RGPD pour les TPE du bâtiment : L’essentiel à faire (et rien de plus)
Dernière mise à jour : 6 oct.
Catégorie : BTP : les règles du jeu
Dernière mise à jour : octobre 2026
Le RGPD peut rapidement donner l’impression qu’il faut tout revoir : registre, mentions, cookies, contrats, sécurité, conservation des données…
Pour une TPE du bâtiment, l’objectif n’est pourtant pas de créer une usine à gaz.
Un artisan, une entreprise générale, un maître d’œuvre ou une petite entreprise de travaux manipule déjà de nombreuses données personnelles au quotidien : coordonnées des clients, salariés, fournisseurs, sous-traitants, contacts professionnels, photographies de chantier, adresses, échanges par e-mail…
Le bon réflexe consiste donc d’abord à identifier ce que l'entreprise fait réellement avec ces données, puis à mettre en place quelques règles simples et adaptées.
Voici le socle à avoir en place.
1. Commencer par identifier les données que vous utilisez réellement
Avant de créer des documents ou de modifier votre site internet, faites l'inventaire.
Dans une TPE du bâtiment, on retrouve généralement :
les coordonnées des clients ;
les coordonnées des prospects ;
les informations concernant les salariés ;
les coordonnées des fournisseurs et sous-traitants ;
les échanges par e-mail ;
les données présentes dans les logiciels de devis et de facturation ;
les photographies de chantier lorsqu'elles permettent d'identifier une personne ;
les données collectées via le site internet ;
éventuellement les données de candidatures.
Le RGPD ne concerne d'ailleurs pas uniquement les fichiers informatiques : les fichiers papier contenant des données personnelles sont également concernés.
Le bon réflexe
Prenez une feuille et listez simplement :
Qui ? → Quelles données ? → Pourquoi ? → Où sont-elles stockées ? → Qui y a accès ?
Cette première cartographie permet déjà de voir où se trouvent les principaux points d'attention.
À ne pas faire : télécharger un modèle de registre trouvé sur internet et le remplir mécaniquement sans vérifier qu'il correspond à votre entreprise.
2. Mettre en place un registre des traitements
Le registre est probablement le document qui fait le plus peur aux petites entreprises.
Pourtant, son objectif est assez simple : avoir une vision claire de ce que l'entreprise fait avec les données personnelles.
La CNIL indique que le registre concerne les organismes qui traitent des données personnelles, quelle que soit leur taille, et propose un modèle simplifié adapté notamment aux TPE-PME.
Pour une petite entreprise du bâtiment, quelques traitements principaux peuvent suffire à structurer le registre :
Traitement | Exemples de données |
Gestion des clients | Nom, coordonnées, devis, factures |
Prospection | Nom, e-mail, téléphone |
Gestion des salariés | État civil, coordonnées, données administratives |
Fournisseurs / sous-traitants | Coordonnées, informations professionnelles |
Site internet | Formulaire de contact, données de connexion |
Comptabilité / facturation | Données nécessaires aux factures et paiements |
Le registre doit notamment permettre d'identifier les finalités, les personnes concernées, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité.
Le bon réflexe
Pour une TPE, commencez par les traitements réellement utilisés, plutôt que d'essayer de construire un registre de 50 pages.
3. Informer les personnes de ce que vous faites de leurs données
Une personne à qui vous demandez des informations doit savoir, de manière compréhensible, pourquoi vous les collectez et ce que vous allez en faire.
Concrètement, cela peut passer par :
une politique de confidentialité sur le site ;
une mention sur le formulaire de contact ;
des informations adaptées dans les documents concernés ;
une information des salariés ;
les mentions nécessaires dans les outils de collecte.
La CNIL recommande notamment d'informer les personnes au moment de la collecte et de leur permettre d'exercer facilement leurs droits.
Exemple
Sur un formulaire de contact :
Les informations recueillies via ce formulaire sont utilisées afin de répondre à votre demande. Pour en savoir plus sur la gestion de vos données et vos droits, consultez notre politique de confidentialité.
