Création d'entreprise en Pévèle : les obligations RGPD du départ

Le RGPD s'applique-t-il vraiment dès le premier client ?

Oui, même pour une entreprise d'une seule personne. Pour la CNIL, « Le RGPD s'applique à tous les professionnels, quels que soient leur taille et leur secteur d'activité ». Les fichiers papier sont concernés, pas seulement l'informatique. L'application est en revanche modulée selon les risques. Pour une TPE dont le métier n'est pas de traiter des données, les obligations sont bien moindres que pour une grande société.

Entre professionnels, le RGPD ne protège que les personnes physiques, précise la CNIL. Une facture qui ne porte que le nom d'une société, son standard et une adresse générique n'est donc pas concernée. En revanche, le nom ou le courriel nominatif d'un salarié de votre client sont protégés. Le SIRET d'un entrepreneur individuel aussi, comme l'adresse de son entreprise quand c'est son domicile. Ce cas n'a rien de rare ici. D'après l'Insee, 1 270 entreprises ont été créées en 2025 dans l'intercommunalité Pévèle Carembault, hors agriculture, dont 71,4 % d'entreprises individuelles.

Faut-il un registre et des mentions d'information dès le départ ?

Le registre des traitements

Oui, dans presque tous les cas. La CNIL rappelle que l'obligation vise tous les organismes, quelle que soit leur taille, dès qu'ils traitent des données personnelles. La dérogation prévue sous 250 salariés ne couvre que des traitements occasionnels, sans risque et sans données sensibles. La gestion des clients, des fournisseurs ou de la paie n'a rien d'occasionnel : elle doit y figurer.

Le registre est la première des quatre étapes du plan de la CNIL, avant le tri des données, le respect des droits des personnes et la sécurité. Il compte une fiche par activité : son objectif, les données utilisées, qui y accède et combien de temps elles sont gardées. Le format est libre, sur papier ou dans un fichier, pourvu que ce soit écrit. Nommez chaque activité par sa finalité, pas par le logiciel qui la sert. Le modèle de registre simplifié de la CNIL, pensé pour les petites structures, couvre le socle exigé par l'article 30 du RGPD.

Ce point bouge. Le 09/06/2026, le Parlement européen a annoncé un accord provisoire avec le Conseil. Il touche à l'exemption de registre pour les traitements sans risque élevé. Le texte doit encore être adopté, puis publié au Journal officiel de l'UE. Au 24/09/2026, EUR-Lex ne signale aucune modification adoptée du RGPD : le texte de 2016 s'applique. Avant de croire que le registre n'est plus obligatoire, vérifiez cette publication.

Les mentions d'information

Chaque fois que vous recueillez des données, la personne doit savoir ce que vous en faites. Selon le plan de la CNIL, les mentions disent pourquoi vous collectez, sur quelle base légale et qui a accès aux données. Elles indiquent aussi la durée de conservation et la façon d'exercer ses droits. S'y ajoutent les éventuels transferts hors de l'Union européenne.

Inutile d'écrire un roman sous chaque formulaire : la CNIL admet un premier niveau d'information qui renvoie vers une politique de confidentialité. Sa liste de vérification cite aussi l'affichette en caisse ou la confirmation par courriel. Prévoyez un moyen dédié pour les demandes, une adresse de courriel par exemple. Vous avez un mois au maximum pour y répondre, rappelle la CNIL. Quand je livre un site, la politique de confidentialité et les mentions légales partent avec lui, comme l'explique ma méthode de travail.

Combien de temps garder les données, et qui doit signer un contrat ?

Des durées de conservation

Les données personnelles ne se gardent pas indéfiniment. Le RGPD demande de fixer une durée selon l'objectif de la collecte, rappelle la CNIL dans sa page datée du 02/04/2026. Elles servent d'abord au travail courant, puis passent en archive à accès restreint si un contentieux possible ou une obligation légale le justifie. Une fois la prestation terminée, la base « contrat » ne couvre plus que ce qui reste lié au contrat, comme les garanties ou les impayés.

