La conformité RGPD se juge sur pièces. L’article 5.2 du règlement général sur la protection des données (RGPD) rend le responsable du traitement responsable du respect des principes, et l’oblige surtout à être en mesure de le démontrer. Un organisme qui protège bien ses données sans pouvoir le prouver reste donc exposé lors d’un contrôle.
Sur le terrain, toutefois, la question arrive rarement sous cette forme. Un dirigeant reçoit un questionnaire d’un client, un élu découvre qu’aucun DPO n’est désigné, une direction voit passer une sanction de la Commission nationale de l’informatique et des libertés (CNIL) dans son secteur. Ensuite vient la même inquiétude : par où commencer, combien de temps cela prend, et comment savoir si le travail suffit.
Ce guide y répond. Il suppose connues les bases du texte, expliquées dans notre page Comprendre le RGPD et dans notre guide de la protection des données personnelles. Nous suivons ainsi l’ordre de travail d’un DPO, du premier inventaire jusqu’au suivi annuel.
Être en conformité RGPD : ce que le texte exige
Le RGPD ne délivre aucun label de conformité. En revanche, il fixe des principes à l’article 5 : licéité, loyauté et transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité et confidentialité. Il ajoute ensuite une obligation de résultat sur la preuve, celle de l’article 5.2.
L’article 24 précise ensuite la méthode. Le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées, compte tenu de la nature, de la portée, du contexte, des finalités et des risques du traitement. Ces mesures doivent en effet lui permettre de s’assurer du respect du règlement et de le démontrer. Enfin, le même article impose de les réexaminer et de les actualiser si nécessaire.
La conformité RGPD dépend donc du risque : une boulangerie et une clinique ne tiennent pas le même niveau de documentation. Elle vit aussi dans le temps, puisque le texte prévoit lui-même la révision des mesures.
La documentation, socle de la preuve
Concrètement, démontrer veut dire produire des documents datés et cohérents entre eux. Le registre des activités de traitement en forme le cœur : la CNIL le présente comme un outil de pilotage et de démonstration de votre conformité au RGPD, au-delà de l’obligation de l’article 30. De plus, s’y ajoutent les mentions d’information, les contrats avec les sous-traitants, les analyses d’impact, le registre des violations et les traces des réponses aux demandes de droits.
En pratique, nous demandons toujours la même chose en ouvrant un dossier : la pièce, sa date et son auteur. Une politique sans date ni validation de la direction pèse peu face à un contrôleur. Classez donc chaque document avec ces trois informations dès sa création.
Mise en conformité RGPD : la méthode étape par étape
La CNIL ouvre sa page RGPD : les premières étapes sur le registre, puis sur le tri des données, le respect des droits des personnes et la sécurité. Nous reprenons donc cet ordre et nous y ajoutons ce que l’expérience impose : un pilote dès le départ, les contrats des prestataires et un rythme de révision.
- Désignez un pilote et vérifiez l’obligation de désigner un délégué à la protection des données (DPO).
- Recensez les traitements avec chaque service et ouvrez le registre des activités de traitement.
- Faites le tri : finalité, base légale, données nécessaires et durées de conservation de chaque traitement.
- Mettez à jour les mentions d’information sur chaque support de collecte.
- Organisez la réception et le traitement des demandes de droits.
- Listez les sous-traitants et vérifiez leurs contrats au regard de l’article 28.
- Évaluez la sécurité et corrigez les écarts prioritaires.
- Repérez les traitements qui exigent une analyse d’impact (AIPD).
- Préparez la procédure de gestion des violations de données.
- Sensibilisez les équipes, puis fixez le calendrier de révision.
L’ordre compte. En effet, le registre vient tôt, car il alimente toutes les étapes suivantes : sans lui, impossible de savoir quels formulaires corriger ou quels prestataires relancer. À l’inverse, rédiger une politique de sécurité avant de connaître ses traitements produit un document générique, vite oublié.
Désigner un pilote et, si besoin, un DPO
D’abord, la mise en conformité exige une personne qui tient le calendrier et arbitre. L’article 37 rend la désignation d’un DPO obligatoire pour les autorités et organismes publics, ainsi que pour les organismes dont les activités de base imposent un suivi régulier et systématique à grande échelle, ou un traitement à grande échelle de données sensibles ou d’infractions. Dans les autres cas, la désignation reste possible et nous la recommandons dès que les données touchent à la santé, aux mineurs ou aux salariés en nombre.
