Mettre une entreprise en conformité avec le RGPD : erreurs à éviter et bonnes pratiques
Mettre une entreprise en conformité avec le RGPD désigne la démarche par laquelle un responsable de traitement – au sens du Règlement général sur la protection des données – aligne ses pratiques, ses procédures et sa documentation sur les obligations posées par le règlement européen et par la Loi Informatique et Libertés telle que modifiée. Cette démarche n'est pas un projet ponctuel : elle s'inscrit dans un cycle permanent d'analyse, d'ajustement et de documentation que la CNIL contrôle sur pièces comme sur site.
En février 2026, la conformité des données personnelles reste l'un des sujets sur lesquels les directions générales et les DSI reçoivent le plus d'interrogations. La complexité ne tient pas aux principes – ils sont clairs – mais à leur traduction opérationnelle dans des organisations aux architectures techniques disparates, aux sous-traitants multiples et aux processus métiers anciens. Ce guide expose, étape par étape, la méthode que nous appliquons avec nos clients, les erreurs que nous observons le plus souvent, et les documents sans lesquels aucun dossier de conformité ne tient à un contrôle.
Les sections suivantes traitent successivement des prérequis, des huit étapes de la procédure, des erreurs à éviter, puis des documents à préparer avant que vous répondiez à une demande d'accès ou à une mise en demeure.
Pourquoi la conformité RGPD est-elle plus exigeante qu'il n'y paraît ?
La conformité RGPD repose sur un principe d'accountability – responsabilité documentée – qui inverse la logique antérieure : l'entreprise ne déclare plus à l'autorité ; elle démontre, à tout moment, qu'elle respecte les règles. Cette démonstration suppose des preuves écrites, mises à jour, accessibles. En pratique, c'est précisément là que les difficultés surgissent.
Dans notre pratique du conseil aux directions juridiques et aux DSI, nous observons trois sources récurrentes de complexité. Premièrement, le périmètre des traitements est souvent mal cerné : des données personnelles circulent dans des outils SaaS, des tableurs partagés ou des messageries sans qu'aucun service n'ait formalisé leur existence. Deuxièmement, la chaîne de sous-traitance est rarement cartographiée au niveau requis : un prestataire de maintenance informatique qui accède à des fichiers RH est un sous-traitant au sens du règlement, qu'un contrat écrit conforme soit ou non en place. Troisièmement, la documentation vieillit : un registre des activités de traitement rédigé en 2019 ne reflète plus l'organisation de 2026, après plusieurs migrations cloud et refontes applicatives.
Le règlement européen s'applique dès lors qu'une entreprise, quelle que soit sa taille, traite des données personnelles de personnes situées sur le territoire de l'Union européenne. Les sanctions administratives prévues par les textes peuvent être significatives, et la CNIL publie régulièrement ses décisions de mise en demeure et ses délibérations de sanction. La question n'est donc pas de savoir si le règlement s'applique, mais comment s'y conformer de façon durable.
Quels sont les prérequis avant d'engager la démarche de mise en conformité ?
Avant d'entamer toute démarche formelle, trois conditions doivent être réunies : une décision de gouvernance, un porteur de projet clairement identifié, et un accès aux systèmes d'information suffisant pour cartographier les traitements existants.
La décision de gouvernance est souvent sous-estimée. La conformité RGPD engage la direction générale, pas seulement la DSI ou le service juridique. Elle implique des arbitrages sur la durée de conservation des données, sur le recours à certains prestataires, sur la refonte de formulaires en ligne ou de processus RH. Sans mandat clair de la direction, les chantiers s'enlisent au premier arbitrage budgétaire.
Le porteur de projet peut être un délégué à la protection des données (DPO) – obligatoire pour certaines catégories d'organismes définies par le règlement – ou, pour les structures non soumises à cette obligation, un référent interne mandaté. Dans notre pratique, nous recommandons de désigner ce référent par écrit dès le lancement, de définir son périmètre de décision et ses ressources, et de prévoir un reporting trimestriel à la direction.
