Mise en conformité RGPD
Se mettre en conformité au RGPD, ce n’est pas cocher une liste. C’est documenter ce que vous faites des données personnelles, corriger ce qui ne tient pas, et installer les réflexes qui empêchent de recommencer. Nous prenons en charge la partie qui demande du temps et de la technicité, avec vos équipes, pas à leur place.
Le problème habituel
La plupart des organisations que nous rencontrons ont déjà essayé. Elles ont un registre commencé il y a deux ans, une politique de confidentialité copiée quelque part, un bandeau cookies qui ne recueille rien, et une personne qui « s’en occupe quand elle a le temps ».
Ce n’est pas un problème de volonté. La mise en conformité échoue presque toujours pour la même raison : elle est confiée à quelqu’un qui a déjà un métier à plein temps, sans méthode ni arbitrage sur ce qui compte vraiment.
Ce que nous mettons en place
La documentation obligatoire
- Registre des activités de traitement, tenu à jour et réellement exploitable
- Registre des sous-traitants
- Mentions d’information adaptées à chaque point de collecte
- Politique de confidentialité et politique de gestion des cookies
Les procédures
- Gestion des demandes d’exercice de droits, avec les délais et les modèles de réponse
- Gestion des violations de données, avec la chaîne d’alerte et la notification à la CNIL sous 72 heures
- Analyse d’impact (AIPD) pour les traitements qui l’exigent
- Prise en compte de la protection des données dès la conception des nouveaux projets
Les relations avec les tiers
- Revue des contrats de sous-traitance et des clauses de l’article 28
- Vérification des transferts hors Union européenne et des garanties associées
- Questionnaires d’évaluation des prestataires
Les équipes
- Sensibilisation adaptée aux métiers, pas une présentation générique du RGPD
- Charte informatique
- Un interlocuteur identifié pour les questions du quotidien
Comment nous travaillons
Nous ne livrons pas un lot de documents en fin de mission. Nous avançons par blocs, en commençant par ce qui vous expose le plus, et chaque bloc est validé avec vous avant de passer au suivant.
Concrètement, vous savez à tout moment où vous en êtes, ce qui reste à faire, et pourquoi telle action passe avant telle autre. Le point de départ est en général un audit RGPD.
Ce que vous gardez à la fin
Un dossier de conformité complet, à votre nom, dans un format que vous pouvez reprendre, mettre à jour et présenter. Pas un accès à un outil que vous perdez le jour où vous arrêtez.
C’est un point à vérifier chez tous les prestataires que vous consultez : demandez ce que vous récupérez si vous partez.
Et après
La conformité n’est pas un état, c’est un entretien. Un nouveau traitement, un nouvel outil, un nouveau prestataire, et la documentation décroche.
Deux suites possibles : vous reprenez la main en interne, avec une personne formée et des procédures en place, ou vous confiez le suivi à un DPO externalisé.
Combien ça coûte
La page comment se construit le coût d’un accompagnement RGPD détaille les facteurs qui font varier le budget d’une mise en conformité. Notre article mise en conformité RGPD : guide pratique reprend les étapes en détail.
Questions fréquentes
- Combien de temps faut-il pour être en conformité ?
- Cela dépend du point de départ et du nombre de traitements. Ce qui prend du temps n’est presque jamais la rédaction des documents, c’est d’obtenir l’information auprès des équipes et de faire arbitrer les sujets qui touchent au métier.
- Peut-on être conforme à 100 % ?
- Non, et aucun prestataire sérieux ne vous le promettra. Le RGPD impose une obligation de moyens et une capacité à démontrer ce que vous faites. Un prestataire qui garantit une conformité totale vend quelque chose qui n’existe pas.
- Faut-il un logiciel dédié ?
- Pas nécessairement. Un registre tenu correctement dans un tableur vaut mieux qu’un outil coûteux que personne ne remplit. La question se pose à partir d’un certain volume de traitements et de demandes de droits.
- Nos équipes vont-elles devoir y passer beaucoup de temps ?
- Une partie du travail exige leur participation : personne d’autre ne sait ce qui se passe réellement dans un service. En pratique, cela se limite à des entretiens de cadrage puis à des validations ponctuelles. Le reste est de notre côté.
- Que faire si nous avons déjà commencé de notre côté ?
- Tant mieux, on repart de l’existant. Nous vérifions ce qui tient, nous corrigeons ce qui ne tient pas, nous complétons le reste. Il est rare qu’un travail déjà fait soit entièrement à jeter.
- Le RGPD s’applique-t-il si nous sommes une petite structure ?
- Oui. Le règlement ne prévoit pas de seuil d’effectif. Une association de trois personnes qui gère un fichier d’adhérents est concernée. Ce qui varie avec la taille, c’est le volume d’obligations documentaires, pas leur existence.
Prendre contact
Dites-nous où vous en êtes, même si la réponse est « nulle part ». C’est le cas le plus fréquent.