Baromètre de la conformité RGPD des TPE et PME - Edition 2024

Un baromètre pour mieux comprendre les spécificités des TPE PME en matière de gestion des données personnelles

Le respect du Règlement Général sur la Protection des Données (RGPD) est un enjeu incontournable pour les TPE et PME. Souvent perçue comme complexe et coûteuse, cette mise en conformité constitue aussi une opportunité pour votre entreprise pour mieux gérer votre entreprise et développer votre activité. 

En effet, dans un monde de plus en plus digitalisé, les données personnelles deviennent un actif précieux pour les entreprises, et leur protection est une condition sine qua non pour gagner la confiance des clients. 

Mission RGPD, Activateur France Num, qui publie le Baromètre de la conformité RGPD des PME et ETI grâce aux données issues de plus de 300 diagnostics réalisés en 2023 par des entreprises françaises, a conçu une déclinaison pour les seules TPE PME. 

Ce Baromètre de la conformité RGPD des TPE PME, qui permet de faire le point sur le niveau de conformité effectif des petites et moyennes entreprises, offre un panorama détaillé de l'appréhension du RGPD par les TPE PME. 

Souvent sous-représentées dans les études existantes, cette étude donne accès à une vue consolidée des défis qu’elles doivent relever pour se mettre en règle mais aussi une revue des mesures à mettre en œuvre pour tirer parti de ce cadre réglementaire pour leurs activités. 

Le Baromètre RGPD des TPE et PME est une étude complète qui analyse les pratiques des petites et moyennes entreprises françaises en matière de conformité RGPD. Il met en lumière les difficultés rencontrées, les bonnes pratiques adoptées, et propose des solutions concrètes adaptées aux besoins des petites structures. 

Quel est le niveau de conformité RGPD des TPE PME ? 

La conformité des sites web : une faille récurrente et visible

Les sites web constituent souvent la principale interface de collecte de données personnelles pour les TPE et PME. Cependant, les résultats montrent que plus de 88 % des sites web analysés ne sont pas conformes au RGPD :

• 95 % des sites web utilisent des cookies ou des traceurs, mais 74 % d’entre eux ne sont pas conformes aux exigences du RGPD en matière de consentement des utilisateurs ;
• 48 % des sites web n’incluent pas les mentions légales obligatoires dans leur formulaire de contact, et 44 % des politiques de confidentialité ne respectent pas les exigences du règlement.

Cela montre que les TPE PME sont souvent mal préparées à répondre aux exigences du RGPD concernant la collecte et l'utilisation des données sur leurs plateformes numériques. Beaucoup de TPE et PME délèguent la gestion de leur site web à des prestataires qui ne sont pas nécessairement au fait des obligations. 

Dans ces conditions, un audit régulier est indispensable pour s'assurer de la conformité de son site internet et éviter des sanctions coûteuses et une perte de confiance de la part des clients.

Le respect du droit des personnes en matière de données personnelles : un enjeu encore trop sous-estimé

Le RGPD accorde aux individus un ensemble de droits (accès, rectification, effacement, portabilité, etc.) que les entreprises doivent respecter. Le baromètre révèle que 42 % des entreprises considérées ont déjà reçu une demande relative à l'exercice d'un de ces droits créés le RGPD et que 78 % n’ont pas mis en œuvre toutes les démarches nécessaires pour y répondre dans les délais légaux :

• 69 % des TPE et PME ont reçu des demandes d’opposition à des communications par email, mais seulement 62 % ont répondu dans le délai légal d’un mois ;
• 26 % tiennent un registre des demandes de droits, mais 21 % des entreprises ne prennent aucune mesure proactive pour gérer ces demandes.

L’incapacité à respecter les droits des personnes expose les entreprises à des risques importants de sanctions et peut entacher les relations commerciales.

Le RGPD : un outil au service de la sécurité des données pour prévenir les risques cyber 

Les incidents de sécurité représentent une menace sérieuse pour les entreprises. Le baromètre montre que 51 % des TPE et PME ont déjà subi au moins un incident de sécurité. Les types d’incidents les plus fréquents sont :

• 33 % des entreprises ont été victimes de piratage informatique ; 
• 22 % ont subi des pertes ou vols de clés USB contenant des données sensibles ;
• 19 % ont fait face à des erreurs d’envoi de documents à des tiers non autorisés.

