Mettre une entreprise en conformité avec le RGPD : check-list pour les entreprises
La mise en conformité avec le Règlement général sur la protection des données (RGPD) désigne l'ensemble des mesures organisationnelles, techniques et documentaires qu'une entreprise doit déployer pour satisfaire aux obligations imposées par ce règlement européen, entré en vigueur le 25 mai 2018 et directement applicable en droit français. Mettre une entreprise en conformité avec le RGPD ne se limite pas à la rédaction d'une politique de confidentialité : c'est un projet transversal qui mobilise la direction générale, les équipes informatiques et les fonctions juridiques.
En février 2026, la pression réglementaire sur les traitements de données personnelles reste forte. La Commission nationale de l'informatique et des libertés (CNIL) maintient une doctrine de contrôle active, et les mises en demeure adressées aux entreprises de toutes tailles rappellent que la conformité n'est pas une option. Ce guide pratique détaille la procédure et les étapes d'une mise en conformité structurée, de l'état des lieux initial jusqu'à la gestion des incidents.
Les sections qui suivent couvrent : les conditions qui déclenchent l'obligation, la cartographie des traitements, la nomination d'un délégué à la protection des données, la gestion des sous-traitants, les droits des personnes, la sécurité technique et la gestion des violations de données.
Quelles entreprises sont concernées par le RGPD et dans quelles conditions ?
Toute entité qui traite des données à caractère personnel de résidents de l'Union européenne est soumise au RGPD, qu'elle soit établie dans l'Union ou non. En droit français, ce règlement européen s'articule avec la loi Informatique et Libertés, modifiée pour assurer sa compatibilité avec le texte européen. Le critère d'établissement ou de ciblage de personnes situées sur le territoire de l'Union suffit à déclencher l'obligation.
Dans notre pratique, nous rencontrons fréquemment des dirigeants qui estiment que le RGPD ne concerne que les grandes entreprises ou les secteurs traitant des données sensibles. C'est une idée reçue à corriger immédiatement. Une PME qui gère une base de prospects, un prestataire de services informatiques qui héberge des données pour le compte de ses clients, ou encore une start-up qui collecte des adresses électroniques via un formulaire de contact sont tous assujettis au même cadre.
Les obligations varient en intensité selon plusieurs paramètres : la nature des données traitées (données dites sensibles au sens du RGPD – données de santé, opinions politiques, données biométriques – entraînent des contraintes renforcées), la volumétrie des traitements, et la qualité de l'entité concernée (responsable de traitement ou sous-traitant). Cette distinction fondamentale entre responsable de traitement et sous-traitant conditionne la répartition des responsabilités et la rédaction des contrats.
Étape 1 – Cartographier les traitements de données : comment procéder ?
La cartographie des traitements constitue la première étape concrète et la plus structurante de la mise en conformité. Elle consiste à recenser, dans un registre des activités de traitement, l'ensemble des opérations portant sur des données personnelles réalisées par l'entreprise ou pour son compte.
Le registre des activités de traitement est une obligation documentaire centrale du RGPD. Pour chaque traitement, il doit mentionner : la finalité poursuivie, les catégories de données concernées, les catégories de personnes concernées, les destinataires des données (internes et externes), les transferts éventuels hors de l'Union européenne, et les durées de conservation. Ce document n'est pas un simple formulaire administratif : c'est le point de départ de toute analyse de risque et de toute réponse aux demandes des personnes concernées.
En pratique, nous accompagnons des directions informatiques qui découvrent, lors de cet exercice, des traitements mal documentés ou des flux de données vers des prestataires sans contrat adéquat. L'inventaire révèle souvent que l'entreprise joue simultanément les rôles de responsable de traitement pour ses propres opérations (gestion RH, relation client, prospection commerciale) et de sous-traitant pour le compte de ses clients. Ces deux positions appellent des obligations distinctes.