L'objectif n'est pas de rédiger une page incompréhensible de plusieurs milliers de mots.
L'information doit surtout être claire et adaptée à ce que vous faites réellement.
4. Ne demandez pas plus de données que nécessaire
C'est probablement l'un des réflexes RGPD les plus simples à appliquer.
Si vous avez besoin du :
nom ;
prénom ;
téléphone ;
e-mail ;
adresse du chantier ;
pour établir un devis, demandez ces informations.
Mais si une information n'est pas nécessaire à votre activité, demandez-vous pourquoi vous la collectez.
La CNIL rappelle le principe de minimisation : seules les données nécessaires à l'objectif poursuivi doivent être collectées.
Dans le bâtiment, pensez notamment aux documents transmis par les clients.
Une entreprise peut recevoir des pièces contenant beaucoup plus d'informations que nécessaire.
Avant de conserver un document, posez-vous simplement la question :
Est-ce que j'ai réellement besoin de conserver toutes les informations qui figurent dessus ?
Le bon réflexe
Ne collectez pas une donnée simplement parce que votre logiciel vous permet de le faire.
5. Organiser la conservation et la suppression des données
Le RGPD ne signifie pas qu'il faut tout supprimer rapidement.
Certaines données doivent au contraire être conservées pendant une durée imposée par la réglementation, notamment certaines données comptables et de facturation.
La CNIL rappelle que les données personnelles ne doivent pas être conservées indéfiniment et que certaines durées sont fixées par les textes, tandis que d'autres doivent être déterminées en fonction de la finalité du traitement.
Il faut donc distinguer :
les données dont vous avez encore besoin dans votre activité
et
les données que vous devez conserver pour respecter une obligation légale ou gérer un éventuel contentieux.
Exemple
Un ancien prospect qui n'a plus donné signe de vie ne devrait pas nécessairement rester indéfiniment dans votre fichier commercial.
À l'inverse, une facture ne peut pas simplement être supprimée parce que la relation commerciale est terminée.
Le bon réflexe
Pour chaque grande catégorie de données, définissez :
combien de temps je les garde → pourquoi → que se passe-t-il ensuite ?
6. Sécuriser les accès : le RGPD passe aussi par de bonnes habitudes
Pour une TPE, la sécurité des données ne signifie pas forcément investir dans une infrastructure informatique complexe.
Elle commence souvent par quelques règles très concrètes :
protéger les comptes par des mots de passe robustes ;
utiliser l'authentification à deux facteurs lorsqu'elle est disponible ;
ne pas partager un même compte entre plusieurs personnes lorsque ce n'est pas nécessaire ;
limiter les accès aux seules personnes qui en ont besoin ;
effectuer des sauvegardes ;
sécuriser les ordinateurs et téléphones professionnels ;
éviter d'envoyer des documents sensibles n'importe comment ;
supprimer les accès d'un ancien salarié ou prestataire.
La CNIL recommande notamment de limiter les accès aux seules personnes habilitées et de mettre en place des mesures adaptées à la nature des données traitées.
Et vos logiciels ?
Devis, facturation, comptabilité, paie, CRM, stockage en ligne…
Une TPE travaille souvent avec plusieurs prestataires qui peuvent avoir accès à des données personnelles.
Lorsque le prestataire agit comme sous-traitant au sens du RGPD, les obligations doivent être encadrées contractuellement, notamment en matière de sécurité et de gestion des données.
Le bon réflexe
Faites la liste de vos principaux logiciels et prestataires et demandez-vous simplement :
Quelles données ont-ils ? Et pourquoi ?
Et dans une entreprise du bâtiment, les photos de chantier ?
C'est un point souvent oublié.
Une photo de chantier peut contenir des personnes identifiables, des plaques d'immatriculation ou d'autres informations permettant d'identifier quelqu'un.
Avant de publier une photographie sur :
votre site ;
LinkedIn ;
Instagram ;
une plaquette commerciale ;
vérifiez ce qu'elle contient et dans quel contexte elle est utilisée.
Le RGPD concerne notamment les photographies lorsqu'elles permettent d'identifier une personne.
