Guide RGPD : comment se mettre en conformité ?

Qu'est-ce que le RGPD, concrètement ?

Le Règlement général sur la protection des données est le texte de référence européen en matière de vie privée, applicable depuis le 25 mai 2018. Il encadre le « traitement » — c'est-à-dire toute opération : collecte, enregistrement, consultation, modification, conservation, transmission, effacement — de « données personnelles », entendues très largement comme toute information se rapportant à une personne physique identifiée ou identifiable.

Cette notion de donnée personnelle est plus vaste qu'on ne le croit : au-delà du nom et de l'e-mail, elle inclut une adresse IP, un identifiant client, un numéro de téléphone, une plaque d'immatriculation, une donnée de géolocalisation, une photo, ou encore un cookie publicitaire. Certaines catégories dites « sensibles » (santé, opinions, appartenance syndicale, données biométriques, orientation, etc.) bénéficient d'une protection renforcée et sont en principe interdites de traitement, sauf exceptions strictes.

Le RGPD distingue deux rôles centraux. Le responsable de traitement décide des finalités et des moyens : c'est le donneur d'ordre. Le sous-traitant traite pour le compte du responsable : un éditeur SaaS, un prestataire de paie, un hébergeur. Chaque rôle a ses obligations propres, et une même entreprise est souvent responsable pour ses propres données (RH, clients) et sous-traitant pour celles de ses clients.

Les six principes que tout doit respecter

Toute la conformité RGPD découle de six principes fondateurs (article 5). Les comprendre permet de trancher la plupart des situations concrètes sans être juriste.

• Licéité, loyauté, transparence : chaque traitement repose sur une base légale valable et les personnes sont informées clairement.
• Limitation des finalités : les données sont collectées pour un but déterminé et ne sont pas réutilisées de façon incompatible.
• Minimisation : on ne collecte que les données strictement nécessaires à la finalité.
• Exactitude : les données sont tenues à jour et les erreurs corrigées.
• Limitation de la conservation : les données ne sont pas gardées indéfiniment, mais pour une durée justifiée.
• Intégrité et confidentialité : les données sont protégées par des mesures de sécurité appropriées.

À ces six principes s'ajoute le septième, transversal : l'accountability. Vous devez pouvoir démontrer, preuves à l'appui, que vous respectez les six autres. C'est ce principe qui rend la documentation (registre, AIPD, politiques, procédures) non pas optionnelle mais constitutive de la conformité elle-même.

Qui est concerné ?

Toutes les organisations sont concernées, du cabinet indépendant au grand groupe, dès qu'elles traitent des données de personnes dans l'UE. Il n'existe pas de seuil d'exemption général : la taille module certaines obligations documentaires, mais ne dispense jamais du respect des principes.

Le RGPD a par ailleurs une portée extraterritoriale. Une entreprise établie hors UE y est soumise dès qu'elle offre des biens ou services à des personnes dans l'Union, ou qu'elle suit leur comportement (analytics, publicité ciblée). En France, l'autorité de contrôle est la CNIL, qui coopère avec ses homologues européens via le Comité européen de la protection des données.

• TPE et PME : aucune exemption de fond ; l'allègement du registre sous 250 salariés ne joue quasiment jamais en pratique (traitements réguliers, sensibles ou à risque).
• Secteurs sensibles (santé, RH, finance, éducation, transport) : vigilance renforcée sur les données sensibles, les durées et la sécurité.
• Associations et collectivités : pleinement concernées, souvent avec un DPO obligatoire.
• Acteurs hors UE ciblant des Européens : soumis au RGPD et devant parfois désigner un représentant dans l'Union.

Les documents qui prouvent votre conformité

L'accountability se matérialise par un socle documentaire. Ces documents ne sont pas des formalités : ce sont les preuves qui vous protègent en cas de contrôle, de litige ou de demande client exigeante. Voici le socle minimal à constituer et à maintenir.

En cas de contrôle, la CNIL réclame d'abord le registre : son absence signale immédiatement une conformité défaillante.

Quelles sanctions en cas de non-conformité ?

Le RGPD prévoit un système à deux plafonds, appliqués selon la gravité et le type de manquement. Au-delà des amendes, les mesures correctrices et le risque réputationnel pèsent souvent davantage, en particulier en B2B où la conformité est devenue un critère d'achat.

La CNIL peut aussi prononcer des amendes proportionnées pour les petites structures et privilégier l'accompagnement, mais un manquement grave ou persistant reste lourdement sanctionné.

Comment se mettre en conformité : la feuille de route en 10 étapes

Cette feuille de route transforme une obligation floue en plan d'action séquencé. Chaque étape produit un livrable documenté et opposable. Vous pouvez la dérouler dans l'ordre, ou attaquer en priorité les étapes 1, 3, 5 et 8, qui couvrent l'essentiel du risque.

