RoPA PilotRegistre RGPD pour une PME
Moins de 250 salariés ne signifie pas dispensé. Voici pourquoi l'exemption de l'article 30 §5 ne protège presque aucune PME, quels traitements vous possédez déjà sans le savoir, et comment produire un registre défendable en trois demi-journées.
Mis à jour le 2026-07-10 · Lecture 5 min
Au sommaire
Une PME est-elle vraiment obligée de tenir un registre ?
Oui, dans la quasi-totalité des cas. L'article 30 §5 semble exempter les organismes de moins de 250 salariés, mais l'exemption ne s'applique que si aucune de ces trois conditions n'est remplie : traitement susceptible de comporter un risque pour les personnes, traitement non occasionnel, traitement de données sensibles ou d'infractions.
Une PME de trente salariés gère une paie (mensuelle, donc non occasionnelle), un fichier client (permanent), des candidatures (données de recrutement), parfois des arrêts maladie (données de santé). Chacun de ces traitements déclenche l'obligation. La CNIL le formule sans ambiguïté : la dispense « ne concerne en pratique presque aucun organisme ».
Le registre simplifié : ce que la CNIL accepte
Pour les petites structures, la CNIL propose un modèle de registre simplifié : une fiche par traitement, avec les mentions essentielles. Simplifié ne veut pas dire tronqué : les sept mentions de l'article 30 §1 restent exigibles. Ce qui est allégé, c'est le formalisme, pas le contenu.
Les 8 traitements que toute PME possède (et oublie)
| Traitement | Base légale usuelle | Durée courante |
|---|---|---|
| Gestion de la paie | Obligation légale | 5 ans (bulletins) |
| Dossiers du personnel | Exécution du contrat | 5 ans après le départ |
| Recrutement | Intérêt légitime / consentement | 2 ans après le dernier contact |
| Fichier clients et facturation | Exécution du contrat / obligation légale | 10 ans (comptabilité) |
| Prospection commerciale | Intérêt légitime / consentement (B2C) | 3 ans après le dernier contact |
| Support et réclamations | Exécution du contrat | Contrat + 1 an |
| Vidéosurveillance / badges | Intérêt légitime | 1 mois (images) |
| Mesure d'audience du site | Consentement (sauf exemption CNIL) | 13 mois |
Le neuvième traitement est celui que personne n'écrit : les outils SaaS adoptés par les équipes. Chaque nouvel outil de visioconférence, de signature électronique ou d'IA générative ajoute un sous-traitant et, souvent, un transfert hors UE.
Méthode en trois demi-journées
- Inventorier. Listez les traitements à partir des services (RH, commerce, support) et les outils à partir de ce qui est réellement ouvert dans les navigateurs — pas de la mémoire des managers.
- Documenter. Pour chaque outil : éditeur, pays d'hébergement, mécanisme de transfert, lien du DPA. C'est la partie la plus longue à la main ; RoPA Pilot la fait automatiquement.
- Arbitrer. Base légale, durées réelles, mesures de sécurité : ce sont des décisions, elles ne s'automatisent pas.
Le risque pour une PME
| Manquement | Plafond (art. 83) | Concerne le registre ? |
|---|---|---|
| Art. 83 §4 : obligations des responsables et sous-traitants, dont l'article 30 | 10 000 000 € ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu | Oui — un registre absent ou inexploitable relève de ce plafond |
| Art. 83 §5 : principes, base légale, droits des personnes, transferts (chap. V) | 20 000 000 € ou 4 % du chiffre d'affaires annuel mondial | Indirectement — un transfert hors UE non encadré relève du chapitre V |
Une PME n'est pas visée par les amendes spectaculaires, mais elle est contrôlée : plainte d'un salarié, signalement d'un client, contrôle en ligne. Le premier document demandé est le registre. Ne pas l'avoir déplace immédiatement la discussion du terrain technique vers le terrain de la mauvaise foi.
À lire ensuite
Votre registre article 30, construit depuis la réalité
L'extension est gratuite : détection illimitée, fiches illimitées, exports CSV et JSON illimités.