Le RGPD aux Antilles : même règlement, mêmes obligations, mêmes sanctions
Le RGPD ne connaît pas de frontières départementales. Que votre PME soit à Baie-Mahault, à Fort-de-France ou à Cayenne, les règles sont strictement identiques à celles qui s’appliquent à Paris ou à Lyon.
Pourtant, en 2026, la majorité des PME antillaises n’ont toujours pas fait le travail. Pas par mauvaise volonté — par manque de temps, de ressources, et souvent par l’impression que « ça ne concerne que les grands groupes ».
C’est faux. La CNIL a sanctionné 87 organismes en 2025, dont des structures de moins de 10 salariés. Les amendes commencent à 5 000 € pour un manquement simple, mais le vrai coût d’une non-conformité en Guadeloupe, c’est la perte de marchés publics et de contrats B2B où la clause RGPD est devenue un prérequis.
Ce guide couvre tout ce dont une PME a besoin pour se mettre en conformité, avec des modèles gratuits et une checklist téléchargeable.
À qui s’adresse ce guide ?
- PME de 1 à 250 salariés basées en Guadeloupe, Martinique ou Guyane
- Gérants, dirigeants, responsables administratifs
- Prestataires IT accompagnant leurs clients sur la conformité
Ce que vous allez obtenir : une checklist de conformité en 7 étapes, un modèle de registre des traitements pré-rempli, un modèle de politique de confidentialité adapté au e-commerce, et les contacts CNIL.
Les 7 étapes de la mise en conformité RGPD
Étape 1 — Nommer un référent données personnelles
Vous n’avez probablement pas besoin d’un DPO (Délégué à la Protection des Données). L’obligation ne concerne que les entreprises dont l’activité principale implique un suivi systématique à grande échelle, ou qui traitent des données sensibles.
Pour une PME classique — commerce, services, BTP, restauration — un référent interne suffit. C’est la personne qui sait où est le registre des traitements, qui répond aux demandes d’exercice de droits, et qui coordonne la réaction en cas d’incident.
En pratique : désignez le gérant ou le responsable administratif. Formalisez-le dans une note interne d’une page. Pas besoin de déclaration à la CNIL.
Étape 2 — Cartographier vos traitements de données
Avant de protéger quoi que ce soit, il faut savoir ce que vous collectez. C’est l’objet du registre des traitements — le document central de votre conformité.
Traitements courants dans une PME guadeloupéenne :
| Traitement | Données | Base légale | Durée |
|---|---|---|---|
| Fichier clients | Nom, email, tél, adresse, historique achats | Contrat | 3 ans après dernière commande |
| Paie et RH | Identité, SIRET, RIB, bulletins | Obligation légale | 5 ans après départ |
| Site web (formulaire contact) | Nom, email, message | Consentement | 1 an |
| Newsletter | Email, prénom | Consentement | Jusqu’au désabonnement |
| Vidéo-surveillance | Images | Intérêt légitime | 30 jours max |
| Comptabilité | Nom, adresse, factures | Obligation légale | 10 ans |
| E-commerce (WooCommerce) | Nom, adresse, email, commandes, paiement | Contrat | 3 ans inactif |
| Candidatures (CV reçus) | Identité, parcours, compétences | Consentement | 2 ans max |
Les oublis fréquents aux Antilles : le fichier Excel des « bons clients » sur le poste du commercial, le groupe WhatsApp avec les numéros des fournisseurs, les CV reçus par email et jamais supprimés, les photos d’équipe publiées sur Facebook sans consentement écrit, la caméra de surveillance sans affichage réglementaire.
Modèle fourni : le registre CNIL officiel (tableur) est disponible sur cnil.fr/registre. Comptez 2 à 3 heures pour le remplir.
Étape 3 — Rédiger vos mentions légales et votre politique de confidentialité
Deux documents obligatoires sur votre site web :
Les mentions légales (article 6 LCEN) : raison sociale, forme juridique, capital, adresse du siège, SIRET / RCS Pointe-à-Pitre, directeur de publication, hébergeur.
La politique de confidentialité (articles 13 et 14 RGPD) : identité du responsable de traitement, finalités et bases légales, catégories de données, destinataires (sous-traitants inclus), transferts hors UE, durées de conservation, droits des personnes, coordonnées du référent données.
