Se mettre en conformité RGPD, c'est arrêter de voir le règlement comme une contrainte juridique abstraite et le traiter comme un projet d'entreprise avec un pilote, un calendrier et des livrables. Le Règlement Général sur la Protection des Données encadre depuis 2018 la collecte, l'utilisation et la conservation des données personnelles au sein de l'Union européenne, et impose à toute organisation de pouvoir démontrer à tout moment qu'elle traite ces données de façon loyale, sécurisée et limitée à un objectif précis. Cet article déroule la méthode complète, étape par étape, pour un DPO, un RSSI ou un dirigeant de TPE-PME-ETI qui doit lancer ou relancer ce chantier.
Il n'existe pas de certificat final qui clôture le dossier. La conformité RGPD exige une mise à jour constante des procédures, notamment via le principe d'accountability : chaque organisme doit pouvoir prouver, à tout moment, qu'il a mis en œuvre les mesures nécessaires pour limiter les risques liés à ses traitements.
La CNIL n'attend pas le même niveau d'effort d'une association qui gère un fichier adhérents et d'un groupe qui traite des données de santé à grande échelle. L'intensité des mesures à déployer se calibre sur la sensibilité des données, le volume traité et l'impact potentiel sur les personnes concernées.
Le RGPD s'applique à tout organisme établi dans l'Union européenne, ou dont l'activité cible des résidents européens, dès qu'il traite des données personnelles, y compris sur support papier. Aucune taille d'entreprise n'y échappe : une TPE qui gère un fichier client Excel est concernée au même titre qu'une ETI multisite.
Un premier socle de conformité (registre, mentions d'information, sécurisation de base) se construit en général en 2 à 4 mois pour une PME. Un dispositif complet incluant gouvernance DPO, AIPD et contrats sous-traitants demande plutôt 6 à 12 mois, selon le nombre de traitements et la maturité initiale.
Pour une TPE, un accompagnement ponctuel et des outils simples suffisent souvent. Pour une PME ou ETI multi-sites, le budget grimpe avec la complexité : nombre de traitements, sous-traitants à auditer, et éventuel outil de gouvernance, risque et conformité (GRC) à déployer.
La première erreur classique consiste à nommer un DPO avant de savoir ce qu'il devra piloter. La CNIL recommande de démarrer par le recensement précis des traitements de données personnelles pour mesurer l'impact réel du règlement sur l'organisme.
Le registre doit lister, pour chaque traitement, les finalités poursuivies, les catégories de données et de personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité appliquées.
Le responsable de traitement décide des finalités et moyens du traitement ; le sous-traitant agit sur ses instructions. Chacun tient son propre registre, avec un contenu différent : le sous-traitant y consigne les catégories de traitements réalisés pour compte de tiers, pas les finalités métier.
Les pièges qui invalident un registre lors d'un contrôle
Un registre générique copié d'un modèle en ligne, des durées de conservation non justifiées, ou des traitements « oubliés » (vidéosurveillance, badgeuse, cookies) sont les premiers points que relèvent les contrôleurs.
Chaque traitement doit reposer sur l'une des six bases légales : consentement, exécution d'un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public, ou intérêt légitime.
Le consentement doit être libre, spécifique et éclairé, avec un droit de retrait à tout moment ; l'intérêt légitime, lui, s'apprécie au cas par cas en mettant en balance l'intérêt de l'entreprise et les droits de la personne. Beaucoup d'entreprises invoquent le consentement par réflexe alors qu'un autre fondement, plus stable juridiquement, s'appliquerait mieux.
Les durées doivent être proportionnées à la finalité : par exemple 5 ans pour les données de paie, 3 ans sans sollicitation pour un prospect, ou 1 mois pour la vidéosurveillance. Distinguer archivage courant, intermédiaire et définitif permet de justifier chaque durée devant un contrôleur.
Ils vérifient la cohérence entre la finalité déclarée, la base légale choisie et l'usage réel des données. Un décalage entre les trois est l'un des manquements les plus fréquemment sanctionnés.
Elle l'est pour les organismes publics, ceux qui réalisent un suivi régulier et systématique de personnes à grande échelle, ou qui traitent à grande échelle des données sensibles ou pénales. Pour les autres organismes, la désignation reste une bonne pratique fortement recommandée.
Le DPO interne connaît l'organisation mais peut manquer de recul ; le DPO mutualisé se partage entre plusieurs structures ; le DPO externalisé apporte une expertise pointue sans charge salariale fixe. Le choix dépend du volume de traitements et du budget disponible.
Le délégué doit disposer du temps, des ressources humaines et matérielles nécessaires, être associé à toutes les questions de protection des données, ne pas être en conflit d'intérêts, et pouvoir rendre compte directement à la direction sans recevoir d'instruction sur l'exercice de ses missions.
Le DPO conseille, mais ne décide pas seul : chaque service (RH, IT, marketing) doit avoir un référent qui applique les règles au quotidien, avec une chaîne de décision claire en cas d'incident.
