« On est une petite entreprise, personne ne va s'en prendre à nous » est une idée répandue chez les dirigeants de PME — mais ce n'est ni vrai en pratique (voir notre article sur pourquoi les PME sont des cibles privilégiées), ni une défense juridique valable. La loi française n'exempte pas les petites entreprises de leurs obligations de sécurité sous prétexte de leur taille.
L'obligation de sécurité du RGPD s'applique dès la première donnée personnelle
Dès qu'une entreprise traite des données personnelles — fichier client, formulaire de contact, newsletter — l'article 32 du RGPD impose de mettre en œuvre des mesures techniques et organisationnelles appropriées au regard du risque. Il n'existe pas de seuil de taille d'entreprise en dessous duquel cette obligation ne s'applique pas.
Ce que risque concrètement une PME en cas de manquement avéré
- Sanction de la CNIL — en cas de manquement caractérisé (absence totale de mesure de sécurité de base, non-notification d'une violation dans les délais), la CNIL peut prononcer une sanction proportionnée à la taille et aux moyens de l'entreprise. Les sanctions les plus lourdes visent les manquements graves et répétés, pas l'oubli isolé d'une petite structure de bonne foi.
- Mise en cause en responsabilité civile — un client ou partenaire dont les données ont été exposées peut engager la responsabilité de l'entreprise si un manquement à l'obligation de sécurité est démontré.
- Notification obligatoire sous 72 heures — en cas de violation de données personnelles présentant un risque pour les personnes concernées, la loi impose de notifier la CNIL sous 72 heures, et parfois les personnes concernées elles-mêmes.
« Obligation de moyens », pas de résultat
Il ne s'agit pas d'obtenir une sécurité absolue — impossible à garantir, y compris pour les plus grandes entreprises — mais de démontrer que des mesures raisonnables et proportionnées ont été mises en œuvre. Un audit régulier, des correctifs appliqués dans un délai raisonnable, et une trace de cette démarche constituent des éléments concrets en cas de contrôle ou de contentieux.
Ce qu'un dirigeant peut mettre en place simplement
- Documenter les mesures de sécurité existantes, même basiques.
- Réaliser un audit de sécurité régulier et conserver une trace des corrections apportées.
- Définir une procédure minimale de réaction en cas d'incident — voir notre article que faire après une cyberattaque.
- Sensibiliser les quelques personnes ayant accès aux outils sensibles (mots de passe, accès administrateur).
Cet article présente des repères généraux, pas un conseil juridique personnalisé — pour une situation spécifique, un avocat spécialisé en droit du numérique reste la référence. Pour la partie technique, un scan de sécurité gratuit permet d'objectiver rapidement le niveau de protection actuel de votre site, une première brique de cette démarche de mesures raisonnables.