Point critique pour le e-commerce : chaque formulaire (commande, inscription, contact, avis) doit afficher un lien vers la politique de confidentialité et indiquer la finalité spécifique du traitement.
Étape 4 — Mettre en conformité votre site web (cookies et traceurs)
Si votre site utilise Google Analytics, un pixel Facebook, un chat en ligne, ou tout traceur non strictement nécessaire au fonctionnement, vous devez :
- Afficher un bandeau cookies au premier chargement — boutons « Accepter » et « Refuser » de même taille et même visibilité, pas de case pré-cochée, pas de « mur de cookies »
- Ne charger aucun traceur avant le consentement — GA4, Facebook Pixel, Hotjar : bloqués par défaut
- Permettre le retrait du consentement à tout moment — lien « Gérer mes cookies » visible en pied de page
- Conserver la preuve du consentement — date, heure, choix, durée de validité 13 mois max
Pour WordPress / WooCommerce : utilisez Complianz, CookieYes ou WP Consent API (gratuits). Combiné avec Google Site Kit, le tracking GA4 ne se charge que si le visiteur accepte.
Étape 5 — Sécuriser les données personnelles
Le RGPD impose des « mesures techniques et organisationnelles appropriées ». En clair : vous devez pouvoir prouver que vous faites le nécessaire pour éviter les fuites.
| Mesure | Comment | Coût |
|---|---|---|
| Mots de passe forts | 12+ caractères, gestionnaire (Bitwarden gratuit) | 0 € |
| Double authentification | 2FA sur email, banque, admin site, cloud | 0 € |
| Antivirus professionnel | Windows Defender (inclus) ou Bitdefender | 0-40 €/an |
| Sauvegarde 3-2-1 | NAS local + cloud (Backblaze 7 €/mois) | ~84 €/an |
| Chiffrement portables | BitLocker (Windows Pro) ou FileVault (Mac) | 0 € |
| Accès restreints | Chaque employé n’accède qu’à ce qui le concerne | 0 € |
| Mises à jour | OS + logiciels + CMS à jour sous 30 jours | 0 € |
| WiFi sécurisé | WPA3, réseau invité séparé | 0 € |
Coût total sécurité de base : moins de 100 €/an. L’argument « c’est trop cher » ne tient pas.
Pour aller plus loin : consultez notre guide cybersécurité entreprise, notre article sur les mots de passe et la double authentification, et notre guide sauvegarde cloud pour PME.
Étape 6 — Gérer les droits des personnes
Toute personne dont vous détenez les données peut exercer ses droits : accès (« Quelles données avez-vous sur moi ? »), rectification, suppression (sauf obligations légales), portabilité, opposition (marketing).
Procédure à mettre en place :
- Adresse email dédiée (ex. donnees@votre-entreprise.gp ou rgpd@votre-entreprise.gp)
- Vérifier l’identité du demandeur (pièce d’identité si doute)
- Répondre sous 1 mois maximum (prolongeable une fois de 2 mois si complexe)
- Tracer chaque demande dans un registre (date, nature, réponse)
Étape 7 — Préparer la procédure de notification de violation
Si des données personnelles sont volées, perdues ou fuitent accidentellement, vous devez prévenir la CNIL sous 72 heures via notifications.cnil.fr, prévenir les personnes concernées si le risque est élevé, et documenter l’incident dans un registre des violations.