La méthode la plus efficace consiste à organiser des ateliers par direction métier – ressources humaines, commercial, marketing, informatique, finance – pour identifier les flux de données à la source, plutôt que de confier cet inventaire au seul service juridique. Le résultat doit être documenté, daté et mis à jour lors de toute évolution significative des traitements.
Votre cartographie révèle des traitements non conformes ou des flux sans contrat de sous-traitance ? La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des délais et de la pratique de la CNIL. Pour une analyse de votre situation au regard du RGPD, écrivez-nous à contact@vernaylestang.com.
Étape 2 – Désigner un délégué à la protection des données : obligatoire ou facultatif ?
La désignation d'un délégué à la protection des données (DPO, pour Data Protection Officer) est obligatoire dans trois situations prévues par le RGPD : lorsque le traitement est effectué par une autorité ou un organisme public, lorsque les activités de base du responsable ou du sous-traitant consistent en des opérations de traitement à grande échelle exigeant un suivi régulier et systématique des personnes concernées, et lorsque ces activités portent à grande échelle sur des données sensibles.
Même en l'absence d'obligation formelle, la désignation volontaire d'un DPO est une pratique que nous observons se développer dans les ETI et les PME exposées à des volumes significatifs de données personnelles. Le DPO peut être un salarié de l'entreprise ou un prestataire externe. Dans les deux cas, son indépendance fonctionnelle doit être garantie et ses coordonnées communiquées à la CNIL via le téléservice prévu à cet effet.
Le DPO assume plusieurs missions opérationnelles : informer et conseiller le responsable de traitement et les salariés, contrôler le respect du RGPD, gérer les demandes des personnes concernées et coopérer avec la CNIL en cas de contrôle. Son positionnement dans l'organisation doit lui permettre d'accéder à toutes les informations nécessaires sans être soumis à des instructions de la direction sur l'exercice de ses missions.
Étape 3 – Sécuriser les relations avec les sous-traitants
Toute entreprise qui confie le traitement de données personnelles à un prestataire doit conclure avec lui un contrat de traitement de données (souvent désigné par l'acronyme anglais DPA – Data Processing Agreement), dont le contenu est précisément encadré par le RGPD. Ce document doit définir l'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, ainsi que les obligations et droits du responsable de traitement.
Nous observons que c'est l'un des points de défaillance les plus fréquents lors des contrôles : des prestataires informatiques, des agences marketing, des intégrateurs ou des éditeurs de logiciels en mode service (SaaS) traitent des données pour le compte de leurs clients sans que la relation contractuelle soit formalisée conformément au RGPD. L'absence de contrat adéquat engage la responsabilité du responsable de traitement, et non seulement celle du prestataire.
La vérification doit porter sur trois axes : l'existence du contrat de traitement de données, son contenu (conformité au RGPD), et les garanties techniques et organisationnelles que le sous-traitant est en mesure de fournir. Pour les transferts de données hors de l'Union européenne – vers des prestataires établis aux États-Unis, en Inde ou dans d'autres pays tiers –, des mécanismes de transfert supplémentaires sont requis : clauses contractuelles types adoptées par la Commission européenne, décisions d'adéquation, ou règles d'entreprise contraignantes selon la configuration.
Sur ce point, la relation contractuelle avec les prestataires SaaS mérite une attention particulière. Notre guide sur la rédaction d'un contrat SaaS sécurisé détaille les clauses à intégrer pour couvrir les exigences du RGPD dans ce contexte spécifique.
Une démarche antérieure de mise en conformité n'a pas couvert l'ensemble de vos sous-traitants ? Si une démarche antérieure a produit un résultat incomplet, un second regard permet d'identifier les leviers restants. Pour examiner l'application du RGPD à votre réseau de prestataires, contactez-nous à contact@vernaylestang.com.
Étape 4 – Mettre en place les mécanismes de respect des droits des personnes
Le RGPD reconnaît aux personnes concernées un ensemble de droits opposables au responsable de traitement : droit d'accès, droit de rectification, droit à l'effacement (dit « droit à l'oubli »), droit à la limitation du traitement, droit à la portabilité des données, droit d'opposition, et droits relatifs aux décisions automatisées. L'entreprise doit être organisée pour recevoir ces demandes, les traiter dans les délais prévus par le RGPD et y répondre de manière documentée.