Un contrat avec chaque prestataire

Un prestataire qui traite des données pour votre compte est un sous-traitant. La CNIL cite l'hébergement de données ou la maintenance informatique. Elle y range aussi la plateforme agréée de facturation électronique : depuis le 01/09/2026, toute entreprise doit pouvoir recevoir des factures électroniques. L'article 28 du RGPD impose alors un contrat écrit, qui fixe l'objet, la durée, les données et les personnes concernées. Le prestataire s'y engage à n'agir que sur vos instructions, à protéger les données et à les supprimer ou les rendre à la fin.

Je m'applique la même règle. Quand une mission me fait traiter les données d'un client, un contrat de sous-traitance au sens de l'article 28 accompagne le devis. Le client reste responsable du traitement, j'agis sur ses instructions écrites et je supprime ou restitue les données à la fin. Le nom de domaine, l'hébergement, les comptes et le code sont à son nom dès le départ : c'est lui qui garde les clés. Ces engagements figurent dans les questions fréquentes.

Comment protéger les accès, et qu'est-ce qui ne vous concerne pas ?

La CNIL recommande des mots de passe d'au moins 12 caractères et un gestionnaire pour les générer et les conserver. Elle conseille la double authentification, surtout sur la messagerie et les comptes administrateurs. Pour les sauvegardes, elle prône trois copies sur deux supports, dont une déconnectée du réseau. Elle demande aussi de séparer les usages personnels et professionnels. Elle résume l'intérêt de collecter peu : « Les données que vous ne possédez pas ne peuvent pas être volées ».

En cas de fuite ou de piratage, l'article 33 du RGPD impose de prévenir la CNIL, si possible dans les 72 heures. Seule exception : une violation qui ne présente pas de risque pour les personnes. Toute violation se consigne dans un registre, même quand elle n'est pas notifiée. Une proposition européenne en discussion allongerait ce délai, selon la CNIL.

Le reste vous concerne rarement. L'article 37 du RGPD n'impose un délégué à la protection des données, ou DPO, que dans trois cas. Ce sont les organismes publics, puis les organismes dont l'activité de base est un suivi régulier et systématique de personnes, ou un traitement de données sensibles, à grande échelle. La CNIL note que l'analyse d'impact reste rare dans une TPE qui ne vit pas du traitement de données. Rien à déclarer non plus : depuis le RGPD, seules certaines formalités de santé et certaines demandes d'avis passent encore par une déclaration à la CNIL. Une limite tout de même : les données sensibles, comme la santé, sont interdites sauf exceptions.

À qui poser vos questions en Pévèle et au-delà ?

Pour le RGPD, la CNIL répond gratuitement aux professionnels, par une permanence téléphonique ou un formulaire en ligne. Les horaires figurent sur sa page de contact. Méfiez-vous des appels en son nom : des escrocs usurpent son numéro, prévient-elle. La CNIL n'appelle pas les professionnels pour les mettre en demeure et ne demande jamais d'argent par téléphone ou par courriel.

Sa liste de vérification pour les TPE et PME tient en quatre pages. Pour une fuite de données, elle a un téléservice de notification. En cas de doute, elle conseille de notifier : elle vous dira s'il faut prévenir les personnes. En cas d'attaque informatique, la CNIL renvoie vers 17Cyber, le service d'assistance de la police, de la gendarmerie et de Cybermalveillance.gouv.fr.

Pour les autres questions de gestion, direction Ennevelin. Terrabùndo, la maison des entrepreneurs que Pévèle Carembault a construite et inaugurée en 2023, se trouve au 1 rue Christian Maille. Elle accueille des permanences gratuites, ouvertes aux porteurs de projet comme aux entrepreneurs. On y trouve un accompagnement à la création et des conseils sur le prêt d'honneur ou la garantie bancaire. La chambre de métiers et de l'artisanat et la CCI y tiennent aussi une permanence. Les dates sont publiées sur la page des permanences de Terrabùndo.