ?

Le délai habituel est d’un mois à compter de la réception. Il peut être prolongé de deux mois dans les cas complexes, à condition d’en informer la personne dans le premier mois.

Faut-il toujours demander le consentement pour collecter des données ?

Non. Chaque traitement doit reposer sur une base légale appropriée. Le consentement n’est nécessaire que lorsque ce fondement est retenu ou imposé par les règles applicables au traitement concerné.

Que faire en cas de violation de données personnelles ?

Il faut contenir l’incident, évaluer le risque pour les personnes et documenter les mesures prises. Si la violation présente un risque, la CNIL doit être notifiée dans les meilleurs délais et, si possible, dans les 72 heures.