La mise en place de ces mécanismes suppose d'abord que les personnes concernées soient informées de leurs droits. Cette information doit figurer dans les mentions légales et politiques de confidentialité publiées sur le site internet, mais aussi dans les formulaires de collecte, les contrats avec les salariés et les correspondances commerciales. L'information doit être concise, intelligible et facilement accessible.
Sur le fond, chaque demande d'exercice des droits doit déclencher une procédure interne traçable : identification de la personne, vérification de son identité, localisation des données concernées dans les systèmes, traitement effectif de la demande et réponse dans le délai applicable. La durée de traitement des demandes est encadrée par le RGPD. En pratique, l'absence de procédure formalisée conduit souvent à des dépassements de délai, qui constituent eux-mêmes des manquements susceptibles d'être sanctionnés par la CNIL.
Les politiques de conservation des données méritent également une attention particulière. Conserver des données au-delà de la durée nécessaire à la finalité pour laquelle elles ont été collectées constitue un manquement au principe de limitation de conservation. La mise en conformité exige donc de définir, pour chaque traitement, des durées de conservation précises et de mettre en place des procédures d'archivage ou de suppression à l'échéance.
Étape 5 – Sécurité technique et organisationnelle des traitements
Le RGPD impose au responsable de traitement et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque présenté par les traitements. Ce principe de sécurité par défaut et dès la conception (privacy by design et privacy by default) doit être intégré dès la phase de développement des outils informatiques, et non ajouté après coup.
Les mesures attendues varient selon la sensibilité des données et les risques identifiés, mais elles comprennent généralement : le chiffrement des données, la pseudonymisation lorsqu'elle est pertinente, des dispositifs permettant d'assurer la confidentialité, l'intégrité et la disponibilité des systèmes, et des procédures de test et d'évaluation régulières de ces mesures. Une analyse d'impact relative à la protection des données (AIPD) est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.
Notre dossier sur la cartographie des risques et le dispositif de conformité approfondit la méthode d'analyse juridique et la portée de ces obligations, en particulier pour les entreprises dont les traitements présentent une volumétrie ou une sensibilité élevées.
Étape 6 – Gérer les violations de données : procédure et délais
En cas de violation de données à caractère personnel – c'est-à-dire toute violation de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès à des données –, le responsable de traitement est soumis à une double obligation de notification dans des délais stricts imposés par le RGPD.
La première obligation porte sur la notification à la CNIL. Elle doit intervenir dans un délai de 72 heures après la prise de connaissance de la violation, sauf si celle-ci est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Ce délai est particulièrement contraignant : il suppose que l'entreprise dispose d'une procédure de gestion des incidents préétablie, permettant d'identifier rapidement la nature de la violation, son étendue et ses conséquences probables.
La seconde obligation, lorsque la violation est susceptible d'engendrer un risque élevé pour les personnes concernées, porte sur la notification directe à ces personnes. La communication doit décrire la nature de la violation, les coordonnées du DPO ou d'un point de contact, les conséquences probables et les mesures prises ou envisagées pour y remédier.
Dans notre pratique du droit des données, nous intervenons régulièrement en situation de crise, au moment où une entreprise découvre une violation et doit arbitrer en quelques heures sur l'obligation de notification. L'absence de procédure documentée en amont aggrave systématiquement le risque juridique dans ces situations.
Erreurs fréquentes et points de vigilance
Plusieurs manquements reviennent de manière récurrente dans les dossiers que nous traitons, quelle que soit la taille de l'entreprise. Les identifier en amont permet d'éviter les remises en cause lors d'un contrôle ou d'un incident.
La première erreur consiste à traiter la mise en conformité comme un projet ponctuel plutôt que comme un processus continu. Le RGPD repose sur un principe d'accountability (responsabilisation) : l'entreprise doit non seulement respecter le règlement, mais être en mesure de démontrer à tout moment qu'elle le respecte. Cela suppose une mise à jour régulière du registre des traitements, une revue périodique des contrats de sous-traitance et une formation continue des équipes.
