Comment mettre une entreprise en conformité avec le RGPD : guide pratique
Mettre une entreprise en conformité avec le RGPD désigne l'ensemble des mesures organisationnelles, techniques et documentaires qu'une organisation doit mettre en place pour respecter le Règlement général sur la protection des données, texte de droit de l'Union européenne directement applicable en France et complété par la loi Informatique et Libertés. La conformité n'est pas un état binaire atteint une seule fois : c'est un processus continu, structuré en étapes successives, qui engage à la fois la direction générale, la direction des systèmes d'information et les équipes juridiques.
Au premier trimestre 2026, la Commission nationale de l'informatique et des libertés poursuit une politique de contrôle active, ciblant aussi bien les grandes entreprises que les ETI et les PME. Le non-respect des obligations peut exposer l'organisation à des sanctions administratives significatives, mais surtout à une perte de confiance de ses clients, partenaires et investisseurs. Ce guide décrit la méthode pas-à-pas pour engager et structurer une démarche de conformité durable.
Ce guide traite successivement des prérequis d'une démarche RGPD, de l'inventaire des traitements, de la documentation requise, des mesures techniques et organisationnelles, des contrats informatiques à réviser, des erreurs fréquentes à éviter, et de la check-list opérationnelle pour piloter le chantier.
Quels sont les prérequis pour engager une démarche RGPD ?
Avant d'entamer toute cartographie ou mise à niveau documentaire, une organisation doit s'assurer qu'elle a identifié son rôle au sens du Règlement général sur la protection des données : responsable de traitement ou sous-traitant. Cette qualification détermine l'étendue des obligations et conditionne le contenu des actes contractuels à produire.
Le responsable de traitement désigne, au sens du Règlement général sur la protection des données, la personne morale ou physique qui détermine les finalités et les moyens d'un traitement de données à caractère personnel. Le sous-traitant traite ces données pour le compte du responsable, sur ses instructions. Un même opérateur peut cumuler les deux qualités selon les flux de données concernés.
Dans notre pratique des dossiers de conformité numérique, nous observons que cette qualification initiale est souvent négligée. Des entreprises qui se croient simples sous-traitants assument en réalité des choix sur les finalités de traitement, ce qui les expose à des obligations de responsable de traitement qu'elles n'ont pas anticipées.
Deux autres prérequis conditionnent la qualité de la démarche : disposer d'un portage politique au niveau de la direction générale (les arbitrages sur les finalités de traitement appartiennent à l'entreprise, pas à son prestataire) et allouer des ressources humaines identifiées. La désignation d'un délégué à la protection des données – obligatoire pour certaines catégories d'organismes traitant des données sensibles à grande échelle – doit être examinée dès cette phase préliminaire.
Comment cartographier les traitements de données personnelles ?
La cartographie des traitements constitue le premier acte opérationnel de toute démarche de conformité : elle consiste à recenser, dans un registre des activités de traitement, l'ensemble des opérations portant sur des données à caractère personnel, en y associant les finalités, les catégories de données, les durées de conservation et les destinataires.
Le registre des activités de traitement correspond à l'obligation documentaire centrale prévue par le Règlement général sur la protection des données. Il appartient au responsable de traitement de le tenir à jour et de le présenter à la Commission nationale de l'informatique et des libertés en cas de contrôle. Un sous-traitant tient un registre distinct retraçant ses propres catégories de traitements effectués pour le compte de chaque responsable.
La méthode que nous recommandons suit quatre étapes séquentielles :
- Recenser les processus métier susceptibles de collecter ou d'utiliser des données personnelles (ressources humaines, relation client, gestion fournisseurs, marketing, systèmes de surveillance, outils de reporting).
- Identifier les catégories de données traitées dans chaque processus, en distinguant les données ordinaires des données dites sensibles – notamment les données de santé, les données biométriques ou les données révélant l'origine raciale ou ethnique – qui font l'objet d'une interdiction de principe assortie d'exceptions strictement définies.
