En une phrase. Une startup ou PME de moins de 50 salariés peut atteindre une conformité RGPD opérationnelle en 30 jours avec un budget de 5 000 à 20 000 euros (legal externe + outillage), à condition de respecter une priorisation stricte : registre des traitements, politique de confidentialité, DPA des sous-traitants, procédure de droits des personnes, bandeau cookies. Le DPO obligatoire et les AIPD complexes peuvent attendre une seconde phase.
La conformité RGPD est souvent perçue par les startups comme une montagne réservée aux grands groupes. C’est faux. 80% du risque de sanction CNIL repose sur 5 obligations matérielles qui peuvent être traitées rapidement. Les 20% restants (DPO, AIPD complexes, BCR) ne deviennent pertinents qu’au-delà de certains seuils.
Points clés
- En 30 jours et 5-20K€, une PME peut atteindre une conformité RGPD opérationnelle.
- Les 5 obligations prioritaires : registre, politique, DPA sous-traitants, procédure droits, bandeau cookies.
- Le DPO n’est obligatoire que dans des cas spécifiques (autorité publique, surveillance à grande échelle, données sensibles à grande échelle).
- L’AIPD n’est obligatoire que pour les traitements à risque élevé — la majorité des PME n’a aucune AIPD à conduire.
- L’erreur n°1 : sur-engineering du programme avant les fondamentaux. L’erreur n°2 : copier-coller une politique générique sans l’adapter.
1. Le diagnostic en 1 heure
Test rapide d’éligibilité aux obligations renforcées
| Question | Si OUI | Si NON |
|---|---|---|
| Traitez-vous des données de santé, biométriques, génétiques, judiciaires à grande échelle ? | DPO obligatoire + AIPD systématique | Seuils plus souples |
| Faites-vous de la surveillance vidéo de zones publiques à grande échelle ? | DPO + AIPD | Pas concerné |
| Profilage ou décisions automatisées avec effets juridiques ? | AIPD obligatoire | Pas concerné |
| Êtes-vous une autorité publique ? | DPO obligatoire | Pas concerné |
Pour la majorité des startups SaaS / e-commerce / B2B services : aucune des cases coche. Pas de DPO obligatoire, pas d’AIPD systématique. Cela simplifie considérablement.
Inventaire des traitements en 1 heure
Lister les processus métier qui impliquent des données personnelles. Pour une startup typique :
- Site web : visiteurs, prospects (analytics, formulaire de contact)
- Marketing : newsletter, campagnes ads
- Ventes : CRM avec leads et clients
- Produit/SaaS : utilisateurs, logs, comportement
- Comptabilité : factures clients, paiements
- RH : salariés, candidats
- Support : tickets clients
→ Typiquement 8-15 traitements. C’est gérable.
2. Plan en 30 jours
Semaine 1 — Fondations
Jour 1-2 : Inventaire des sous-traitants Lister tous les outils SaaS et fournisseurs traitant des données. Pour chacun :
- Nom, pays, périmètre du traitement
- DPA signé ? (vérifier dans les contrats existants)
- Sous-processeurs ?
Outils typiques d’une startup SaaS :
- Cloud : AWS, Azure, GCP
- CRM : HubSpot, Salesforce, Pipedrive
- Marketing : Mailchimp, Brevo, Customer.io
- Analytics : Google Analytics, Plausible, Mixpanel
- Support : Intercom, Zendesk
- Paie : PayFit, Lucca
- Comptabilité : Pennylane, Quickbooks
Format : tableau Excel ou Google Sheets pour les <30 traitements. Au-delà, outil dédié.
Jour 6-7 : Politique de confidentialité Rédiger ou réviser la politique. Doit inclure (articles 13-14) :
- Identité du responsable de traitement
- Finalités et bases légales
- Catégories de destinataires
- Durées de conservation
- Droits des personnes
- Contact (DPO si désigné, ou point de contact)
- Recours CNIL
À éviter : copier-coller une politique générique. La CNIL identifie les politiques recyclées et les sanctionne pour transparence insuffisante.
Semaine 2 — Sous-traitants
Jour 13-14 : Vérification des transferts internationaux Pour les sous-traitants hors UE :
- États-Unis : vérifier la certification EU-US Data Privacy Framework
- Autres pays : vérifier les clauses contractuelles types — voir guide des clauses contractuelles types
Semaine 3 — Droits et consentement
Jour 15-18 : Procédure de gestion des droits Mettre en place :
- Adresse mail dédiée (privacy@… ou rgpd@…)
- Procédure interne : qui répond, en combien de temps, avec quelles données
- Modèles de réponse (accès, rectification, effacement, opposition)
Semaine 4 — Sécurité et finalisation
Jour 22-25 : Mesures de sécurité minimales Vérifier :
- HTTPS partout (TLS 1.3 idéalement)
- MFA pour les accès admin (Google Workspace, AWS, base de données)
- Mots de passe forts via gestionnaire (1Password, Bitwarden)
- Sauvegardes régulières et chiffrées
- Charte d’usage IT signée par les salariés
Jour 29-30 : Audit interne final Vérifier les 5 fondamentaux :
- ☐ Registre à jour
- ☐ Politique en ligne et adaptée
- ☐ DPA signés avec tous les sous-traitants
- ☐ Procédure de droits opérationnelle
- ☐ Bandeau cookies conforme
Documentation conservée dans un dossier accessible en cas de demande CNIL.