La deuxième erreur fréquente est la rédaction de politiques de confidentialité génériques, copiées d'un modèle sans adaptation aux traitements réels de l'entreprise. Une politique de confidentialité non conforme aux traitements effectivement réalisés crée une incohérence documentaire qui aggrave le risque en cas de contrôle.
La troisième concerne la base légale des traitements. Chaque traitement doit reposer sur l'une des bases légales prévues par le RGPD : consentement, exécution d'un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public, ou intérêts légitimes du responsable. Le recours systématique au consentement, qui paraît intuitif, n'est pas toujours la base légale appropriée et peut exposer l'entreprise à des difficultés lorsque les personnes concernées retirent leur consentement.
Pour approfondir la gestion des actifs numériques en lien avec la conformité, notre équipe traite également les questions de litiges liés aux noms de domaine, souvent révélateurs d'une politique de gestion des actifs en ligne à structurer en parallèle de la mise en conformité.
Check-list opérationnelle : ce qu'il faut préparer
La mise en conformité avec le RGPD suppose de réunir et de maintenir à jour un ensemble de documents et de procédures. Voici les éléments indispensables à rassembler avant d'engager ou de valider une démarche de conformité.
- Registre des activités de traitement – inventaire complet de tous les traitements, mis à jour à chaque évolution significative, mentionnant finalités, catégories de données, durées de conservation et destinataires.
- Politique de confidentialité et mentions d'information – documents adaptés aux traitements réels, disponibles sur les supports de collecte (site internet, formulaires, contrats de travail).
- Contrats de traitement de données – accords signés avec chaque sous-traitant qui traite des données pour le compte de l'entreprise, conformes aux exigences du RGPD.
- Procédure de gestion des demandes d'exercice des droits – circuit interne documenté permettant de traiter et répondre aux demandes dans les délais applicables.
- Procédure de gestion des violations de données – processus permettant d'identifier, d'évaluer et de notifier une violation à la CNIL dans le délai de 72 heures, avec modèle de notification prêt à l'emploi.
Matrice de décision – traitement et instrument applicable :
Situation A – Entreprise avec traitement courant (gestion RH, relation client, prospection) → registre des traitements obligatoire, base légale à documenter pour chaque traitement, politique de confidentialité à adapter → niveau de risque maîtrisable avec une démarche structurée.
Situation B – Entreprise traitant des données sensibles à grande échelle (santé, données biométriques, suivi comportemental) → AIPD obligatoire avant le démarrage du traitement, désignation d'un DPO obligatoire, mesures de sécurité renforcées → niveau de risque élevé, intervention juridique conseillée en amont.
Situation C – Sous-traitant traitant des données pour le compte de clients → contrats de traitement de données à signer avec chaque client, registre propre au sous-traitant à tenir, mécanismes de sécurité contractuellement garantis → responsabilité directe en cas de violation, niveau de risque significatif.
Illustration – Nous avons accompagné une ETI du secteur des services numériques (région Île-de-France, printemps 2025) dans la révision complète de son registre des traitements à la suite d'une restructuration de son infrastructure informatique. La démarche a permis d'identifier plusieurs contrats de traitement de données manquants avec des prestataires hébergeurs et de les formaliser avant le déploiement d'une nouvelle application métier.
Illustration – Dans un dossier récent impliquant une PME industrielle de la région lyonnaise (automne 2025), nous avons assisté la direction dans la mise en place d'une procédure de gestion des violations de données. La société avait subi un incident de sécurité sans disposer d'aucune procédure interne. La structuration rétrospective du dossier de notification et la formalisation d'un plan de réponse aux incidents ont permis de limiter les conséquences sur le plan réglementaire.
