Presque toutes les structures que nous rencontrons ont déjà un registre. Il vient d’un modèle trouvé en ligne, rempli une fois, jamais rouvert depuis. Le problème n’est presque jamais l’absence de documents — c’est qu’ils ne décrivent pas ce que vous faites réellement, et qu’ils ne tiennent pas ensemble.
Se mettre en conformité, ce n’est pas remplir des cases. C’est produire un ensemble de documents et de procédures cohérents entre eux, qui correspondent à vos traitements réels, et que vous pouvez présenter à un client, un financeur ou la CNIL sans avoir à les reconstituer dans l’urgence.
Si l’une de ces situations vous parle, le chantier est déjà en retard.
Personne ne s’y met par goût du règlement. Dans les faits, le chantier démarre presque toujours parce qu’un événement extérieur l’impose. Savoir lequel vous concerne détermine le périmètre et le délai.
Un questionnaire sécurité, une clause dans un appel d’offres, une demande de garanties au titre de l’article 28 : il faut produire des documents que vous n’avez pas. C’est le déclencheur le plus fréquent, et celui qui laisse le moins de temps.
Subventions publiques, agréments, conventionnements : la conformité devient une pièce du dossier, au même titre que les comptes.
Une boîte mail compromise, un fichier envoyé au mauvais destinataire, un prestataire piraté. La question n’est plus « faut-il un registre » mais « que notifie-t-on, et dans les 72 heures ».
Un nouveau CRM, un outil d’IA, un site refait, un rachat : les flux de données changent, et ce qui était documenté ne l’est plus.
Une demande d’accès ou d’effacement, souvent d’un ancien salarié ou d’un client mécontent. Elle met au jour en quelques jours tout ce qui manque.
Contrôle, plainte transmise, mise en demeure. Le calendrier n’est plus le vôtre.
Dans les cinq premiers cas, vous avez encore le temps de faire les choses dans l’ordre. Dans le dernier, non — et c’est exactement pourquoi il vaut mieux ne pas l’attendre.
Huit chantiers. Nous ne les menons pas tous chez tout le monde : le périmètre se décide à partir de vos traitements réels, pas d’une liste type.
Un registre qui décrit vos activités réelles — finalités, bases légales, durées, destinataires — et la procédure pour le tenir à jour.
Chaque traitement rattaché à une base valable, et une politique de conservation qui dit à quel moment les données disparaissent.
Mentions à jour, recueil du consentement là où il s’impose, et un circuit désigné pour répondre aux demandes dans le délai d’un mois.
Identifier les traitements qui en exigent une, la mener, la documenter — et savoir démontrer pourquoi les autres n’en relèvent pas.
Inventaire de vos prestataires et de vos outils en ligne, clauses conformes, garanties demandées et obtenues par écrit.
Où partent réellement vos données, sur quel fondement juridique, et les clauses contractuelles types là où elles s’imposent.
Des mesures techniques et organisationnelles proportionnées au risque réel de vos traitements, pas un catalogue recopié.
Des équipes qui savent quoi faire, et le dossier de preuves qui montre que vous l’avez fait.
Confier vos données personnelles à un prestataire suppose de savoir à qui. Notre déléguée à la protection des données est certifiée par PECB, organisme de certification indépendant, et membre de l’AFCDP.
Ces qualifications attestent de notre expertise en protection des données. La certification RGPD de votre organisation, elle, ne peut être délivrée que par un organisme accrédité indépendant : notre rôle est de vous y préparer et de vous accompagner jusqu’à l’audit.
Le désordre coûte plus cher que le retard. Voici la séquence que nous suivons, et pourquoi elle est dans ce sens-là.
Un registre à jour, dans un format que vos équipes savent rouvrir et modifier
Les procédures qui manquaient : exercice des droits, violation de données, arrivée d’un nouvel outil
Un dossier d’accountability : les preuves rassemblées, datées, présentables en l’état
Les compétences internes pour tenir tout cela sans nous
Avant. Si vous ne savez pas encore ce qui tient et ce qui ne tient pas, commencez par l’état des lieux.
Après. La fonction de délégué assurée dans la durée, quand le chantier est fini mais que le sujet reste.
Au-delà. Quand il ne suffit plus d’être conforme et qu’il faut le prouver à un tiers.
Entre trois et neuf mois selon la taille de la structure et le nombre de traitements. Ce n’est pas un chantier à temps plein : l’essentiel du délai vient des allers-retours avec vos équipes et des décisions qui vous appartiennent — durées de conservation, arbitrages sur les outils, budget de sécurité.
Non. L’obligation de désigner un délégué ne vise que certains organismes, et la mise en conformité ne l’exige pas en soi. Il faut en revanche quelqu’un de désigné en interne pour porter le sujet : sans interlocuteur, le chantier s’arrête à la première décision à prendre.
Pas pour commencer. Un tableur bien tenu couvre les besoins de la plupart des structures de taille moyenne. Un logiciel devient utile quand le nombre de traitements dépasse ce qu’une personne peut suivre, ou quand plusieurs entités doivent partager le même registre.
Pas sous cette forme. Aucune autorité ne délivre d’attestation de conformité au RGPD. Ce qui existe, c’est la certification prévue à l’article 42, délivrée par un organisme accrédité sur un périmètre défini — voir Certification Europrivacy. Entre les deux, la plupart des clients se satisfont d’un dossier documentaire présentable.
Le contrôle porte d’abord sur ce que vous pouvez produire : registre, mentions, procédures, preuves. Une structure qui présente un dossier incomplet mais construit et daté ne se trouve pas dans la même situation qu’une structure qui n’a rien à montrer. La conformité parfaite n’existe pas ; la démarche documentée, si.