L'accès aux systèmes d'information est la condition technique. Sans la liste des applications qui traitent des données personnelles, des flux entre systèmes, et des droits d'accès accordés, il est impossible de dresser un inventaire fiable. Cette étape suppose une coopération entre le service juridique, la DSI et les directions métiers.
Vous engagez une démarche de mise en conformité et souhaitez en valider le périmètre juridique ? La procédure décrite ci-dessus vaut pour les situations courantes. Votre organisation suppose l'examen de vos traitements, de vos contrats de sous-traitance et de la pratique de la CNIL sur votre secteur.
Pour une analyse de votre situation au regard du RGPD et de la Loi Informatique et Libertés, écrivez-nous à contact@vernaylestang.com.
Étape 1 à 3 : cartographie, registre et base légale – comment les réaliser correctement ?
Les trois premières étapes forment le socle sans lequel aucune conformité durable n'est possible : elles consistent à inventorier les traitements, à les documenter dans le registre des activités de traitement, et à identifier la base légale applicable à chacun.
Étape 1 – Cartographie des traitements. Cette phase consiste à recenser, direction par direction, l'ensemble des opérations portant sur des données personnelles : gestion des clients, des prospects, des salariés, des candidats, des visiteurs de site, des fournisseurs. Chaque traitement doit être décrit par sa finalité, les catégories de données concernées, les destinataires, les transferts hors UE éventuels et la durée de conservation. Dans notre pratique, cette phase prend entre quelques semaines et plusieurs mois selon la taille de l'organisation et la qualité de la documentation existante.
Étape 2 – Constitution du registre. Le registre des activités de traitement est un document obligatoire pour la quasi-totalité des organismes. Il formalise le résultat de la cartographie dans un format structuré, par traitement, avec les informations requises par le règlement. Ce n'est pas un document statique : il doit être mis à jour à chaque nouveau traitement, chaque modification significative ou chaque changement de sous-traitant.
Étape 3 – Identification des bases légales. Chaque traitement doit reposer sur l'une des bases légales reconnues par le règlement : consentement, exécution d'un contrat, obligation légale, intérêt légitime, mission d'intérêt public, ou sauvegarde des intérêts vitaux. L'erreur la plus fréquente ici est de recourir par défaut au consentement, alors que celui-ci n'est pertinent que lorsque la personne dispose d'un choix réel et libre. Pour les traitements RH, par exemple, l'obligation légale ou l'exécution du contrat de travail est presque toujours plus appropriée.
Étape 4 à 6 : conformité des contrats, sécurité des données et droits des personnes
Une fois le registre stabilisé, la démarche se déplace vers trois chantiers opérationnels qui conditionnent la solidité du dispositif face à un contrôle : la contractualisation avec les sous-traitants, la sécurité technique et organisationnelle, et la gestion des droits des personnes concernées.
Étape 4 – Contrats de sous-traitance. Tout prestataire qui traite des données personnelles pour le compte de votre organisation doit être lié par un contrat ou un avenant conforme aux exigences du règlement. Ce document doit préciser l'objet et la durée du traitement, la nature et la finalité des opérations, les obligations du sous-traitant en matière de sécurité et de confidentialité, et les conditions de restitution ou de destruction des données en fin de contrat. Nous accompagnons régulièrement des entreprises qui découvrent, lors de la cartographie, des dizaines de prestataires SaaS sans aucun accord de traitement en place.
Étape 5 – Sécurité des données. Le règlement impose des mesures techniques et organisationnelles appropriées au regard du risque. Cela inclut le chiffrement, la gestion des habilitations, les procédures de sauvegarde et de restauration, la traçabilité des accès, et la procédure de notification en cas de violation de données. La notification à la CNIL en cas de violation doit intervenir dans un délai court fixé par les textes ; tout retard non justifié constitue en lui-même un manquement. L'organisation doit disposer d'un registre des violations, qu'une violation ait été notifiée ou non.