- Déterminer les durées de conservation applicables à chaque catégorie, en s'appuyant sur les référentiels sectoriels de la Commission nationale de l'informatique et des libertés et sur les délais de prescription fixés par le Code civil et le Code de commerce.
- Répertorier les sous-traitants, éditeurs et hébergeurs intervenant dans chaque flux de données, en précisant si des transferts hors de l'Espace économique européen sont effectués.
Un transfert de données hors Espace économique européen désigne, au sens du Règlement général sur la protection des données, toute communication de données personnelles vers un pays tiers n'ayant pas fait l'objet d'une décision d'adéquation de la Commission européenne. Ces transferts requièrent la mise en place de garanties appropriées – clauses contractuelles types, règles d'entreprise contraignantes – ou le recours à l'une des dérogations limitativement énumérées par les dispositions du Règlement.
Vous cartographiez vos traitements et souhaitez un regard juridique sur votre registre ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen de l'ensemble des flux de données, des actes contractuels en place et de la pratique de la Commission nationale de l'informatique et des libertés.
Pour une analyse de votre situation au regard du RGPD, écrivez-nous à contact@vernaylestang.com.
Quelles obligations documentaires le RGPD impose-t-il concrètement ?
Au-delà du registre des activités de traitement, le Règlement général sur la protection des données impose un ensemble cohérent d'obligations documentaires que l'organisation doit produire, tenir à jour et être en mesure de présenter à tout moment.
Les principales pièces du dossier de conformité comprennent :
- Les notices d'information – destinées aux personnes concernées, elles exposent les finalités du traitement, la base juridique, les durées de conservation et les droits exercés. Une notice rédigée de façon générique ou introuvable sur le site expose l'entreprise à des observations en contrôle.
- Les actes de sous-traitance – tout contrat conclu avec un prestataire traitant des données pour le compte de l'entreprise doit comporter des clauses conformes aux exigences du Règlement, précisant notamment l'objet, la durée, la nature et la finalité du traitement.
- Les analyses d'impact sur la protection des données – obligatoires lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, notamment en présence de données sensibles, de profilage ou de surveillance à grande échelle.
- La politique interne de protection des données – elle formalise les procédures internes (habilitations, gestion des demandes de droits, violation de données, politique de mots de passe).
- Le registre des violations de données – toute violation de données à caractère personnel doit être consignée, et celles présentant un risque pour les personnes notifiées à la Commission nationale de l'informatique et des libertés dans un délai déterminé par les textes.
Nous accompagnons régulièrement des directions juridiques d'ETI dans la construction de cette documentation, et nous observons une difficulté récurrente : la tendance à traiter les actes de sous-traitance comme des annexes contractuelles standardisées. En pratique, un acte de sous-traitance insuffisamment précis sur les instructions données au sous-traitant peut engager la responsabilité du responsable de traitement en cas d'incident.
Expérience de cabinet
Lors d'une mission récente (Bordeaux, printemps 2025), nous avons accompagné une société de services numériques dans la refonte complète de ses actes de sous-traitance à la suite d'un audit interne révélant l'absence de clauses d'instruction et de localisation des données. La documentation produite a permis à l'entreprise de répondre à une demande d'information de la Commission nationale de l'informatique et des libertés dans les délais impartis, sans mesure corrective imposée.
Mesures techniques et organisationnelles : comment les dimensionner ?
Le Règlement général sur la protection des données impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque présenté par les traitements – en tenant compte de l'état des connaissances, du coût de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement.
Le principe de protection des données dès la conception (« privacy by design ») implique que la conformité est intégrée dans les projets numériques dès leur conception, et non ajoutée a posteriori. Le principe de protection des données par défaut (« privacy by default ») impose que seules les données strictement nécessaires à la finalité poursuivie sont collectées et conservées.
