Conformité RGPD : quelles obligations pour votre entreprise ?

Être conforme au RGPD, c'est traiter les données personnelles dans le respect du règlement européen sur la protection des données, et pouvoir le prouver. Ce n'est pas un acquis : c'est un état, qui se vérifie obligation par obligation et se maintient dans le temps.

La conformité RGPD ne se limite pas à rédiger une politique de confidentialité et à afficher un bandeau cookies. Elle couvre l'ensemble du cycle de vie des données personnelles traitées par l'organisation : comment elles sont collectées, sur quelle base légale, combien de temps elles sont conservées, qui y a accès, comment elles sont sécurisées et comment les personnes peuvent exercer leurs droits.

Chaque traitement doit être documenté dans un registre à jour, et les traitements à risque doivent faire l'objet d'une analyse d'impact (AIPD). La conformité inclut aussi la vérification des sous-traitants : les contrats doivent prévoir des clauses spécifiques, et les pratiques des prestataires doivent être auditées régulièrement.

Le règlement fixe les obligations résumées ci-dessous. Elles s'appliquent à toute organisation qui traite des données personnelles, quelle que soit sa taille. Pour chacune, le tableau indique ce que vous devez pouvoir présenter et l'article qui la fonde. Notre guide des obligations RGPD des entreprises les détaille une à une.

Une précision sur les délais : le mois laissé pour répondre à une demande d'exercice des droits peut être prolongé de deux mois lorsque la demande est complexe, à condition d'en informer la personne.

Lors de nos audits, trois manques reviennent plus que les autres : le registre des traitements n'existe pas, aucune durée de conservation n'est fixée, et personne n'a vérifié la conformité des prestataires ni des outils utilisés. Ces trois points conditionnent les autres : sans registre, il est impossible de dire quelles données sont conservées, combien de temps et chez quel prestataire.

Respecter ces obligations ne suffit pas : encore faut-il pouvoir le démontrer.

Le règlement ne demande pas seulement de respecter ses principes : le responsable de traitement doit être « en mesure de démontrer » qu'ils sont respectés (article 5), et mettre en œuvre les mesures qui le permettent (article 24). C'est le principe de responsabilité, souvent désigné par son nom anglais, accountability. En pratique, la preuve tient à des documents datés et tenus à jour. Notre page comment prouver sa conformité RGPD détaille ceux qu'un contrôle ou un client peut demander.

Les clients et donneurs d'ordre des entreprises que nous accompagnons réclament surtout cinq pièces : le contrat de sous-traitance, souvent appelé DPA, la politique de confidentialité, le registre des sous-traitants, les politiques de sécurité, et un questionnaire de conformité et de sécurité informatique à remplir.

Le logiciel RGPD de RGPD Start centralise l'ensemble de ces éléments dans un tableau de bord unique. Registre des traitements, violations de données, demandes d'exercice des droits, plans d'action, documents légaux : tout est tracé, horodaté et accessible en temps réel. Cette centralisation permet de les présenter à tout moment, lors d'un contrôle de la CNIL, d'un appel d'offres ou d'une due diligence. La plateforme génère également des rapports d'avancement réguliers, qui donnent une vision claire du niveau de conformité atteint et des actions restantes. Le DPO RGPD externalisé suit chaque mission depuis la plateforme et reste l'interlocuteur dédié pour toutes les questions juridiques du quotidien.

Une amende administrative, dont le plafond dépend de la règle enfreinte. Les manquements aux obligations du responsable de traitement (registre, sécurité, sous-traitance, analyse d'impact, désignation du DPO) sont passibles d'une amende pouvant aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Les manquements aux principes de base, aux droits des personnes et aux règles de transfert peuvent aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires, le montant le plus élevé étant retenu (article 83).

L'amende n'est pas la seule conséquence. La CNIL présente sur son site les sanctions qu'elle prononce, et un client ou un partenaire peut écarter un prestataire qui ne documente pas sa conformité. Le lexique précise ce que recouvre une sanction RGPD et comment elle est décidée.

Parce que les traitements changent. Un nouvel outil, un nouveau prestataire ou une nouvelle activité modifient le registre, les contrats et parfois les risques : une conformité établie une fois, puis laissée en l'état, cesse d'être exacte.

Chez les entreprises qui ont cessé d'être conformes après une première mise en ordre, nous retrouvons quatre causes. Les documents et les registres n'ont pas été mis à jour. Ils ont été rédigés, mais jamais déployés dans les équipes. Les nouveaux projets ont été lancés sans intégrer la protection des données dès leur conception, ce que le règlement demande (article 25). Les nouveaux sous-traitants et les nouveaux outils n'ont pas été évalués.

Une conformité tenue à jour produit des effets au-delà de la seule obligation légale. Les entreprises qui documentent et démontrent leur niveau de conformité se distinguent dans les appels d'offres, rassurent leurs partenaires commerciaux et renforcent la confiance de leurs clients. Le badge et l'attestation remis à l'issue de la mission RGPD Start permettent de l'afficher sur le site web et dans les documents commerciaux. Ils servent lors des levées de fonds, des audits de partenaires ou des réponses à des marchés publics.

La conformité s'étend aujourd'hui au-delà du seul règlement européen sur les données personnelles. L'IA Act impose de nouvelles obligations aux entreprises qui utilisent ou développent des systèmes d'intelligence artificielle, et ces obligations se croisent directement avec celles du RGPD. RGPD Start couvre les deux réglementations dans un seul parcours structuré, ce qui évite de gérer deux chantiers distincts. Selon le type de système IA déployé (générative, scoring, biométrie, traitement de données sensibles), les obligations varient sensiblement : notre page conformité RGPD intelligence artificielle cartographie les exigences applicables.

L'offre RGPD Start s'adapte à tous les profils ( start-up, PME, ETI, grands comptes et secteur santé) avec un niveau d'accompagnement calibré selon la taille de la structure et la complexité des traitements. L'ensemble forme une solution RGPD hybride : une plateforme SaaS pilotée par un juriste dédié.

• La conformité au RGPD s'apprécie obligation par obligation : registre, base légale, durée de conservation, information, droits des personnes, sécurité, sous-traitants, analyse d'impact, violations, DPO et transferts.
• Une organisation doit pouvoir démontrer sa conformité à tout moment : c'est le principe de responsabilité des articles 5 et 24 du règlement.
• Selon la règle enfreinte, l'amende peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial, ou 20 millions d'euros ou 4 %.
• Dans les audits menés par RGPD Start, les trois manques les plus fréquents sont l'absence de registre des traitements, l'absence de durées de conservation et l'absence de vérification des prestataires et des outils.
• La conformité se tient à jour : chaque nouveau traitement, outil ou prestataire la modifie.