La CNIL rappelle sur sa page Désigner un délégué à la protection des données (DPO) les trois conditions à réunir : des compétences, des moyens suffisants et une capacité d’agir en toute indépendance. La désignation se fait ensuite exclusivement par son téléservice. Notre page désigner un DPO détaille la démarche, et notre offre de DPO à temps partagé répond aux structures qui n’ont pas besoin d’un poste complet.
Recenser les traitements et tenir le registre
L’article 30 fixe le contenu minimal de chaque fiche : finalités, catégories de personnes et de données, destinataires, transferts hors de l’Union, délais d’effacement et description générale des mesures de sécurité. La CNIL propose un modèle de registre au format ODS destiné en particulier aux TPE-PME, aux associations et aux petites collectivités. Le RGPD exige toutefois seulement une forme écrite, papier ou électronique.
Méfiez-vous de la dérogation prévue pour les organismes de moins de 250 salariés. Elle ne joue plus dès que le traitement est non occasionnel, présente un risque ou porte sur des données sensibles. Selon la CNIL, elle se limite donc à des cas très particuliers, par exemple une campagne de communication ponctuelle à l’ouverture d’un établissement. Ainsi, la paie, les clients et les fournisseurs restent au registre, quelle que soit votre taille.
La méthode de collecte compte autant que le modèle. La CNIL insiste : un registre exhaustif suppose d’échanger avec toutes les personnes de l’entreprise qui traitent des données. Faites donc remplir chaque fiche avec le service concerné, puis relisez-la avec lui. Un registre rempli seul, depuis un bureau, décrit l’organisation telle qu’on l’imagine.
Choisir la base légale de chaque traitement
L’article 6 prévoit six bases légales : le consentement, le contrat, l’obligation légale, la sauvegarde des intérêts vitaux, la mission d’intérêt public et l’intérêt légitime. Le point f, l’intérêt légitime, ne s’applique pas aux autorités publiques dans l’exécution de leurs missions. La CNIL le souligne dans ses fiches sur les bases légales : le choix intervient avant tout début de mise en œuvre du traitement.
Le consentement attire par sa simplicité apparente. Il impose toutefois un recueil libre, spécifique, éclairé et univoque, et un retrait aussi simple que l’accord, selon l’article 7.3. Par exemple, pour un traitement nécessaire au contrat de travail ou à une obligation légale, il devient même une erreur. Notre article sur l’intérêt légitime détaille la mise en balance que cette base exige.
Informer les personnes au moment de la collecte
Les articles 12 à 14 imposent une information concise, transparente, compréhensible et aisément accessible. La CNIL attend sur chaque support de collecte la finalité, la base légale, les destinataires, la durée de conservation, les modalités d’exercice des droits et, le cas échéant, les transferts hors de l’Union. Elle publie des exemples de mentions d’information à adapter.
Pour un formulaire en ligne, la CNIL admet un premier niveau d’information sous le formulaire, complété par un renvoi vers une politique de confidentialité. Pensez également aux supports papier : fiche d’inscription, affichage à l’accueil, contrat de travail. Ces supports échappent en effet souvent à l’inventaire.
Répondre aux demandes de droits dans le délai
L’article 12.3 fixe un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne dans le premier mois. La CNIL rappelle sur sa page les droits des personnes sur leurs données qu’une réponse reste due même lorsque l’organisme ne détient aucune donnée sur le demandeur.
En pratique, le délai court dès qu’un salarié reçoit la demande, qu’elle arrive au standard, par courrier ou sur une messagerie générique. Fixez donc une adresse dédiée, un circuit de transmission au pilote et un tableau de suivi daté. Notre article sur le point de départ du délai de réponse traite les cas limites.
Fixer et appliquer les durées de conservation
L’article 5.1.e interdit de conserver les données plus longtemps que nécessaire. La CNIL distingue trois phases dans son guide sur les durées de conservation des données : la base active, l’archivage intermédiaire et l’archivage définitif. Elle donne deux exemples : les données d’un candidat non retenu se conservent deux ans au maximum, et l’article L3243-4 du Code du travail impose de garder un double du bulletin de paie pendant cinq ans.