| Étape | Action | Responsable |
|---|---|---|
| 1 | Détecter et isoler (déconnecter le poste/serveur compromis) | Tout employé → référent |
| 2 | Évaluer : quelles données, combien de personnes, quel risque | Référent + prestataire IT |
| 3 | Déclarer à la CNIL si risque pour les personnes | Référent |
| 4 | Notifier les personnes si risque élevé | Direction |
| 5 | Corriger la faille et documenter | Prestataire IT |
| 6 | Mettre à jour le registre des violations | Référent |
Checklist de conformité RGPD — PME Guadeloupe
| # | Action |
|---|---|
| 1 | Référent données personnelles désigné |
| 2 | Registre des traitements rempli (modèle CNIL) |
| 3 | Mentions légales à jour sur le site web |
| 4 | Politique de confidentialité publiée et liée aux formulaires |
| 5 | Bandeau cookies conforme (Accepter/Refuser, pas de pré-chargement) |
| 6 | Traceurs bloqués avant consentement (GA4, Pixel FB) |
| 7 | Lien « Gérer mes cookies » en pied de page |
| 8 | Mots de passe forts + 2FA sur les comptes sensibles |
| 9 | Sauvegardes chiffrées (règle 3-2-1) |
| 10 | Portables professionnels chiffrés (BitLocker/FileVault) |
| 11 | Accès restreints par employé |
| 12 | Adresse email dédiée pour les demandes RGPD |
| 13 | Procédure de réponse aux droits documentée |
| 14 | Fiche réflexe violation de données préparée |
| 15 | Registre des violations créé (même si vide) |
| 16 | Contrats sous-traitants incluent une clause RGPD |
| 17 | Affichage vidéo-surveillance conforme (si applicable) |
| 18 | Consentement newsletter avec double opt-in |
| 19 | CV reçus supprimés après 2 ans |
| 20 | Formation/sensibilisation équipe (même informelle) |
Ressources officielles et contacts
| Ressource | Lien |
|---|---|
| CNIL — site officiel | cnil.fr |
| Modèle registre des traitements | cnil.fr/registre |
| Générateur de mentions légales | cnil.fr/mentions-legales |
| Déclaration violation de données | notifications.cnil.fr |
| Guide CNIL pour les TPE-PME | cnil.fr/tpe-pme |
Contact CNIL : Téléphone 01 53 73 22 22 — Formulaire en ligne cnil.fr/plaintes — Pas de permanence locale en Guadeloupe (à date de rédaction).
Questions fréquentes
Mon entreprise a moins de 5 salariés, suis-je concerné ?
Oui. Le RGPD s’applique dès le premier traitement de données personnelles, quel que soit l’effectif. Un auto-entrepreneur avec un fichier clients Excel est concerné.
Mon site est hébergé en métropole, ça change quelque chose ?
Non. Ce qui compte, c’est le lieu d’établissement de l’entreprise responsable du traitement (vous, en Guadeloupe), pas le lieu d’hébergement du site.
J’utilise Google Analytics — c’est légal ?
Oui, depuis la décision CNIL de juin 2023, GA4 est conforme si le consentement est recueilli avant le chargement du script et si les données sont hébergées dans l’UE. Utilisez le Consent Mode pour bloquer le tracking avant acceptation.
Un client me demande de supprimer ses données, mais j’ai des factures à conserver ?
Vous supprimez les données marketing et commerciales, mais vous conservez les documents comptables (factures, bons de commande) pendant 10 ans — c’est une obligation légale qui prime sur le droit à la suppression.
La CNIL contrôle-t-elle vraiment les PME aux Antilles ?
Oui. Les contrôles sont moins fréquents qu’en métropole, mais ils existent, notamment suite à des plaintes de clients ou de salariés. Le risque principal n’est pas l’amende — c’est la perte de marchés publics où la clause RGPD est devenue un prérequis dans les appels d’offres.
Combien de temps ça prend pour une PME de 15 personnes ?
Comptez 1 à 2 jours de travail répartis sur une semaine : registre (3h), mentions légales et politique de confidentialité (2h), cookies (1h), sécurité (2h), procédures internes (2h). Après la mise en place initiale, l’entretien annuel prend 2 à 3 heures.
Votre conformité, maintenant
Vingt actions, deux jours de travail, zéro budget. La conformité RGPD pour une PME guadeloupéenne n’est ni complexe ni coûteuse — c’est une question de méthode.
- Lire nos guides cybersécurité → Cybersécurité entreprise Guadeloupe
- Sécuriser vos accès → Guide mots de passe et 2FA
- Sauvegarder vos données → Sauvegarde cloud PME Antilles
- Nous contacter pour un accompagnement → +590 590 83 06 18
BMB Stratégie Informatique — Coupole Grand-Camp, Les Abymes, Guadeloupe
La conformité RGPD, c’est 20 actions et 2 jours. Pas 6 mois et 10 000 €.