3. Budget réaliste pour une startup de 20 salariés
Pour les startups avant Series A, le coût peut descendre à 5-8K€ avec une approche autonome appuyée par un outil et un avis juridique ponctuel.
4. Quand recruter un DPO ?
Le DPO n’est légalement obligatoire que dans 3 cas (article 37 RGPD) :
- Autorité publique
- Activité principale impliquant surveillance régulière et systématique à grande échelle
- Activité principale impliquant données sensibles à grande échelle
Pour une startup SaaS B2B classique : aucun DPO obligatoire.
Quand le désigner volontairement :
- À partir de 50 salariés et 1000+ clients : recommandé (gestion des demandes devient lourde)
- À partir de 100 salariés : devient nécessaire en pratique
- Si données sensibles (santé, finance) : dès le démarrage
Options :
- DPO interne : recrutement à temps plein (60-110K€ EU)
- DPO fractionné : 1-2 jours/semaine (1500-2500€/jour)
- DPO externe : prestation packagée 2-8K€/mois
5. Les 7 erreurs les plus fréquentes
Erreur 1 — Copier-coller une politique générique
La CNIL repère immédiatement les politiques recyclées (mentions inadaptées, finalités inexactes). Personnaliser à votre contexte.
Erreur 2 — Oublier les sous-processeurs
Vous signez un DPA avec votre CRM, mais le CRM utilise lui-même AWS US, qui utilise un sous-processeur Inde. La chaîne entière doit être documentée et les sous-processeurs notifiés au RT.
Erreur 3 — Bandeau cookies “Accept all by default”
Les bandeaux qui acceptent tout par défaut ou rendent le refus difficile sont sanctionnés. Symétrie obligatoire.
Erreur 4 — Pas de procédure de droits
Le test : si une demande d’accès arrive demain, qui la traite, en combien de temps, avec quelles données ? Sans procédure, le délai de 30 jours est manqué.
Erreur 5 — Stocker les CV indéfiniment
Les candidatures non retenues doivent être supprimées sous 6 mois (sauf consentement explicite pour conservation). Beaucoup de PME conservent des années.
Erreur 6 — Vidéosurveillance non déclarée
Caméras dans les locaux : nécessitent une AIPD si surveillance constante des salariés, signalétique aux entrées, durée de conservation limitée (typiquement 30 jours).
Erreur 7 — Croire que ne pas être contrôlé = ne pas être en risque
La probabilité d’un contrôle CNIL est faible (1-3% par an pour une PME), mais le coût d’un contrôle non préparé est élevé (50K-500K€ + temps). L’assurance vaut largement la prime.
6. Outillage minimal recommandé
Conclusion
La conformité RGPD pour une startup ou PME n’est pas un projet de 12 mois — c’est un sprint de 30 jours sur les 5 fondamentaux, suivi d’une routine de maintenance. Le piège est de viser la perfection avant les bases : un programme à 80% qui couvre les 5 obligations matérielles vaut infiniment mieux qu’un programme à 20% qui se concentre sur des AIPD complexes en oubliant le registre. Commencer simple, ajuster en marchant, documenter au fur et à mesure.
FAQ
Une startup de 10 salariés doit-elle être conforme RGPD ?
Oui. Le RGPD s’applique à toute organisation qui traite des données personnelles, sans seuil de salariés. L’exemption sur le registre des traitements (article 30 §5) ne s’applique en pratique que dans des cas très restreints (traitement occasionnel, sans données sensibles, sans risque).
Combien coûte la conformité RGPD pour une PME ?
5 000 à 20 000 € pour la mise en conformité initiale, avec un récurrent de 3 000 à 15 000 € par an pour la maintenance. Les coûts varient selon la taille (10 vs 50 salariés), le secteur (B2B SaaS vs santé), et le degré d’externalisation.
Faut-il désigner un DPO dans une startup ?
Pas systématiquement. Le DPO n’est légalement obligatoire que pour les autorités publiques, les organisations faisant de la surveillance à grande échelle, ou traitant des données sensibles à grande échelle. Pour une startup SaaS B2B classique, le DPO est facultatif.
Comment gérer les sous-traitants américains après Schrems II ?
Pour les sous-traitants américains certifiés EU-US Data Privacy Framework (Mailchimp, Stripe, AWS, Google, etc.) : transfert libre, vérifier la certification active. Pour les autres : SCCs + analyse d’impact transfert (TIA).
Combien de temps faut-il pour devenir conforme ?
30 jours pour une startup de 10-50 salariés avec un focus sur les 5 fondamentaux : registre, politique, DPA, droits, cookies. 60-90 jours pour une PME plus complexe (RH, secteur réglementé). Au-delà, c’est un programme de transformation, pas un sprint.