RGPD dans le Var : ce que risquent vraiment les TPE et associations en 2026
« Le RGPD, c'est pour les grandes entreprises. » Cette idée reçue coûte cher : la CNIL a industrialisé le contrôle des petites structures, et les chiffres le confirment. Le RGPD s'applique à vous, sans exception de taille — Dès qu'une structure traite des données personnelles — un formulaire de contact sur un site, une newsletter, un fichier client, un outil d'analytics — elle est concernée par le Règlement Général sur la Protection des Données, quelle que soit sa taille. Aucun seuil de chiffre d'affaires, aucune exception sectorielle. Cela vaut pour les TPE, les artisans, les professions libérales comme pour les associations qui gèrent des fichiers d'adhérents ou de bénévoles. La CNIL cible désormais les petites structures — L'idée que la CNIL ne s'occupe que des grandes entreprises est dépassée. La procédure de sanction simplifiée, qui vise en majorité des structures de moins de 250 salariés, a fortement augmenté ces dernières années, avec un plafond de 20 000 € par cette voie. Les sanctions les plus lourdes peuvent aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour les manquements les plus graves — un plafond pensé pour les grands groupes, mais qui rappelle que la sévérité du texte est réelle à tous les niveaux. Ce qu'il faut concrètement mettre en place : un registre des traitements, document central listant les données collectées et leur finalité (la CNIL propose un modèle gratuit) ; une information claire des personnes concernées, notamment via une politique de confidentialité accessible sur le site ; un dispositif de recueil du consentement conforme, en particulier pour les cookies et la prospection ; une notification à la CNIL en cas de violation de données, sous 72 heures ; un DPO (délégué à la protection des données) uniquement si l'activité implique un suivi systématique à grande échelle ou des données sensibles — ce n'est pas systématique pour une TPE classique. RGPD et intelligence artificielle : une nouvelle vigilance — Depuis 2026, la CNIL articule ses contrôles entre le RGPD et le nouveau règlement européen sur l'IA (AI Act), notamment pour les structures qui utilisent des outils d'IA générative traitant des données personnelles — un chatbot client, un outil de tri de CV, un générateur de contenu. Le RGPD reste le texte de référence dès qu'une IA traite des données personnelles, à l'entraînement comme en production. Pourquoi FVP en parle — Parce que beaucoup de professionnels du Var pensent, à tort, être trop petits pour être concernés. Un simple formulaire de contact ou une liste de diffusion suffit à déclencher les obligations du RGPD. Mieux vaut s'en occuper maintenant que sur mise en demeure. Sources principales : CNIL ; textes officiels du RGPD (Règlement UE 2016/679).