Étape 1 — Cartographier vos traitements

Tout commence par un inventaire. Recensez l'ensemble des traitements de données : RH (paie, recrutement, badges), clients, prospects, fournisseurs, vidéosurveillance, cookies et analytics, newsletters, outils SaaS. Pour chacun, notez la finalité, les catégories de données et de personnes concernées, les destinataires, les durées de conservation et les éventuels transferts hors UE.

Cette cartographie n'est pas un exercice théorique : c'est elle qui alimente votre registre et révèle vos risques. Une donnée que vous ne savez pas que vous détenez est une donnée que vous ne pouvez ni sécuriser, ni effacer, ni justifier.

• Interrogez chaque service (marketing, RH, IT, comptabilité, direction).
• Listez tous les outils tiers et où sont hébergées leurs données.
• Repérez les traitements sensibles et ceux impliquant des mineurs.

Étape 2 — Désigner un pilote (DPO ou référent)

Nommez un responsable de la conformité. Le délégué à la protection des données (DPO) est obligatoire pour les autorités publiques, pour le suivi régulier et à grande échelle de personnes, et pour le traitement à grande échelle de données sensibles. Ailleurs, un référent conformité est vivement recommandé.

Ce pilote orchestre la démarche, forme les équipes, arbitre les nouveaux traitements et dialogue avec la CNIL. Il peut être interne ou externalisé — une option prisée des PME qui veulent une expertise senior sans créer de poste dédié.

• Vérifiez si le DPO est obligatoire pour votre activité.
• Garantissez au pilote indépendance, moyens et rattachement à la direction.
• Déclarez le DPO à la CNIL lorsqu'il est désigné.

Étape 3 — Sécuriser les bases légales

Chaque traitement doit reposer sur l'une des six bases légales du RGPD : consentement, exécution d'un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public, ou intérêt légitime. Le choix n'est pas libre : il dépend de la finalité et engage des conséquences (le consentement est révocable, l'intérêt légitime suppose une mise en balance documentée).

C'est l'un des points les plus mal maîtrisés. Empiler des cases pré-cochées, confondre consentement et intérêt légitime, ou invoquer une base inadaptée fragilise l'ensemble du traitement et expose au plafond de sanction le plus élevé.

• Attribuez et documentez une base légale par traitement.
• Pour le consentement : recueil libre, éclairé, spécifique, univoque et révocable.
• Pour l'intérêt légitime : réalisez et conservez la mise en balance.

Étape 4 — Informer les personnes

La transparence est une obligation : les personnes doivent savoir qui traite leurs données, pourquoi, sur quelle base, pendant combien de temps, avec qui elles sont partagées et quels sont leurs droits. Cette information se matérialise dans une politique de confidentialité et des mentions adaptées à chaque point de collecte (formulaire, contrat, e-mailing, caméra).

L'information doit être concise, claire et accessible : une politique copiée-collée qui ne reflète pas vos traitements réels est à la fois inutile et risquée. Adaptez le niveau de détail au contexte et renvoyez vers une information complète.

• Rédigez une politique de confidentialité fidèle à votre registre.
• Ajoutez des mentions courtes à chaque formulaire et parcours.
• Prévoyez une information spécifique et renforcée pour les mineurs.

Étape 5 — Tenir et maintenir le registre

Le registre des activités de traitement est le cœur de l'accountability. Il consigne, pour chaque traitement, les informations exigées par l'article 30. C'est le premier document réclamé par la CNIL en cas de contrôle, et l'outil de pilotage qui rend visibles vos zones de risque.

Un registre n'a de valeur que s'il vit : chaque nouveau traitement, chaque nouvel outil, chaque évolution s'y reporte. Un registre figé perd sa force probante et donne le signal d'une conformité de façade.

• Tenez, si besoin, un registre « responsable » et un registre « sous-traitant ».
• Reliez chaque fiche à sa base légale, ses durées et ses mesures de sécurité.
• Instaurez un réflexe : pas de nouveau traitement sans entrée au registre.

Étape 6 — Organiser l'exercice des droits

Les personnes disposent de droits puissants : accès, rectification, effacement, limitation, opposition, portabilité, et droit de ne pas faire l'objet d'une décision entièrement automatisée. Vous devez pouvoir répondre à chaque demande, gratuitement en principe, dans un délai d'un mois (prolongeable à trois pour les demandes complexes).

Sans procédure, ces demandes se perdent, dépassent les délais et deviennent des motifs de plainte. Mettez en place un canal identifié — idéalement un formulaire dédié poussé en pied de vos e-mails et sur votre site — et un circuit interne clair pour vérifier l'identité, tracer la demande et répondre à temps.

• Créez un point d'entrée unique pour les demandes de droits.
• Formalisez un circuit : réception, vérification d'identité, traitement, réponse.
• Tenez un journal des demandes et des réponses apportées.

