Vous avez signé votre premier client, vous avez encaissé un acompte, et vous vous dites que le plus dur est fait. Sauf que ce client vient de vous confier son nom, son adresse, son numéro de téléphone et parfois sa carte bancaire. Et là, une question désagréable arrive : où est-ce que tout ça est stocké, exactement ?
J'ai lancé ma première structure à deux, sans DPO, sans RSSI, sans budget informatique. Le fichier clients vivait dans un tableur partagé par lien public. Quand je repense à ça, j'ai envie de me cacher sous mon bureau. Voilà pourquoi je vais vous raconter ce qui marche réellement quand on a moins de 5 000 € en trésorerie et aucune équipe technique.
Points clés à retenir
- Le RGPD ne prévoit pas d'exception pour les petites structures : vous êtes responsable de traitement dès le premier fichier client.
- Cinq mesures à coût quasi nul couvrent l'essentiel du risque réel : MFA, sauvegardes 3-2-1, gestion des accès, chiffrement des portables, registre des traitements.
- Une attaque coûte plus cher qu'une parade : la facture typique pour une TPE dépasse largement le budget annuel d'outils qu'elle aurait dû payer.
- Le vrai danger n'est pas le hacker génial, c'est le lien de partage oublié et le portable volé.
- La CNIL ne cherche pas à sanctionner une jeune pousse de bonne foi ; elle sanctionne l'absence de démarche documentée.
Sécuriser les données clients en jeune entreprise : par quoi commencer vraiment
La première erreur que j'ai commise : vouloir tout faire. J'ai ouvert une comparaison de quinze outils de cybersécurité, j'ai lu trois guides de l'ANSSI, et au bout de deux semaines je n'avais rien installé. Paralysie totale.
Le bon réflexe est inverse. Il faut accepter de laisser 80 % des failles théoriques de côté et colmater les deux ou trois trous par lesquels on passe réellement quand on est une petite structure.
Le véritable profil de risque d'une structure naissante
Les attaques sophistiquées existent, mais elles visent rarement une société de quatre personnes. Ce qui arrive concrètement, dans l'ordre de fréquence :
- Un ordinateur portable volé dans un train, avec la base clients en clair dessus.
- Un lien Google Drive « accessible à tous ceux qui ont le lien » qui traîne dans une conversation WhatsApp.
- Un mot de passe réutilisé, retrouvé dans un dump public, qui donne accès à votre boîte mail pro et donc à toutes vos réinitialisations de comptes.
- Un stagiaire parti avec ses accès encore actifs trois mois après son départ.
Vous remarquez ? Aucun de ces scénarios ne demande un attaquant de génie. Tous demandent juste de l'inattention. Et tous se règlent avec des mesures gratuites.
Combien coûte une fuite de données, concrètement ?
Les chiffres qui circulent font peur, et c'est un peu le but. Retenez surtout un ordre de grandeur : une cyberattaque sérieuse coûte à une petite entreprise l'équivalent de plusieurs mois de chiffre d'affaires, entre la perte d'exploitation, les frais de remise en état et la confiance client qui s'évapore.
Pour une jeune structure, le coût réel n'est même pas là. Il est dans le client qui apprend l'incident et qui résilie. J'ai perdu un contrat de 14 000 € comme ça, il y a quelques années, après un simple fichier Excel envoyé à la mauvaise adresse. Pas de hacker. Juste une faute de frappe dans l'autocomplétion.
Vos obligations RGPD quand vous n'avez ni DPO ni juriste
Beaucoup de fondateurs pensent que le RGPD, c'est pour les grandes boîtes. C'est faux, et c'est même une des rares choses sur lesquelles l'Union européenne n'a pas prévu de seuil de taille. Dès que vous traitez le nom d'un client, vous êtes responsable de traitement.
Ce que la CNIL attend vraiment de vous
La CNIL ne débarque pas avec un audit complet chez une entreprise de trois salariés. Ce qu'elle vérifie, quand une plainte arrive, c'est si vous avez fait l'effort minimum. Dans la pratique, cet effort tient en quatre documents :
- Un registre des traitements : un tableau listant quelles données vous collectez, pourquoi, combien de temps vous les gardez.
- Une politique de confidentialité lisible sur votre site.
- Une procédure de suppression : quand un client demande l'effacement, savez-vous où sont ses données ?
- La liste de vos sous-traitants (hébergeur, outil de mailing, comptable), avec une trace de leur engagement de conformité.
Ce registre, je l'ai rédigé en une après-midi sur un Google Sheet. Il n'a rien d'académique, il est même un peu bancal, mais il existe. C'est ça qui change tout en cas de contrôle.
Combien de temps garder les données de vos clients ?
Question qu'on me pose souvent, et la réponse n'est pas unique. Pour la prospection non aboutie, comptez trois ans à partir du dernier contact. Pour un client actif, la durée de la relation commerciale, plus la période de garantie. Pour les pièces comptables, dix ans, parce que le droit fiscal l'exige.
Le piège classique : tout garder « au cas où ». Un fichier de 12 000 contacts dont 9 000 sont morts depuis quatre ans, c'est une bombe à retardement inutile. Supprimez. Vraiment.
Le plan d'action à budget quasi nul
Voici les cinq actions que je fais poser en priorité, dans cet ordre, chez toute structure qui démarre. Comptez une journée de travail pour les quatre premières.
