RGPD startup : les points de vigilance propres au modèle

Une jeune entreprise se pose rarement la question de la protection des données avant d'y être contrainte : un client envoie un questionnaire, un investisseur demande le registre, un utilisateur réclame ses données. Le sujet RGPD startup n'est pourtant pas une version allégée du règlement : les obligations sont les mêmes que pour une entreprise établie, mais les risques se concentrent sur des points précis, liés au modèle même d'une startup. Cet article les isole et propose un ordre de traitement pour une petite équipe.

Une startup est-elle dispensée du RGPD à cause de sa taille ?

Non. Le RGPD s'applique à toute entreprise qui traite des données personnelles, quel que soit son effectif. La seule dérogation liée à la taille concerne le registre des traitements, et elle est bien plus étroite qu'on ne le croit.

L'article 30, paragraphe 5 du RGPD dispense les organisations de moins de 250 employés de tenir le registre, sauf si le traitement présente un risque pour les droits et libertés des personnes, s'il n'est pas occasionnel, ou s'il porte sur des données sensibles ou relatives à des infractions. Or la gestion des utilisateurs, des prospects ou de la paie n'a rien d'occasionnel. La CNIL précise que cette dérogation se limite à des cas très particuliers et recommande, en cas de doute, d'inscrire le traitement au registre. Dans sa foire aux questions pour les TPE et PME, elle ajoute que le registre est dû dès lors que des données personnelles sont traitées.

Quels points de vigilance sont propres au modèle startup ?

Cinq situations concentrent l'essentiel des écarts : un produit construit sur la donnée, une prospection intensive, un empilement d'outils en ligne, des données traitées dès le prototype et une levée de fonds qui expose le dossier. Une startup les cumule souvent en quelques mois.

Le premier point tient au produit lui-même. Quand la valeur de l'entreprise repose sur les données collectées, les choix de conception engagent la conformité durablement. L'article 25 du RGPD impose la protection des données dès la conception et par défaut, c'est-à-dire des mesures prises « au moment de la détermination des moyens du traitement » et une collecte limitée à ce qui est nécessaire pour chaque finalité. Ce principe de privacy by design coûte peu au stade du cahier des charges et beaucoup une fois la base de données déployée. Si le produit repose sur un suivi systématique des personnes ou sur des données sensibles, l'article 35 peut exiger une AIPD avant la mise en production.

Le deuxième point concerne la croissance. Les campagnes d'e-mails, les séquences automatisées et les bases achetées relèvent de la prospection commerciale, encadrée par l'article L34-5 du Code des postes et des communications électroniques. La CNIL rappelle que la prospection vers des particuliers exige un consentement préalable, tandis que la prospection vers des professionnels suppose une information et un droit d'opposition, avec un message en rapport avec la fonction de la personne.

Le troisième point est l'empilement d'outils. CRM, analytics, support, hébergement : chaque éditeur qui accède aux données est un sous-traitant au sens de l'article 28, qui exige un contrat écrit définissant l'objet, la durée, la nature et la finalité du traitement. Quand l'éditeur est établi hors de l'Union européenne, s'ajoute la question du transfert hors UE et de l'instrument qui le fonde. Enfin, la levée de fonds change la nature du sujet RGPD startup : la due diligence d'un investisseur porte sur ces pièces, et un registre absent ou des contrats manquants deviennent un point de négociation.

Par quoi commencer avec une équipe de cinq personnes ?

Commencez par ce qui se demande en premier lors d'un contrôle ou d'une due diligence : le registre, l'information des personnes et les contrats avec vos outils. Une mise en conformité startup se construit en couches, dans un ordre qui suit le risque réel plutôt que l'ordre des articles du règlement. Les étapes ci-dessous se répartissent dans l'équipe, sans embauche dédiée.

1. 1Inventorier — Listez chaque flux de données personnelles (utilisateurs, prospects, salariés, candidats) et chaque outil qui y accède : c'est la matière du registre de l'article 30.
2. 2Informer — Rédigez une politique de confidentialité qui décrit réellement vos traitements, leur base légale et leur durée de conservation, et affichez-la aux points de collecte.
3. 3Contractualiser — Vérifiez que chaque éditeur a signé un contrat de sous-traitance conforme à l'article 28 et notez l'instrument de transfert retenu pour ceux établis hors UE.
4. 4Cadrer la prospection — Séparez les cibles B2C et B2B, conservez la preuve du consentement ou de l'information, et ajoutez un lien de désinscription à chaque message.
5. 5Préparer l'incident — Désignez qui décide en cas de violation de données : l'article 33 impose une notification à la CNIL dans les 72 heures lorsqu'un risque existe.
6. 6Vérifier le DPO et l'AIPD — Consignez par écrit si les critères de l'article 37 (suivi à grande échelle, données sensibles) et de l'article 35 vous concernent.

La CNIL met à disposition un modèle de registre simplifié et une page dédiée aux startups. Le DPO n'est obligatoire que dans les cas de l'article 37, qui vise surtout les traitements à grande échelle : la question se repose à chaque pivot ou changement d'échelle. Un plan RGPD startup tenu à jour vaut mieux qu'un chantier unique réalisé avant la levée puis oublié.

Que risque une startup qui remet le sujet à plus tard ?

Le risque est double : une sanction, dont le montant ne dépend pas de la taille, et un blocage commercial. L'article 83 du RGPD prévoit des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les manquements aux obligations du responsable du traitement, et 20 millions d'euros ou 4 % pour les manquements aux principes de base et aux droits des personnes. La CNIL dispose aussi d'une procédure de sanction simplifiée, adaptée aux dossiers sans difficulté particulière, avec une amende plafonnée à 20 000 euros pour les entreprises dont le chiffre d'affaires est inférieur à 50 millions d'euros.

Le coût commercial est moins visible mais plus fréquent : un questionnaire fournisseur sans réponse documentée retarde une signature, et des contrats manquants révélés en due diligence pèsent sur les garanties demandées. Traiter le dossier RGPD startup tôt, quand les traitements sont encore peu nombreux, coûte moins que de reprendre un produit et une base de données conçus sans ces contraintes.

À retenir

• Aucune exemption liée à la taille : la dérogation de l'article 30.5 sur le registre ne couvre que les traitements occasionnels et sans risque, ce qui exclut la base utilisateurs, le CRM et la paie.
• Les écarts d'une startup se concentrent sur cinq points : produit construit sur la donnée, prospection, outils SaaS, données dès le MVP, levée de fonds.
• L'article 25 impose la protection des données dès la conception : les choix de schéma de données pris au MVP engagent la conformité future.
• Ordre de priorité pour une petite équipe : registre, information des personnes, contrats de sous-traitance, cadre de prospection, procédure d'incident, puis analyse DPO et AIPD.
• Le montant des sanctions ne dépend pas de l'effectif, et un dossier RGPD startup incomplet se paie aussi en due diligence et en appels d'offres.