Politique de mots de passe robuste, mises à jour régulières, sauvegardes testées, gestion des habilitations et sensibilisation des équipes constituent la base que la CNIL retrouve (ou dont elle relève l'absence) dans la plupart de ses contrôles.
L'anonymisation rend impossible toute réidentification et fait sortir la donnée du champ du RGPD ; la pseudonymisation, elle, reste réversible et les données restent des données personnelles à protéger.
Ces trois leviers techniques réduisent la surface de risque en cas d'intrusion et permettent de prouver, en cas de contrôle, que des mesures proportionnées ont été mises en œuvre.
Dès qu'un incident de sécurité présente un risque pour les droits et libertés des personnes, il doit être notifié à la CNIL dans les 72 heures suivant le moment où l'organisme en a une connaissance suffisamment certaine, et non depuis la survenance de l'incident lui-même, mais depuis sa détection confirmée. Le délai court y compris les week-ends et jours fériés, et une notification partielle avec complément ultérieur reste possible en cas d'investigations en cours.
Hébergeur, plateforme d'emailing, outil de paie externalisé : tout prestataire qui traite des données personnelles pour compte de l'entreprise est un sous-traitant au sens de l'article 28, qui doit lui aussi respecter le RGPD.
Le contrat de sous-traitance (Data Processing Agreement) doit préciser l'objet et la durée du traitement, les obligations de sécurité, les conditions de recours à des sous-traitants ultérieurs et les modalités de restitution ou suppression des données à la fin du contrat.
Tout transfert vers un pays hors Union européenne doit être encadré par un outil juridique adapté, sous peine de constituer un manquement au RGPD.
Les clauses contractuelles types de la Commission européenne, les décisions d'adéquation reconnaissant un niveau de protection équivalent, et le Transfer Impact Assessment (analyse d'impact sur le transfert) sont les trois outils à combiner selon le pays destinataire.
Certaines autorités publiques peuvent exiger la transmission de documents contenant des données personnelles ; ces demandes doivent être vérifiées et documentées avant toute transmission.
Accès, rectification, effacement, portabilité, opposition, limitation, retrait du consentement et droit de définir des directives post-mortem : chaque demande doit être identifiée, tracée et traitée selon son type.
Un délai d'un mois (extensible à trois pour les demandes complexes) s'applique à la plupart des droits. Un circuit interne clair, avec un point d'entrée unique, une vérification d'identité et une réponse formalisée, évite les dépassements de délai, l'un des manquements les plus fréquemment relevés par la CNIL dans ses sanctions simplifiées.
Une demande manifestement infondée ou répétitive peut être refusée ou facturée, à condition de motiver et documenter ce refus.
Une analyse d'impact relative à la protection des données est obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Elle décrit le traitement, évalue sa nécessité et sa proportionnalité, puis identifie les risques et les mesures pour les réduire.
Une sensibilisation générale pour tous les collaborateurs, une formation approfondie pour les équipes qui manipulent des données sensibles, et un accompagnement spécifique pour le DPO et les référents métiers.
Registre, analyses de risques, contrats sous-traitants et procédures internes doivent être réexaminés régulièrement pour rester alignés avec l'évolution de l'activité.
Le contrôle sur place, l'audition sur convocation, le contrôle en ligne et le contrôle sur pièces peuvent chacun être déclenchés par une plainte, un signalement ou une initiative de la CNIL.
Le registre des traitements, les preuves de recueil du consentement ou de la base légale retenue, et les contrats avec les sous-traitants figurent parmi les premiers documents demandés.
En 2024, la CNIL a prononcé 87 sanctions pour un total de 55,2 millions d'euros d'amendes, contre 42 sanctions en 2023, ce qui traduit une nette accélération de son action répressive. En 2025, elle a rendu 259 décisions dont 83 sanctions pour 486,8 millions d'euros cumulés, avec la sécurité insuffisante des données, le défaut de coopération et le non-respect des droits des personnes comme trois principaux motifs de sanction en procédure simplifiée. La surveillance des salariés reste également un axe de contrôle marqué, avec six sanctions sur dix décisions simplifiées récentes portant sur ce sujet.
Coopérer, désigner un interlocuteur unique et documenter chaque échange sont essentiels : le défaut de coopération avec la CNIL est lui-même un motif de sanction distinct, parfois plus lourd que le manquement initial.
Une compréhension juridique des bases légales, une capacité à dialoguer avec l'IT sur la sécurité, et un relais RH pour les données salariés sont les trois compétences clés à maintenir en interne, même avec un DPO externalisé.
Au-delà d'une dizaine de traitements ou de plusieurs sous-traitants à auditer régulièrement, un outil de gouvernance, risque et conformité devient rentable : il centralise le registre, automatise les rappels de revue et trace la conformité de façon exploitable en cas de contrôle.
Mettre une entreprise en conformité RGPD n'est jamais un dossier qu'on referme : c'est un chantier qu'on pilote. Si vous voulez sécuriser chaque étape, du registre des traitements à la préparation d'un contrôle CNIL, sans y consacrer des mois de recherche juridique, l'équipe Feel Agile peut structurer et accompagner votre mise en conformité réglementaire RGPD de bout en bout.