Étape 6 – Gestion des droits des personnes. Les personnes concernées disposent d'un ensemble de droits : accès, rectification, effacement, limitation, portabilité, opposition. Votre organisation doit être en mesure de traiter toute demande dans les délais prévus par les textes. En pratique, cela suppose d'avoir désigné un point de contact, de disposer d'une procédure interne documentée, et de pouvoir démontrer la traçabilité des demandes reçues et des réponses apportées.
Dans notre pratique (Paris, printemps 2025), nous avons accompagné une entreprise de services numériques dans la refonte complète de son dispositif contractuel : audit des contrats de sous-traitance existants, rédaction d'avenants conformes pour une quarantaine de prestataires, et mise en place d'une procédure de réponse aux demandes de droits. L'opération, conduite sur plusieurs semaines, a permis d'identifier plusieurs transferts de données hors Union européenne non encadrés qui avaient échappé à l'audit initial.
Étape 7 et 8 : analyse d'impact et documentation de la conformité
Les deux dernières étapes concernent les traitements à risque élevé et la consolidation de la documentation qui constituera votre dossier de conformité en cas de contrôle.
Étape 7 – Analyse d'impact relative à la protection des données (AIPD). Pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes – profilage à grande échelle, surveillance systématique, traitement de données sensibles – une analyse d'impact est obligatoire avant la mise en œuvre. Cette analyse, conduite par le responsable de traitement avec le concours du DPO le cas échéant, doit décrire le traitement, évaluer la nécessité et la proportionnalité des opérations, identifier les risques, et documenter les mesures prises pour y remédier. Si le risque résiduel demeure élevé après ces mesures, une consultation préalable de la CNIL est requise avant tout démarrage.
Étape 8 – Documentation et tableau de bord de conformité. La conformité se démontre par des documents. À l'issue des étapes précédentes, votre organisation doit disposer d'un registre des activités de traitement à jour, de l'ensemble des contrats de sous-traitance conformes, des politiques de sécurité, du registre des violations, des AIPD pour les traitements concernés, et des procédures internes (droits, violations, demandes des personnes). Ce corpus constitue votre dossier de conformité. Il doit être accessible et maintenu dans le temps, sous la responsabilité du DPO ou du référent désigné.
Vous avez engagé une démarche antérieure qui n'a pas produit les résultats attendus ? Si une démarche antérieure a produit un résultat défavorable – mise en demeure de la CNIL, constat de lacunes lors d'un audit, difficultés à répondre à une demande de droits –, un second regard permet d'identifier les leviers restants et de prioriser les chantiers selon le niveau de risque.
Pour examiner l'application du règlement à votre organisation, contactez-nous à contact@vernaylestang.com.
Quelles sont les erreurs fréquentes dans une démarche de mise en conformité RGPD ?
Les erreurs les plus coûteuses ne sont pas les plus techniques. Elles tiennent à des choix de méthode ou à des raccourcis qui fragilisent l'ensemble du dispositif dès le premier contrôle.
Confondre documentation et conformité. Rédiger un registre ne suffit pas. Nous observons régulièrement des organisations qui ont produit des documents de conformité sans modifier leurs pratiques réelles : des durées de conservation inscrites dans le registre sans règle de purge effective dans les systèmes, des mentions d'information publiées sur le site sans correspondance avec les traitements effectivement réalisés. La CNIL contrôle la cohérence entre le papier et le réel.
Négliger la chaîne de sous-traitance. Un responsable de traitement reste responsable des violations commises par ses sous-traitants si les obligations contractuelles n'ont pas été imposées. La prolifération des outils SaaS dans les directions métiers – souvent souscrits sans validation de la DSI ni du service juridique – est une source majeure de risque non maîtrisé.