Le baromètre met également en lumière un manque flagrant de documentation des procédures de sécurité :

• 63 % des entreprises n’ont pas de procédure documentée pour gérer la sécurité de leurs données personnelles ;
• seulement 8 % vérifient si les incidents nécessitent une notification à la CNIL dans les 72 heures, comme l’exige le RGPD en cas de vol de données personnelles. 

Pourtant, le RGPD offre des lignes directrices très efficaces pour sécuriser les données personnelles détenues par l'entreprise et prévenir les incidents de sécurité. 

La conformité des documents réglementaires : un défi pour les petites entreprises

La gestion des documents réglementaires est un autre domaine où les TPE et PME rencontrent des difficultés majeures en matière de gestion des données personnelles. Selon le baromètre, seulement 5 % des entreprises disposent d’une documentation complète et conforme au RGPD :

• 45 % des entreprises ont mis en place une politique de confidentialité ;
• seulement 28 % ont un registre des traitements des données, alors que ce document est essentiel en cas de contrôle de la CNIL ;
• 63 % des entreprises qui ont un registre des traitements rencontrent des difficultés pour le maintenir à jour, ce qui les expose à des sanctions potentielles.

Pourtant, ces registres et autres documents réglementaires ne sont pas seulement des obligations légales à présenter en cas de contrôle CNIL, mais aussi des outils pour s'organiser et prouver l’engagement de l'entreprise en matière de protection des données personnelles. Ils permettent notamment de se prévaloir auprès de ses clients et partenaires du respect du RGPD afin de les rassurer quant à la bonne gestion des données personnelles. 

Quels sont les principaux freins rencontrés par les TPE PME pour se mettre en conformité avec le RGPD ?

Malgré les efforts déployés, les entreprises continuent de rencontrer des obstacles majeurs à la mise en conformité RGPD :

• 59 % des entreprises manquent de temps pour gérer leur conformité ;
• 57 % signalent un manque de compétences juridiques pour naviguer dans la complexité du règlement ;
• 49 % ne savent pas par où commencer, soulignant la nécessité d'un accompagnement personnalisé ;
• 31 % peinent à maintenir leur conformité dans le temps, un défi dans un contexte où les traitements de données évoluent constamment.

Ces freins expliquent pourquoi de nombreuses entreprises restent en difficulté face au RGPD et l'importance d'être accompagné par un expert en gestion des données personnelles pour assurer sa conformité au RGPD. 

Passer à l'action pour mettre votre TPE PME en conformité avec le RGPD

Faites un diagnostic de maturité RGPD

Commencez par effectuer un diagnostic en ligne pour évaluer votre niveau de maturité e matière de gestion des données personnelles : 

EvalRGPD est un autodiagnostic gratuit et en ligne, proposé par la CPME avec CINOV numérique et la CNIL (tous les 3 partenaires de France Num) qui permet d'effectuer un premier état des lieux du niveau de conformité RGPD de l'entreprise, ceci en 14 questions basées sur les usages de la TPE PME. Il est abordé les obligations auxquelles l'entreprise est soumise, les comportements à privilégier et ceux à proscrire : 

• EvalRGPD : Evaluez la conformité RGPD de votre entreprise

Le Diag RGPD en ligne proposé par Mission RGPD, Activateur France Num, est un outil gratuit qui offre à toutes les entreprises la possibilité de réaliser, en 15 minutes, une évaluation de leur conformité. Les résultats aident à  identifier rapidement les lacunes et permettent d'obtenir une première série de recommandations personnalisées pour améliorer la gestion des données personnelles. Les données issues du baromètre RGPD ont été collectés à l’aide de cet outil d’analyse : 

• Diag RGPD online - Version gratuite 

Être accompagné par un expert en gestion des données personnelles pour assurer sa conformité au RGPD

Article réalisé par Mission RGPD, Activateur France Num. Mission RGPD, est la 1ère plateforme RGPD tout-en-un, offrant des fonctionnalités pour : se conformer et documenter, piloter, montrer et démontrer la conformité, se former et s'informer, protéger les données personnelles, associée à un accompagnement expert annuel.