Une mise en conformité RGPD ne se fait pas d'un bloc : elle suit des étapes, dans un ordre qui dépend de l'entreprise. Voici celles que mènent nos juristes, ce que chacune produit et le temps à prévoir.
Par où commencer une mise en conformité RGPD ?
Par un état des lieux. Tant que l'on ne sait pas quelles données sont traitées, avec quels outils et par quels prestataires, on ne peut ni fixer de priorités ni chiffrer le travail. Chez RGPD Start, cet état des lieux prend la forme d'un audit RGPD gratuit : un échange en visioconférence de 30 à 45 minutes en général, suivi sous 48 heures d'un rapport et d'un plan d'action.
Les entreprises que nous accompagnons partent de deux situations. Dans la plus fréquente, rien n'est en place. Dans l'autre, des éléments existent, mais ils sont dispersés entre des tableaux et des courriels, et personne ne les tient à jour.
Le premier obstacle est rarement technique : il faut convaincre la direction d'y consacrer du temps et un budget. Nous en faisons quatre étapes dans cette vidéo :
Quelles sont les étapes d'une mise en conformité RGPD ?
Voici, dans les grandes lignes, les étapes que suivent nos juristes. L'ordre n'est pas figé : il s'adapte aux demandes et aux priorités de chaque client.
| Étape | Ce qu'elle produit |
|---|---|
| 1. Audit gratuit | Un rapport de conformité et un plan d'action, remis sous 48 heures |
| 2. Onboarding | La prise en main de la plateforme, présentée par la juriste |
| 3. Audit complet | Les sujets de l'audit gratuit, repris un par un et en détail |
| 4. Désignation du DPO | La juriste désignée déléguée à la protection des données auprès de la CNIL |
| 5. Cartographie et registre des traitements | Le registre des traitements, créé puis tenu à jour |
| 6. Sous-traitants | Le registre des sous-traitants et l'analyse de chacun |
| 7. Documents et procédures | Les documents destinés à vos clients et à vos collaborateurs, et les procédures obligatoires |
| 8. Sensibilisation | La sensibilisation de vos équipes |
| 9. Analyses d'impact | Les analyses d'impact (AIPD) des traitements qui en exigent une |
| 10. IA Act | L'encadrement de vos outils d'IA, si vous en utilisez |
Le plan d'action n'a pas la même ampleur pour une startup, une PME ou une ETI : le nombre de traitements, la sensibilité des données et le nombre d'outils changent le poids de chaque étape. Les obligations que ces étapes couvrent sont détaillées sur notre page conformité RGPD.
Qui fait quoi pendant la mise en conformité ?
Beaucoup de PME n'ont ni juriste ni équipe dédiée, et redoutent le temps que la démarche leur prendra. Chez RGPD Start, la juriste réalise toutes les actions du plan, de bout en bout. De votre côté, vous déposez les documents qu'elle demande, vous lui indiquez les bons interlocuteurs et les priorités de l'entreprise, et vous supervisez l'avancement.
La juriste peut être désignée DPO RGPD externalisé de l'entreprise. Elle travaille dans le même logiciel RGPD que vous : le registre, les sous-traitants, les violations et les documents y sont réunis, et vous y suivez l'état de votre conformité. L'ensemble forme la solution RGPD de RGPD Start.
Combien de temps prend une mise en conformité RGPD ?
Comptez quelques mois à un an. Pour une structure complexe, la mise en conformité peut s'étendre jusqu'à trois ans.
Ce qui la ralentit le plus souvent n'est pas la quantité de travail : ce sont les informations que le client ne transmet pas à la juriste. Tant qu'un document ou une réponse manque, l'étape qui en dépend attend.
Que se passe-t-il une fois la mise en conformité faite ?
La conformité s'entretient. Nos juristes voient des entreprises retomber dans la non-conformité pour quatre raisons : des documents et des registres qui ne sont plus mis à jour, des documents rédigés mais jamais déployés, de nouveaux projets lancés sans tenir compte de la protection des données, et des sous-traitants ou des outils adoptés sans évaluation.
Le coût de la démarche et de son suivi est détaillé sur notre page prix d'une mise en conformité RGPD.
À retenir
- Une mise en conformité RGPD commence par un état des lieux : chez RGPD Start, un audit gratuit suivi d'un rapport et d'un plan d'action sous 48 heures.
- Les étapes d'une mise en conformité RGPD sont, dans les grandes lignes : audit, désignation du DPO, registre des traitements, registre des sous-traitants, documents et procédures, sensibilisation, analyses d'impact.
- Chez RGPD Start, la juriste réalise les actions du plan d'action ; le client dépose les documents demandés, indique les bons interlocuteurs et fixe les priorités.
- Une mise en conformité RGPD prend quelques mois à un an et jusqu'à trois ans pour une structure complexe.
- Une entreprise conforme peut cesser de l'être si ses registres et ses documents ne sont plus mis à jour.
Définitions utiles
Tout le lexique RGPD- DPOLe DPO, ou délégué à la protection des données, est la personne désignée par un organisme pour l'informer, le conseiller et contrôler qu'il respecte le RGPD. Il est aussi l'interlocuteur de la CNIL et des personnes concernées.
- Audit RGPDL'audit RGPD est l'examen méthodique des pratiques d'un organisme pour mesurer son niveau de conformité au RGPD, identifier les écarts et les risques, et établir un plan d'actions priorisé pour les corriger.
- DPO externaliséLe DPO externalisé est un délégué à la protection des données qui n'est pas salarié de l'organisme : un cabinet, un consultant ou une structure de mutualisation exerce la fonction sur la base d'un contrat de service.