Étape 7 — Évaluer et réduire les risques (AIPD)

Pour les traitements susceptibles d'engendrer un risque élevé — profilage, surveillance systématique, données sensibles à grande échelle, décisions automatisées — le RGPD impose une analyse d'impact (AIPD). Elle décrit le traitement, en vérifie la nécessité et la proportionnalité, apprécie les risques pour les personnes et définit les mesures qui les réduisent.

L'AIPD doit être menée avant la mise en œuvre du traitement, associer le DPO, et être révisée en cas d'évolution. Si le risque résiduel reste élevé malgré les mesures, la CNIL doit être consultée au préalable.

• Identifiez les traitements soumis à AIPD via les critères et listes de la CNIL.
• Documentez risques, mesures et risque résiduel.
• Révisez l'AIPD à chaque changement significatif.

Étape 8 — Renforcer la sécurité technique et organisationnelle

La sécurité n'est pas une option : c'est un principe (intégrité et confidentialité) et une obligation (article 32). Les mesures doivent être proportionnées au risque : chiffrement, gestion fine des accès, authentification renforcée, sauvegardes testées, journalisation, cloisonnement, mises à jour et sensibilisation des équipes.

Préparez également l'imprévu : une procédure de gestion des violations de données permettant de détecter, qualifier et, si nécessaire, notifier la CNIL sous 72 heures et informer les personnes en cas de risque élevé. Improviser cette réponse est impossible dans l'urgence.

• Déployez chiffrement, contrôle d'accès et MFA sur les accès sensibles.
• Testez régulièrement vos sauvegardes et votre restauration.
• Rédigez et testez la procédure de notification de violation (72 h).

Étape 9 — Maîtriser les sous-traitants et les transferts

Vos prestataires manipulent souvent vos données : ils doivent être encadrés par des clauses conformes à l'article 28 (finalités, sécurité, confidentialité, sous-traitance ultérieure, sort des données en fin de contrat). Recensez-les, évaluez leurs garanties et intégrez ces clauses systématiquement.

Vérifiez aussi la localisation des données. Dès qu'un flux quitte l'UE — cloud américain, support à l'étranger, filiale hors Union — vous réalisez un transfert soumis à un mécanisme valable (décision d'adéquation, clauses contractuelles types, Data Privacy Framework) et, souvent, à une analyse d'impact du transfert.

• Cartographiez vos sous-traitants et vos flux internationaux.
• Signez des clauses de sous-traitance conformes avec chacun.
• Sécurisez chaque transfert hors UE par un mécanisme adapté.

Étape 10 — Ancrer la culture et améliorer en continu

La conformité échoue quand elle reste l'affaire d'une seule personne. Elle réussit quand elle devient un réflexe partagé : les équipes marketing pensent base légale avant une campagne, les RH pensent durée de conservation, l'IT pense sécurité by design. La formation et la sensibilisation régulières sont donc décisives.

Enfin, la conformité se pilote : audits internes, revue périodique du registre, suivi des incidents et des demandes, indicateurs. Un score de conformité, réévalué dans le temps, matérialise la progression et maintient la dynamique.

• Formez et sensibilisez toutes les fonctions exposées, pas seulement l'IT.
• Auditez périodiquement registre, contrats et procédures.
• Suivez un indicateur de maturité pour piloter les priorités.

Les erreurs fréquentes à éviter

• Considérer la conformité comme un projet ponctuel : c'est un processus continu qui doit vivre au rythme de l'entreprise.
• Copier-coller une politique de confidentialité générique sans refléter ses traitements réels.
• Oublier les sous-traitants et les transferts hors UE, sources fréquentes de contrôles et de sanctions.
• Confondre consentement et intérêt légitime, ou empiler des cases pré-cochées non valides.
• Négliger la preuve : sans documentation, une organisation même conforme reste juridiquement exposée.
• Réagir dans l'urgence à une violation sans procédure préparée, et manquer le délai de 72 heures.
• Réduire le RGPD à l'IT alors qu'il engage la direction, le marketing, les RH et le juridique.

Comment Data Comply One vous accompagne

Data Comply One centralise toute votre conformité dans une plateforme unique : registre des traitements guidé par des modèles pré-remplis, gestion des demandes de droits via un module et un formulaire d'exercice, suivi des violations, bibliothèque de clauses et d'AIPD, et un score de conformité qui matérialise votre progression étape par étape.

Deux modes s'offrent à vous : gérer votre conformité vous-même avec le logiciel, ou l'externaliser à nos experts — un DPO externalisé référent — qui la pilotent pour vous directement sur la plateforme.

L'e-learning intégré, animé par notre avatar de sensibilisation Daia, embarque vos équipes sans jargon, tandis que votre DPO référent et son suppléant assurent la continuité. Résultat : une conformité vivante, démontrable, et un objectif commun clair — compléter votre Pass Conformité.

Où en êtes-vous ? ·