Recourir systématiquement au consentement. Le consentement est une base légale fragile : il peut être retiré à tout moment et son recueil doit être documenté. Pour de nombreux traitements courants – gestion des salariés, facturation, obligations légales comptables –, d'autres bases légales sont plus adaptées et plus stables. Choisir le consentement par défaut multiplie les obligations de gestion sans gain de conformité réel.
Traiter la conformité comme un projet fini. Le règlement impose une logique de conformité continue. Les organisations qui traitent la mise en conformité comme un projet avec une date de fin se retrouvent rapidement en décalage avec l'évolution de leurs traitements, de leur parc applicatif et de la doctrine de la CNIL.
Sous-estimer les transferts hors Union européenne. Tout transfert de données personnelles vers un pays tiers – y compris via un simple outil cloud hébergé hors UE – doit reposer sur un mécanisme de transfert reconnu : décision d'adéquation, clauses contractuelles types adoptées par la Commission européenne, ou autres garanties appropriées. L'utilisation d'outils américains, asiatiques ou d'autres régions sans vérification de ce point est une lacune fréquente et documentée dans les décisions de la CNIL.
Dans notre pratique (Lyon, automne 2024), nous avons assisté une ETI du secteur de la santé dans la gestion d'une mise en demeure de la CNIL portant sur l'absence d'encadrement de transferts vers un prestataire établi hors Union européenne. La démarche a conduit à la renegociation des contrats avec les prestataires concernés, à la mise en place de clauses contractuelles types et à la régularisation du registre des activités de traitement dans un calendrier contraint.
Check-list et documents nécessaires pour une conformité RGPD opérationnelle
La conformité se démontre par des documents précis, maintenus à jour et accessibles à tout moment au DPO, au service juridique et, en cas de contrôle, à la CNIL.
Matrice de décision – priorisation des chantiers :
Situation A – Absence totale de registre des activités de traitement → priorité absolue : constitution du registre → chantier de plusieurs semaines → niveau de risque élevé en cas de contrôle.
Situation B – Registre existant mais non mis à jour depuis plus d'un an → chantier de révision et d'actualisation → niveau de risque modéré à élevé selon les évolutions intervenues.
Situation C – Registre à jour mais contrats de sous-traitance non conformes → chantier contractuel prioritaire → niveau de risque modéré selon le volume de données traitées par les sous-traitants.
Situation D – Documentation complète mais absence de procédure de gestion des violations → chantier organisationnel urgent → niveau de risque élevé en cas d'incident.
Check-list « ce qu'il faut préparer » :
- Registre des activités de traitement, par traitement, avec finalité, données, destinataires, durées de conservation et transferts éventuels.
- Contrats ou avenants de sous-traitance conformes pour l'ensemble des prestataires traitant des données pour votre compte.
- Politiques et procédures internes : sécurité des données, gestion des droits des personnes, procédure de notification en cas de violation.
- Registre des violations, qu'une notification à la CNIL ait été effectuée ou non.
- Analyses d'impact (AIPD) pour les traitements à risque élevé, avec documentation des mesures prises.
Domaines liés
- Protection des bases de données – cadre juridique et stratégies de protection des données structurées.
- Check-list RGPD pour les entreprises – document de référence pour auditer votre dispositif existant.
Sur la conformité réglementaire étendue, voyez également notre dossier consacré à la loi Sapin II et aux obligations anticorruption, qui s'inscrit dans la même logique de conformité documentée et continue.
Quand et comment se faire accompagner par un avocat dans la démarche RGPD ?
L'intervention d'un avocat spécialisé apporte une valeur distincte de celle d'un consultant ou d'un DPO interne : elle couvre à la fois la qualification juridique des risques, la rédaction et la négociation des contrats de sous-traitance, et la gestion des procédures devant la CNIL.
Dans notre pratique du droit des données et du numérique, nous intervenons à trois moments distincts. En amont, pour structurer la démarche initiale ou reprendre un dossier existant : qualification du périmètre, identification des bases légales, revue des contrats. En cours de démarche, pour les chantiers à dimension juridique prononcée : rédaction des clauses contractuelles types, encadrement des transferts hors UE, conduite des AIPD sur des traitements complexes. En cas de procédure, pour la gestion d'une mise en demeure ou d'une procédure de sanction devant la CNIL : préparation de la réponse, organisation du contradictoire, représentation de l'organisation.