Sur le plan technique, les mesures à auditer et à mettre en place comprennent :
- Le chiffrement des données au repos et en transit, notamment pour les données sensibles ou les données d'authentification.
- La gestion des habilitations et des accès, avec un principe du moindre privilège : chaque utilisateur n'accède qu'aux données nécessaires à sa fonction.
- La journalisation des accès et des opérations sur les données, permettant de détecter une violation et d'en reconstituer le périmètre.
- La gestion des sauvegardes et la capacité à restaurer les données en cas d'incident (plan de continuité d'activité).
- La politique de gestion des mots de passe et l'authentification à plusieurs facteurs pour les accès aux systèmes traitant des données personnelles.
Sur le plan organisationnel, il convient de formaliser les procédures internes de gestion des demandes de droits (accès, rectification, effacement, portabilité, opposition), de formation des collaborateurs, de notification des violations et de revue périodique de la conformité.
Un guide des étapes, conditions et délais de mise en conformité RGPD approfondit les séquences procédurales applicables à ces mesures, notamment les délais de réponse aux demandes des personnes concernées.
Quels contrats informatiques réviser dans le cadre d'une mise en conformité RGPD ?
La conformité RGPD passe inévitablement par une révision des contrats informatiques liant l'entreprise à ses prestataires, éditeurs de logiciels, hébergeurs et intégrateurs, dès lors que ces derniers traitent des données personnelles pour son compte. Cette révision constitue l'un des chantiers les plus chronophages, mais aussi l'un des plus structurants.
Les contrats à passer en revue comprennent :
- Les contrats d'hébergement et de cloud computing – vérifier l'existence d'un acte de sous-traitance conforme, la localisation des serveurs, les conditions de transfert hors EEE et les engagements de sécurité.
- Les contrats de maintenance et de tierce maintenance applicative – les techniciens intervenant sur les systèmes ont potentiellement accès aux données personnelles ; l'acte de sous-traitance doit le prévoir.
- Les contrats avec les éditeurs de solutions de gestion (ERP, CRM, outils RH) – vérifier si l'éditeur agit en qualité de responsable conjoint ou de sous-traitant, et si le contrat comporte les clauses exigées.
- Les contrats avec les agences marketing et les prestataires de mesure d'audience – particulièrement sensibles en présence de traceurs et de cookies, qui font l'objet de lignes directrices spécifiques de la Commission nationale de l'informatique et des libertés.
La révision de ces contrats s'articule avec le droit de la propriété intellectuelle lorsque les développements logiciels réalisés par des prestataires incorporent des mécanismes de traitement de données. Les droits sur les développements et les obligations de conformité doivent être traités dans la même négociation contractuelle. À ce titre, notre pratique en contentieux et protection contre la contrefaçon nourrit directement notre approche de la sécurisation contractuelle des actifs numériques.
Vos contrats informatiques ont-ils été audités au regard du RGPD ?
Si une démarche de révision contractuelle a déjà été engagée sans produire une couverture complète, un second regard permet d'identifier les lacunes résiduelles et les leviers de mise à niveau prioritaires.
Quelles sont les erreurs fréquentes dans une démarche de conformité RGPD ?
La principale erreur que nous observons dans les démarches de conformité RGPD est de traiter la mise en conformité comme un projet à date unique de clôture, alors que le Règlement général sur la protection des données instaure une logique d'accountability continue : l'entreprise doit non seulement être conforme, mais être en mesure de démontrer sa conformité à tout moment.
Les erreurs les plus fréquentes, identifiées dans notre pratique, sont les suivantes :
- Confondre la politique de confidentialité publiée sur le site et le registre des activités de traitement. Le premier est une notice externe à destination des utilisateurs ; le second est un document de pilotage interne. Ils répondent à des exigences distinctes.
- Omettre les traitements RH. Les traitements portant sur les données des salariés (recrutement, gestion des congés, vidéosurveillance, badgeage, outils de pilotage de la performance) sont soumis au RGPD et font l'objet d'une attention particulière de la Commission nationale de l'informatique et des libertés.
