RGPD pour PME et associations — checklist pratique pour 2026

Le RGPD s'applique à tout le monde — de l'auto-entrepreneur à l'association de cinq cents membres. La plus grande idée fausse est "nous sommes trop petits pour être concernés". Vous l'êtes. Mais pour les PME et associations, les règles sont souvent plus simples qu'on ne le pense.

Ce que le RGPD exige vraiment — version courte

Vous ne pouvez collecter que des données pour lesquelles vous avez une base légale
Vous devez pouvoir dire ce que vous détenez, pourquoi, où c'est stocké et qui y a accès
Les personnes ont des droits — copie, rectification, effacement
Vous devez protéger techniquement — chiffrement, contrôle d'accès, authentification forte
En cas de violation, vous avez 72 heures pour notifier la CNIL

La checklist — 12 points

1. Registre des activités de traitement (article 30 RGPD)

Obligatoire pour les organisations de plus de 250 salariés et pour tout traitement à risque. En pratique : tenez-le aussi dans les petites structures — la CNIL le demande souvent. Tableau : quoi / pourquoi / où / combien de temps.

2. Base légale pour chaque catégorie

Contrat — adresse e-mail pour envoyer la facture
Intérêt légitime — journaux de sécurité
Consentement — newsletter, marketing
Obligation légale — durée de conservation comptable 10 ans

3. Politique de confidentialité sur le site

1 à 2 pages suffisent. La nôtre comme modèle.

4. Bandeau cookies

Les cookies marketing exigent un consentement explicite (recommandations CNIL 2020). Les cookies fonctionnels (session, langue) sont autorisés sans consentement. Google CMP, Axeptio ou Didomi résolvent cela.

5. Manipulation sécurisée

Pas de comptes partagés
2FA partout où c'est possible
Pas de données personnelles en pièces jointes — utiliser un portail sécurisé
Gestionnaire de mots de passe pour l'équipe

6. Contrats de sous-traitance (article 28 RGPD)

Pour chaque service externe qui héberge des données clients, vous avez besoin d'un contrat de sous-traitance. La plupart des SaaS modernes proposent des DPA cliquables.

7. Plan pour les demandes d'accès

Vous avez un mois (article 12.3 RGPD). Préparez un processus : qui reçoit la demande, comment exporter les données, modèle de réponse.

8. Violation de données — notification 72 heures

Dans les 72 heures : notification à la CNIL. En cas de risque élevé, information des personnes concernées également.

9. Minimisation — supprimer ce qui n'est plus utile

Factures : 10 ans (Code de Commerce L123-22)
Membres inactifs : 1 à 3 ans
Destinataires marketing : max. 12 mois sans interaction
Logs : 30 à 90 jours

10. Registres associatifs

Le registre des adhérents est nécessaire à l'exécution du contrat d'adhésion. Ne conservez que le pertinent — nom, contact, catégorie d'adhésion. Pas de NIR sauf nécessité légale.

11. Sauvegardes et effacement

Vous devez pouvoir réellement supprimer les données, sauvegardes comprises. 30 à 90 jours de sauvegarde rotative sont la norme.

12. Responsabilité — tout documenter

Article 5(2) RGPD : vous devez pouvoir démontrer Votre conformité. Un simple fichier de politique interne suffit.

Avons-nous besoin d'un DPO (délégué à la protection des données) ?

En France : obligatoire pour les autorités publiques, pour la surveillance systématique à grande échelle, et pour le traitement à grande échelle de données sensibles. Pour la plupart des PME et associations : non obligatoire.

Comment 1invoice.online aide

Hébergement UE (Supabase Francfort)
Stockage chiffré + TLS 1.3
Row-level security
Export en un clic vers ZIP CSV+JSON
Connexion magic-link — aucun mot de passe à fuir

Créer un compte gratuit et cocher plusieurs points dès aujourd'hui.