1. Activez la double authentification partout
La mesure la plus rentable qui existe. Elle bloque la grande majorité des compromissions de compte, y compris quand le mot de passe a fuité. Sur votre messagerie pro, votre banque, votre outil de facturation, votre compte hébergeur, votre compte Google. Partout, sans exception.
Mon erreur de débutant : je l'avais activée sur Gmail mais pas sur le compte administrateur de mon hébergeur. C'est par là qu'on entre.
2. Mettez en place la règle 3-2-1 pour les sauvegardes
Trois copies de vos données, sur deux supports différents, dont une hors site. En pratique : le disque de votre machine, un disque externe, et une sauvegarde cloud. Le rançongiciel reste la première menace pour les petites structures, et la seule défense vraiment fiable, c'est une sauvegarde récente et testée.
Testée. J'insiste. Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est un espoir. J'ai découvert un jour que la mienne était corrompue depuis six semaines.
3. Serrez la gestion des accès
Un principe simple : chaque personne n'accède qu'à ce dont elle a besoin pour travailler. Votre alternante en marketing n'a aucune raison de voir les coordonnées bancaires des clients. Un mot de passe partagé dans un fichier texte n'est pas un système d'accès, c'est une fuite programmée.
Passez par un gestionnaire de mots de passe d'équipe (il en existe des gratuits jusqu'à quelques utilisateurs) et tenez une liste des accès avec une date de départ prévue. Le jour où quelqu'un part, vous coupez tout le même jour.
4. Chiffrez les portables et les téléphones
Gratuit sur macOS, sur Windows avec BitLocker, sur iOS et Android par défaut. Deux clics. Et ça transforme un vol de matériel en simple incident matériel au lieu d'une violation de données à notifier.
5. Tenez le registre et vérifiez vos sous-traitants
Hébergeur, outil de newsletter, plateforme de paiement : tous manipulent des données de vos clients. Vérifiez qu'ils sont conformes au RGPD, et gardez une trace écrite de leurs engagements. Si l'un d'eux est basé hors d'Europe, assurez-vous que le transfert est encadré.
Ce que vous payez vraiment selon la solution retenue
Pour visualiser l'arbitrage, voici comment se comparent les grandes familles de solutions, du plus artisanal au plus outillé. Les montants sont des ordres de grandeur constatés sur le marché européen.
| Approche | Coût mensuel indicatif | Ce que ça couvre | Ce que ça laisse béant |
|---|---|---|---|
| Tableur + disque externe | 0 € | Rien de solide | Tout : accès, partage, sauvegarde |
| Suite collaborative pro + MFA | 5 à 15 € par utilisateur | Authentification, partage contrôlé, versionnage | Chiffrement des postes, registre RGPD |
| Suite + gestionnaire de mots de passe | 10 à 25 € par utilisateur | Accès nominatifs, rotation des secrets | Sauvegarde hors site |
| Suite + sauvegarde cloud + registre | 25 à 50 € par utilisateur | L'essentiel du risque réel d'une TPE | Détection d'intrusion avancée (pas nécessaire à ce stade) |
Ma conviction, et je l'assume : en dessous de dix personnes, la dernière ligne du tableau suffit. Investir dans une solution de détection avancée avant d'avoir un registre des traitements à jour, c'est mettre un antivol à 400 € sur une porte sans serrure.
Les erreurs que j'ai vues coûter cher (dont les miennes)
Un jour, un client m'a demandé où étaient hébergées ses données. J'ai mis vingt minutes à retrouver la réponse, parce que l'outil avait changé de sous-traitant sans que personne ne le note. Ça n'a pas fait de fuite, mais ça a entamé sa confiance.
Trois autres classiques, tous évitables :
- Croire que le fournisseur s'occupe de tout. Il sécurise son infrastructure, pas votre usage. Le lien de partage public, c'est vous qui le créez.
- Attendre d'avoir « assez de clients » pour se pencher dessus. Le moment où il y a beaucoup à perdre est justement le moment où il est trop tard pour rattraper.
- Confondre sauvegarde et archivage. Une corbeille de messagerie n'est pas une stratégie de conservation.
Et un dernier, plus pernicieux : documenter dans sa tête. La mémoire d'un fondateur est un piège. Si la procédure n'est écrite nulle part, elle n'existe pas.
Et si ça arrive quand même ?
Vous ne serez jamais à l'abri. La bonne question n'est donc pas « comment éviter », mais « que fait-on dans les premières heures ». Avoir une réponse claire change tout, parce que le RGPD impose de notifier une violation à la CNIL dans les 72 heures lorsqu'elle présente un risque pour les personnes concernées.
Concrètement : couper l'accès compromis, isoler la machine, prévenir votre hébergeur, évaluer ce qui a fuité et pour qui, puis décider de la notification. Ce petit protocole, écrit sur une page, m'a évité une panique monumentale la fois où un compte a été compromis.
La sécurité des données clients, en jeune entreprise, ce n'est pas un chantier technique. C'est une discipline de tous les jours, faite de gestes gratuits et de documents un peu ennuyeux. Ceux qui la tiennent tôt se retrouvent, trois ans plus tard, à répondre sereinement à un appel d'offres qui exige une preuve de conformité quand les autres bricolent encore une réponse la veille.
La vraie question n'est peut-être pas de savoir si vous êtes prêt à investir dans la cybersécurité. C'est de savoir si le prochain client qui vous demandera « et mes données, elles sont où ? » mérite une réponse hésitante.