Domaines liés
- Litiges liés aux noms de domaine – protection et défense des actifs numériques en ligne
- Rédaction d'un contrat SaaS sécurisé – encadrement contractuel des traitements confiés à des éditeurs
FAQ – Mettre une entreprise en conformité avec le RGPD
1. Quelles sont les erreurs fréquentes à éviter ?
Les erreurs les plus fréquentes sont : traiter la conformité comme un projet unique plutôt que comme un processus continu, rédiger des politiques de confidentialité génériques non adaptées aux traitements réels, ne pas formaliser les contrats de traitement de données avec les sous-traitants, choisir une base légale inadaptée (notamment le recours systématique au consentement là où une autre base est plus appropriée), et ne pas disposer d'une procédure de gestion des violations permettant de respecter le délai de notification à la CNIL. Ces manquements sont régulièrement identifiés lors des contrôles de la CNIL et engagent la responsabilité du responsable de traitement.
2. Quels documents sont nécessaires ?
Les documents indispensables à une mise en conformité RGPD sont : le registre des activités de traitement (obligatoire pour la plupart des organismes), les politiques de confidentialité et mentions d'information adaptées à chaque support de collecte, les contrats de traitement de données conclus avec chaque sous-traitant, la procédure interne de traitement des demandes d'exercice des droits, la procédure de gestion et de notification des violations de données, et – lorsqu'elle est requise – l'analyse d'impact relative à la protection des données (AIPD). Ces documents constituent le socle de l'accountability que le RGPD impose à tout responsable de traitement.
3. Quand se faire accompagner par un avocat ?
L'accompagnement par un avocat spécialisé en droit des données est particulièrement utile à trois moments : lors de la phase initiale de cartographie, pour qualifier correctement la nature des traitements et les bases légales applicables ; lors de la négociation des contrats de traitement de données avec des prestataires ou des clients ; et en situation de crise, lorsqu'une violation de données impose une notification à la CNIL dans un délai très court. Un accompagnement préventif permet également de sécuriser les AIPD pour les traitements à risque élevé et de préparer la défense de l'entreprise en cas de contrôle.
4. La conformité RGPD est-elle différente selon la taille de l'entreprise ?
Le champ d'application du RGPD est indépendant de la taille de l'entreprise : toute entité qui traite des données personnelles de résidents de l'Union européenne est soumise au règlement. Certaines obligations sont toutefois modulées selon les caractéristiques des traitements plutôt que selon la taille : la désignation d'un DPO est liée à la nature et au volume des traitements, l'AIPD est déclenchée par le niveau de risque, et les mesures de sécurité sont proportionnées à la sensibilité des données. En pratique, les entreprises de taille intermédiaire qui ont connu une croissance rapide présentent souvent des lacunes documentaires plus importantes que des structures plus petites mais dont l'activité de traitement est simple.
5. Quelles sont les sanctions encourues en cas de non-conformité ?
La CNIL dispose d'un pouvoir de sanction administrative pour les manquements au RGPD et à la loi Informatique et Libertés. Les sanctions peuvent prendre la forme de mises en demeure, d'injonctions ou d'amendes administratives. Le RGPD prévoit deux niveaux d'amendes maximales selon la nature du manquement, sans que le montant d'une sanction effective soit prédictible dans un cas donné. Au-delà de la sanction administrative, la non-conformité peut engager la responsabilité civile du responsable de traitement à l'égard des personnes dont les données ont été affectées, ainsi que la responsabilité contractuelle envers les partenaires commerciaux qui exigent contractuellement la conformité.
Vernay & Lestang – Avocats d'affaires, Paris
Notre équipe accompagne les directions générales, les directions juridiques et les équipes informatiques dans la mise en conformité avec le RGPD : qualification des traitements, rédaction des documents de conformité, négociation des contrats de traitement de données et gestion des incidents. Notre intervention se concentre sur les enjeux opérationnels et les situations qui présentent un risque documenté, en lien avec nos pratiques en propriété intellectuelle, numérique et données. Les honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre dossier de conformité RGPD, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt – Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit du numérique, de protection des données et de conformité. Voir son profil.
Publié le 24 février 2026.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.