L'idée reçue selon laquelle l'avocat n'intervient qu'en cas de procédure est inexacte. Une intervention en amont, au stade de la structuration des contrats de sous-traitance ou de la qualification des bases légales, est souvent plus économique qu'une régularisation d'urgence après une mise en demeure. Les honoraires sont définis après analyse du dossier.
FAQ – Mettre une entreprise en conformité avec le RGPD
1. Quelles sont les erreurs fréquentes à éviter ?
Les erreurs les plus fréquentes sont : confondre documentation et conformité réelle (registre non reflété dans les pratiques), négliger les contrats de sous-traitance pour les prestataires SaaS, recourir au consentement comme base légale par défaut alors que d'autres bases sont plus appropriées, traiter la mise en conformité comme un projet fini plutôt qu'un processus continu, et ne pas encadrer les transferts de données hors Union européenne par un mécanisme reconnu par le règlement.
2. Quels documents sont nécessaires ?
Les documents indispensables sont : le registre des activités de traitement mis à jour, les contrats ou avenants de sous-traitance conformes au règlement pour l'ensemble des prestataires, les politiques internes de sécurité et de gestion des droits des personnes, le registre des violations de données, et les analyses d'impact (AIPD) pour les traitements à risque élevé. Ces documents constituent le dossier de conformité que la CNIL peut demander à tout moment.
3. Quand se faire accompagner par un avocat ?
L'intervention d'un avocat spécialisé est utile à trois stades : lors de la structuration initiale de la démarche pour qualifier les risques et les bases légales, lors de la rédaction ou de la révision des contrats de sous-traitance et des clauses relatives aux transferts hors UE, et en cas de procédure devant la CNIL – mise en demeure, instruction d'un contrôle ou procédure de sanction. Une intervention en amont est généralement plus efficace qu'une régularisation sous contrainte.
4. Une PME est-elle soumise aux mêmes obligations qu'un grand groupe ?
Le règlement s'applique à toute organisation qui traite des données personnelles de personnes situées dans l'Union européenne, quelle que soit la taille de la structure. Certaines obligations – comme la désignation obligatoire d'un DPO ou la réalisation systématique d'AIPD – sont conditionnées à des critères définis par le règlement, qui peuvent exclure les structures les plus petites pour certains traitements. En revanche, le registre des activités de traitement, les bases légales, les contrats de sous-traitance et la gestion des droits des personnes concernées s'imposent sans distinction de taille.
5. Quelle est la différence entre le DPO interne et le recours à un avocat externe ?
Le délégué à la protection des données (DPO) est chargé du pilotage opérationnel de la conformité : tenue du registre, conseil interne, interface avec la CNIL. L'avocat externe intervient sur les dimensions à fort enjeu juridique et contentieux : qualification des risques, rédaction et négociation des contrats, gestion des procédures. Les deux rôles sont complémentaires et non substituables : le DPO ne peut pas représenter l'organisation dans une procédure devant la CNIL, et l'avocat ne pilote pas le quotidien de la conformité opérationnelle.
Vernay & Lestang – Avocats d'affaires · Paris
Notre équipe conseille les directions générales, les directions juridiques et les DSI sur la conformité aux réglementations relatives aux données personnelles, à la propriété intellectuelle et au numérique. Nous intervenons sur la structuration des démarches de mise en conformité, la rédaction des contrats de sous-traitance et la gestion des procédures devant la CNIL. Notre périmètre couvre également la protection des bases de données, les transferts internationaux de données et la conformité des traitements à risque élevé. Les honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre dossier RGPD, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt – Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit du numérique, de protection des données et de conformité. Voir son profil.
Publié le 23 février 2026.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.