En revanche, lorsqu’aucun texte ne fixe la durée, le responsable du traitement la détermine selon la finalité. La CNIL publie des référentiels de durées pour la santé, la recherche en santé, le secteur social et médico-social et les ressources humaines. De plus, appliquer une durée recommandée vaut présomption de conformité. S’en écarter reste possible, à condition de documenter le choix.
Une durée inscrite au registre ne protège personne tant que les données restent en base. Programmez donc la purge dans les logiciels, y compris les sauvegardes et les exports, et gardez la trace de chaque suppression. Notre article sur la purge des données en fin de conservation propose un plan d’effacement démontrable.
Encadrer les sous-traitants
L’article 28 limite le recours aux sous-traitants qui présentent des garanties suffisantes. Le contrat doit notamment prévoir des instructions documentées, la confidentialité des personnes autorisées, les mesures de sécurité de l’article 32, l’autorisation préalable avant tout recours à un autre sous-traitant et l’aide au responsable pour les droits des personnes. Le 4 juin 2021, la Commission européenne a publié des clauses contractuelles types pour ce contrat, comme le rappelle la CNIL dans sa page Clauses contractuelles types entre responsable de traitement et sous-traitant.
En pratique, commencez par la liste : éditeurs de logiciels, hébergeur, prestataire de paie, maintenance informatique, outil d’emailing. Vérifiez ensuite pour chacun l’existence d’un contrat conforme. Notre guide sur le DPA et le contrat de sous-traitance RGPD détaille les clauses à exiger et la façon de relire un contrat d’éditeur.
Sécuriser les données à hauteur du risque
L’article 32 impose un niveau de sécurité adapté au risque. Il cite la pseudonymisation et le chiffrement, la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, la capacité de rétablir les données après un incident et une procédure de test régulier des mesures. La CNIL publie le Guide de la sécurité des données personnelles, dont l’édition 2024 compte 25 fiches réparties en cinq parties.
Ce guide sert en effet de référence à la CNIL pour apprécier la sécurité des traitements qu’elle contrôle. Utilisez-le donc comme grille d’autoévaluation, fiche par fiche, avec votre informaticien ou votre prestataire. Ensuite, les écarts relevés alimentent directement le plan d’action.
Repérer les traitements soumis à analyse d’impact
L’article 35 impose une analyse d’impact relative à la protection des données (AIPD) avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Le registre permet ainsi de repérer ces traitements, par exemple le suivi des patients, la vidéosurveillance des salariés ou le recrutement assisté par un algorithme. Notre guide de l’analyse d’impact RGPD décrit les critères, la méthode et les outils.
Préparer la gestion des violations de données
L’article 33 impose de notifier une violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf absence de risque pour les personnes. L’article 34 ajoute l’information des personnes concernées en cas de risque élevé. Enfin, l’article 33.5 oblige à documenter toute violation, même non notifiée : le registre des violations en garde la trace.
Or les 72 heures passent vite lorsque personne ne sait qui alerter. Rédigez donc la procédure avant l’incident, désignez les personnes à prévenir et testez le circuit une fois par an. Notre guide violation de données et le tutoriel pour notifier une violation de données vous accompagnent pas à pas.
Intégrer la protection dès la conception
L’article 25 impose la protection des données dès la conception et par défaut. Par défaut, seules les données nécessaires à chaque finalité sont traitées, qu’il s’agisse de leur quantité, de l’étendue du traitement, de la durée de conservation ou de l’accessibilité. En pratique, chaque nouveau projet, logiciel ou formulaire passe par le pilote avant son lancement. Notre article sur le privacy by design propose des exemples d’application.
Obligations RGPD : la preuve attendue pour chaque chantier
Le tableau suivant sert de liste de contrôle. Pour chaque chantier, il rappelle ainsi l’article du RGPD et la pièce qu’un contrôleur ou un client vous demandera. Cochez une ligne seulement lorsque la pièce existe, datée et validée.