- Négliger les transferts vers des outils SaaS américains. L'utilisation d'outils de productivité, de messagerie ou d'analyse hébergés par des sociétés soumises à la législation américaine soulève des questions de transfert hors EEE qui requièrent une analyse spécifique.
- Sous-estimer la gestion des droits des personnes. Une procédure non formalisée pour répondre aux demandes d'accès, de rectification ou d'effacement expose l'entreprise à des plaintes auprès de la Commission nationale de l'informatique et des libertés.
- Déléguer entièrement la conformité au prestataire informatique. Le prestataire peut accompagner la mise en œuvre technique, mais les choix de finalité et les arbitrages de sécurité appartiennent au responsable de traitement. Cette confusion de rôles est une source de vulnérabilité juridique.
L'idée reçue selon laquelle le RGPD ne concerne que les grandes entreprises ou les acteurs du numérique mérite d'être dissipée. Toute organisation qui collecte des données personnelles – fût-ce une liste de contacts clients, une base de candidatures ou un outil de gestion des interventions – entre dans le champ d'application du Règlement. La taille de l'organisation détermine l'intensité de certaines obligations, pas leur applicabilité.
Expérience de cabinet
Au cours d'une mission conduite pour une PME de services professionnels (Lille, automne 2024), nous avons identifié que les données de candidatures étaient conservées sans durée définie dans un dossier partagé accessible à l'ensemble du service administratif. La mise en conformité a porté sur la définition d'une durée de conservation, la restriction des accès et la production d'une notice d'information intégrée au processus de recrutement. Le chantier a été conduit en coordination avec la direction des ressources humaines sur une période courte.
Matrice de décision et check-list opérationnelle
La séquence de mise en conformité RGPD varie selon la situation de départ de l'organisation. Voici une matrice permettant d'orienter les priorités :
Situation A – Aucune démarche engagée : commencer par la qualification du rôle (responsable / sous-traitant), puis la cartographie des traitements, puis la production du registre. Niveau de risque : élevé en cas de contrôle immédiat. Priorité : lancer le chantier de cartographie sans délai.
Situation B – Registre existant mais non tenu à jour : procéder à un audit de l'existant, identifier les traitements non documentés apparus depuis la dernière mise à jour (nouveaux outils, nouveaux prestataires, nouvelles finalités), et compléter la documentation. Niveau de risque : modéré. Priorité : révision annuelle du registre et des actes de sous-traitance.
Situation C – Documentation en place mais mesures techniques insuffisantes : conduire un audit de sécurité des systèmes, prioriser les mesures selon le niveau de risque des traitements, et intégrer les exigences de protection des données dans la feuille de route technique de la DSI. Niveau de risque : variable selon la sensibilité des données traitées. Priorité : chiffrement, gestion des accès, journalisation.
Situation D – Projet de nouveaux traitements ou de migration vers un cloud tiers : réaliser une analyse d'impact avant le lancement du projet, vérifier les clauses contractuelles avec le prestataire et qualifier les transferts éventuels hors EEE. Niveau de risque : potentiellement élevé en l'absence d'analyse préalable. Priorité : intégrer la conformité dans le cahier des charges dès la phase de conception.
Check-list – ce qu'il faut préparer pour une démarche RGPD :
- Qualification du rôle de l'organisation (responsable de traitement / sous-traitant) et cartographie des flux de données.
- Registre des activités de traitement tenu à jour, avec finalités, bases juridiques, durées de conservation et destinataires.
- Actes de sous-traitance conformes pour chaque prestataire traitant des données personnelles.
- Notices d'information à destination des personnes concernées (clients, salariés, candidats, fournisseurs).
- Procédure interne de gestion des demandes de droits et de notification des violations de données.