Le bon réflexe : avant de publier, vérifier la photo et, lorsque cela est nécessaire, disposer de la base juridique ou de l'autorisation appropriée.
Le minimum RGPD d'une TPE du bâtiment
Si vous voulez faire simple, votre première mise à niveau peut tenir autour de 7 actions :
☐ Identifier les données personnelles réellement utilisées
☐ Créer et tenir à jour un registre des traitements
☐ Informer les personnes lors de la collecte
☐ Vérifier que les données collectées sont nécessaires
☐ Définir les principales durées de conservation
☐ Sécuriser les accès et les outils
☐ Vérifier les prestataires qui traitent vos données
C'est ce socle qu'il faut d'abord maîtriser.
Pas besoin de multiplier les documents si personne dans l'entreprise ne sait ensuite pourquoi ils existent.
Ce qu'il vaut mieux éviter
❌ Copier une politique de confidentialité trouvée sur un autre site.
❌ Conserver toutes les données « au cas où ».
❌ Donner les mêmes accès à tout le monde.
❌ Oublier les logiciels et prestataires utilisés par l'entreprise.
❌ Penser que le RGPD concerne uniquement le site internet.
❌ Créer un registre énorme qui ne correspond pas au fonctionnement réel de l'entreprise.
❌ Traiter le RGPD comme un document à faire une fois pour toutes.
Le registre et les pratiques doivent évoluer avec l'entreprise et ses traitements.
La méthode GOVVA : faire simple, mais faire réellement
Pour une TPE du bâtiment, une démarche RGPD efficace peut suivre quatre étapes :
IDENTIFIER → TRIER → ORGANISER → MAINTENIR
L'objectif n'est pas d'empiler les documents.
C'est de savoir quelles données l'entreprise possède, pourquoi elle les utilise, qui peut y accéder et combien de temps elle les conserve.
C'est cette vision concrète qui permet ensuite de corriger les vrais points faibles.
Et si votre entreprise grandit ?
Le RGPD ne doit pas être traité uniquement lorsqu'un problème apparaît.
Nouveau logiciel, recrutement, développement commercial, site internet, CRM, sous-traitance, activité de prospection…
Chaque évolution de l'entreprise peut modifier la manière dont les données sont collectées ou utilisées.
C'est donc un sujet à intégrer progressivement dans le fonctionnement de l'entreprise, au même titre que les contrats, la facturation ou la trésorerie.
Le bon réflexe
À chaque nouvelle étape, posez-vous trois questions :
Quelles nouvelles données vais-je collecter ?Pourquoi ?Qu'est-ce que cela change dans mon organisation ?
En résumé
Pour une TPE du bâtiment, le RGPD n'a pas vocation à devenir un chantier permanent.
Il s'agit surtout de mettre en place un cadre simple, proportionné et réellement appliqué.
Identifier les données.Limiter ce qui est collecté.Informer les personnes.Organiser les durées de conservation.Sécuriser les accès.Encadrer les prestataires.Et mettre à jour le dispositif lorsque l'entreprise évolue.
Le bon RGPD, ce n'est pas celui qui produit le plus de documents.C'est celui qui correspond réellement à l'entreprise.
Besoin de faire le point ?
Vous ne savez pas où votre entreprise en est réellement ?
Le Check-up GOVVA permet de faire un premier état des lieux de vos pratiques et d'identifier les points à traiter en priorité.
Pour une analyse plus globale de l'organisation de votre entreprise, le Bilan stratégique permet ensuite de prendre du recul sur les sujets qui peuvent freiner ou fragiliser votre développement.
À lire ensuite
À propos de cet article
Cet article présente des repères généraux destinés aux dirigeants de TPE du bâtiment. Il ne constitue pas une consultation juridique personnalisée. Les obligations applicables peuvent varier selon l'activité, les données traitées, l'organisation de l'entreprise et les outils utilisés.
Léa Cieslak
GOVVA - L'Atelier Juridique
Stratégie, organisation et prévention des risques pour les dirigeants de TPE/PME.
Commentaires