| Chantier | Texte | Preuve attendue |
|---|---|---|
| Pilotage | Articles 24, 37 à 39 | Lettre de désignation du DPO, récépissé de désignation à la CNIL, rapport d’activité du DPO |
| Registre | Article 30 | Registre à jour, une fiche par traitement, date de dernière révision |
| Bases légales | Articles 6 et 7 | Base légale par traitement au registre, preuves de consentement, analyse de l’intérêt légitime |
| Information | Articles 12 à 14 | Mentions sur chaque formulaire, politique de confidentialité datée |
| Droits | Articles 12, 15 à 22 | Procédure écrite, tableau de suivi des demandes et des réponses |
| Conservation | Article 5.1.e | Tableau des durées, traces des purges et des archivages |
| Sous-traitants | Article 28 | Liste des sous-traitants, contrats ou clauses signés |
| Sécurité | Article 32 | Politique de sécurité, gestion des habilitations, résultats des tests |
| AIPD | Article 35 | Analyses d’impact réalisées, avis du DPO, plan d’action |
| Violations | Articles 33 et 34 | Procédure, registre des violations, notifications envoyées |
| Conception | Article 25 | Fiches projet validées par le pilote avant lancement |
| Sensibilisation | Article 39.1.b | Programme, listes de présence ou résultats des modules suivis |
Ce tableau sert également d’autodiagnostic rapide. Si plus de trois lignes restent vides, commencez par un audit RGPD : il mesure l’écart et classe les actions par priorité.
Site internet et cookies : la partie visible de la conformité RGPD
Le site internet expose votre conformité à tous les visiteurs. Les cookies relèvent de l’article 5.3 de la directive 2002/58/CE, dite ePrivacy, transposé par l’article 82 de la loi Informatique et Libertés. La CNIL l’explique sur sa page Cookies et traceurs : que dit la loi ? : un consentement préalable s’impose, sauf pour les traceurs strictement nécessaires au service demandé ou à la communication électronique.
Selon la CNIL, l’internaute doit donc pouvoir accepter ou refuser les cookies avec le même degré de simplicité. Par exemple, les cookies de publicité personnalisée et ceux des boutons de partage des réseaux sociaux exigent un consentement. À l’inverse, les traceurs d’authentification, de panier d’achat ou de conservation du choix de l’utilisateur en sont dispensés.
Vérifiez donc vous-même votre site : ouvrez-le dans une fenêtre de navigation privée et regardez si un bouton de refus apparaît au même niveau que le bouton d’acceptation. Contrôlez ensuite les formulaires et les mentions légales. Notre article RGPD et site web : comment se mettre en conformité reprend chaque point.
Sensibiliser les équipes pour que la conformité tienne
Un registre parfait ne retient pas un salarié qui envoie un fichier patients par messagerie personnelle. L’article 39.1.b confie d’ailleurs au DPO le contrôle de la sensibilisation et de la formation du personnel. De même, le guide de la sécurité de la CNIL consacre une fiche à l’implication et à la formation des utilisateurs.
Une sensibilisation efficace part des gestes du métier : l’accueil qui photocopie une pièce d’identité, le recruteur qui garde des CV dans sa messagerie, le manager qui partage un tableau sur un drive public. Focus RGPD, la plateforme de sensibilisation du groupe, propose 400 vidéos et compte plus de 3 000 sensibilisations par mois. Notre article sur l’organisation d’une formation interne au RGPD aide à bâtir le programme. Gardez enfin la preuve des sessions suivies.
Outiller la conformité : tableur ou logiciel
Un tableur suffit pour démarrer. En effet, le modèle de registre de la CNIL couvre le socle de l’article 30, et elle recommande de l’enrichir pour en faire un outil de pilotage. Le tableur montre toutefois ses limites lorsque plusieurs personnes le modifient, lorsqu’il faut relier un traitement à ses sous-traitants et à ses AIPD, ou lorsqu’une demande de droit doit être suivie jour par jour.
Le groupe a développé DPO Suite, son application de conformité. Elle réunit les registres, les violations, les demandes de droits, les sous-traitants, les AIPD avec un assistant guidé par IA, ainsi que des audits AI Act et NIS2. Quel que soit l’outil, choisissez-le d’abord pour sa capacité à produire une preuve datée.
Maintenir la conformité RGPD dans le temps
La conformité s’use. Par exemple, un nouveau logiciel, un prestataire remplacé, une nouvelle finalité ou un départ de salarié suffisent à rendre le registre inexact. Le RGPD l’anticipe : l’article 24 impose de réexaminer les mesures, l’article 32.1.d prévoit de tester régulièrement la sécurité et l’article 35.11 impose de revoir l’AIPD lorsque le risque change.
Nous recommandons un cycle annuel simple. D’abord, chaque trimestre, le pilote relit une partie du registre avec les services. Ensuite, une fois par an, il révise les durées, relance les sous-traitants, teste la procédure de violation et présente un bilan à la direction. Le rapport annuel du DPO formalise ce bilan et sert lui-même de preuve.