Pour approfondir les aspects liés à la coordination entre équipes concurrentes dans la gestion des données partagées, notre guide sur l'encadrement des échanges entre concurrents offre une perspective complémentaire sur les bonnes pratiques documentaires en environnement multi-acteurs.
Domaines liés
- Contentieux et protection contre la contrefaçon – sécurisation des actifs numériques et des droits sur les développements logiciels
- Guide RGPD : étapes, conditions et délais – séquences procédurales et délais applicables aux droits des personnes
Questions fréquentes sur la mise en conformité RGPD
1. Quels sont les prérequis avant de mettre une entreprise en conformité avec le RGPD ?
Avant d'engager une démarche de conformité RGPD, l'organisation doit qualifier son rôle au sens du Règlement général sur la protection des données – responsable de traitement ou sous-traitant – et obtenir un portage politique au niveau de la direction générale. La désignation d'un délégué à la protection des données doit être examinée à ce stade pour les organismes soumis à cette obligation. Sans cette clarification préalable, la cartographie des traitements risque d'être incomplète et les obligations documentaires mal dimensionnées.
2. Mettre une entreprise en conformité avec le RGPD : comment procéder en pratique ?
La mise en conformité RGPD suit une procédure structurée en étapes successives : qualification du rôle, cartographie des traitements et constitution du registre des activités, production de la documentation obligatoire (notices d'information, actes de sous-traitance, analyses d'impact le cas échéant), mise en œuvre des mesures techniques et organisationnelles appropriées, révision des contrats informatiques, et instauration d'une procédure de gestion des droits et des violations. La démarche s'inscrit dans une logique de conformité continue, documentée et révisable, et non dans un projet ponctuel.
3. Quelles conséquences en cas d'erreur de procédure ?
Une erreur dans la procédure de conformité RGPD peut exposer l'organisation à plusieurs types de conséquences : une mise en demeure ou une sanction administrative prononcée par la Commission nationale de l'informatique et des libertés sur le fondement des dispositions du Règlement général sur la protection des données et de la loi Informatique et Libertés, une action en responsabilité civile engagée par les personnes concernées en cas de préjudice, et des difficultés opérationnelles lors de due diligences menées par des acquéreurs ou des partenaires. La jurisprudence constante des juridictions administratives confirme que la démonstration de l'accountability – la capacité à prouver la conformité – est aussi importante que la conformité elle-même.
4. Faut-il désigner un délégué à la protection des données dans toute entreprise ?
La désignation d'un délégué à la protection des données est obligatoire pour les organismes publics, pour ceux dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle, et pour ceux traitant à grande échelle des données sensibles au sens du Règlement général sur la protection des données. Pour les autres organisations, la désignation reste facultative mais peut constituer une bonne pratique, notamment pour les entreprises disposant d'un volume significatif de traitements ou exposées à des contrôles sectoriels.
5. Comment encadrer les contrats informatiques dans le cadre d'une conformité RGPD ?
Tout contrat conclu avec un prestataire agissant en qualité de sous-traitant au sens du Règlement général sur la protection des données doit comporter des clauses précisant l'objet, la durée, la nature et la finalité du traitement, les catégories de données concernées et les obligations du sous-traitant en matière de sécurité, de confidentialité et de transferts. L'absence de ces clauses dans un contrat informatique constitue une non-conformité documentaire directement identifiable lors d'un contrôle de la Commission nationale de l'informatique et des libertés.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang est un cabinet d'avocats d'affaires indépendant, dont la pratique en propriété intellectuelle, numérique et protection des données couvre la qualification des traitements, la constitution de la documentation RGPD, la révision des contrats informatiques et la préparation aux contrôles de la Commission nationale de l'informatique et des libertés. Nous intervenons auprès de directions générales, de directions juridiques et de directions des systèmes d'information d'ETI et de groupes français, ainsi qu'auprès d'investisseurs étrangers implantés en France.
Nos honoraires sont définis après analyse du dossier.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, numérique, protection des données et conformité.
Voir le profil · Publié le 19 février 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.