Sécurité des données : la to-do list CNIL pour les TPE/PME

Sources : CNIL, "Sécurité des données : les règles essentielles pour protéger les données et votre activité", fiche mise à jour le 19/06/2026.

Protéger les données que vous détenez — celles de vos clients, de vos salariés, mais aussi vos informations financières ou industrielles — n'est pas réservé aux grandes entreprises et fait partie de vos obligations.

La CNIL le rappelle : les risques liés au numérique concernent toutes les structures, quels que soient leur taille et leur secteur, et les attaquants privilégient souvent les cibles les plus simples à atteindre.

Voici la liste des réflexes essentiels, directement issue des recommandations de la CNIL.

Les mots de passe et accès

• Imposer des mots de passe d'au moins 12 caractères, mêlant majuscules, minuscules, chiffres et caractères spéciaux,

• Utiliser un gestionnaire de mots de passe pour en générer et stocker de nombreux, uniques pour chaque compte,

• Activer la double authentification (MFA) dès que possible, en priorité sur les messageries et les comptes administrateurs.

La vigilance au quotidien

• Rester prudent face à un message qui invite à cliquer, à se reconnecter en urgence, ou à modifier des coordonnées bancaires — en cas de doute, rappeler l'émetteur par un autre moyen,

• Installer des applications uniquement depuis les sites et magasins officiels,

• Activer la mise à jour automatique de tous les équipements (ordinateurs, mobiles, tablettes, logiciels).

La sauvegarde, votre filet de sécurité

• Appliquer la règle du 3-2-1 : 3 copies de vos données, sur 2 supports différents, dont 1 déconnectée du réseau,

• Tester régulièrement la restauration de ces sauvegardes.

La protection technique

• Installer un antivirus professionnel et un pare-feu,

• Protéger les équipements mobiles par un code de verrouillage complexe et activer le chiffrement des données,

• Séparer strictement les usages personnels et professionnels sur le matériel de l'entreprise,

• Éviter les réseaux Wi-Fi publics, ou passer par un VPN d'entreprise en cas de déplacement.

La formation : le réflexe humain

• Former régulièrement collaborateurs et dirigeants aux bonnes pratiques (des contenus gratuits existent, des formations prises en charge par votre OPCO aussi),

• Donner des consignes claires sur la façon de signaler un doute ou une situation anormale.

Le réflexe RGPD, en complément

Deux principes simples réduisent mécaniquement l'impact d'une éventuelle attaque :

• La minimisation : ne collecter que les données réellement nécessaires. Une donnée que vous ne détenez pas ne peut pas être volée,

• La limitation de la durée de conservation : ne pas garder les données au-delà du temps utile, puis les supprimer ou les anonymiser.

En cas de violation de données

Si une violation touche des données de personnes physiques (clients, salariés...), l'entreprise doit évaluer s'il est nécessaire d'en informer la CNIL, dans un délai de 72h après en avoir eu connaissance. En cas d'attaque en cours : isoler la machine touchée (débrancher le réseau), préserver les preuves (ne pas éteindre l'appareil), et ne jamais payer de rançon.

Se faire accompagner

Un diagnostic gratuit du niveau de sécurité de votre entreprise peut être demandé sur MesServices.cyber.gouv.fr. Cybermalveillance.gouv.fr propose également une mise en relation avec des prestataires informatiques labellisés "ExpertCyber".

En résumé

La sécurité des données fait partie des obligations de toute entreprise qui traite des informations sur ses clients ou ses salariés — au même titre que les autres obligations réglementaires auxquelles une entreprise doit répondre. La plupart de ces mesures sont simples, gratuites, et ne demandent pas de compétences techniques avancées pour être mises en place.