Enfin, inscrivez la protection des données dans les circuits existants : validation des achats informatiques, arrivée et départ des salariés, lancement des projets. La conformité tient lorsqu’elle passe par ces portes, sans réunion supplémentaire.
Combien de temps et quelles ressources prévoir
La durée d’une mise en conformité RGPD dépend du nombre de traitements, de la sensibilité des données, du nombre de sous-traitants et de la disponibilité des services. Par exemple, une association qui gère ses adhérents et une clinique qui traite des données de santé ne partent pas du même point. Toute promesse de délai fixe, faite sans inventaire préalable, mérite donc de la méfiance.
Prévoyez d’abord du temps interne, car les services décrivent leurs traitements et appliquent les corrections. Comptez ensuite l’expertise du DPO, interne ou externe. Les corrections techniques, enfin, reviennent souvent au prestataire informatique : purges, habilitations, chiffrement, bandeau cookies.
Pour estimer le budget d’un accompagnement, consultez donc notre comparatif des prix du DPO externalisé. Pour mesurer votre point de départ sans engagement, l’Audit Flash gratuit donne une première photographie de votre conformité.
Erreurs fréquentes de mise en conformité RGPD
Les mêmes écarts reviennent d’un organisme à l’autre, quelle que soit sa taille. Chacun se repère pourtant en quelques minutes, à condition de savoir où regarder.
Un registre copié sur un modèle
Le consentement utilisé partout
Des durées de conservation jamais appliquées
Un DPO désigné sans moyens
Ces manquements ont un coût. En effet, l’article 83 prévoit des amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les obligations des articles 25 à 39, et jusqu’à 20 millions d’euros ou 4 % pour les principes et les droits des personnes. Notre page sur les sanctions RGPD de la CNIL analyse les décisions récentes.
Conformité RGPD par secteur
La méthode reste la même partout. Les textes sectoriels, les données sensibles et les référentiels de la CNIL changent en revanche les priorités. La CNIL publie ainsi des cadres de référence, dont des référentiels pour la santé, le suivi social et médico-social ou la gestion du personnel.
Ainsi, dans la santé et le médico-social, les données de santé imposent un régime renforcé : notre guide RGPD santé et médico-social détaille les obligations des établissements. Les services de prévention et de santé au travail trouveront leur parcours sur la page RGPD des SPST, et les communes, intercommunalités et syndicats sur la page DPO des collectivités, puisque leur statut d’organisme public rend le DPO obligatoire.
Côté entreprises notre article RGPD en startup suit les étapes du lancement à la levée de fonds. Les comités sociaux et économiques disposent du guide DPO pour CSE, et les associations de l’article RGPD et association loi 1901. Choisissez d’abord le parcours de votre secteur, puis revenez à la méthode générale pour les chantiers communs.
Nos analyses sur la conformité RGPD
Chaque article approfondit un chantier de ce guide. Choisissez donc celui qui correspond à votre question du moment.
Registre, preuve et bases légales
Information et droits des personnes
Consentement, cookies et durées de conservation
Anonymisation, sous-traitants, sécurité et DPO
Sources
Les articles 5, 6, 7, 12, 24, 25, 28, 30, 32, 33, 34, 35, 37, 38, 39, 42, 77, 82 et 83 sont cités d’après le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, publié sur EUR-Lex. La méthode de départ s’appuie sur les pages de la CNIL RGPD : par où commencer ? et RGPD : les premières étapes, ainsi que sur la check-list RGPD pour les TPE-PME.
Pour le registre, nous renvoyons à la page Le registre des activités de traitement, et pour les bases légales à la rubrique Les bases légales. L’information des personnes repose sur la page Conformité RGPD : information des personnes et transparence, les droits sur Les droits des personnes sur leurs données et les durées sur Les durées de conservation des données.
Ensuite, la sous-traitance s’appuie sur les pages Travailler avec un sous-traitant et Clauses contractuelles types entre responsable de traitement et sous-traitant. La sécurité renvoie au Guide de la sécurité des données personnelles : nouvelle édition 2024, les violations à Violations de données personnelles : les règles à suivre et les cookies à Cookies et traceurs : que dit la loi ?. Enfin, la désignation du DPO et les référentiels sectoriels viennent des pages Désigner un délégué à la protection des données (DPO) ou modifier une désignation et Les cadres de référence.