Mise en conformité RGPD : les 8 obligations et les outils pour chacune
Quick Answer : les 8 obligations de la mise en conformité RGPD
La mise en conformité RGPD d’une entreprise repose sur 8 obligations, chacune avec un moyen concret de la remplir :
| Obligation | Article RGPD | Outil / moyen |
|---|---|---|
| 1. Registre des traitements | 30 | Modèle CNIL + audit automatisé (Complio) |
| 2. DPO (si requis) | 37 | DPO interne ou externalisé |
| 3. Analyses d’impact (AIPD) | 35 | Outil PIA gratuit de la CNIL |
| 4. Droits des personnes | 15-22 | Adresse dédiée + procédure + registre de suivi |
| 5. Notification des violations | 33-34 | Monitoring + procédure 72 h documentée |
| 6. Privacy by Design | 25 | Minimisation, chiffrement, outils sans traceur (Mirage Analytics) |
| 7. Transferts hors UE encadrés | 44-49 | Hébergement européen, cartographie des flux |
| 8. Accountability | 5.2 | Documentation continue + preuve de consentement (Cookilio) |
Depuis 2018, le RGPD s’applique à toute organisation traitant des données de résidents européens — TPE comprises. Et la tolérance est terminée : 486,8 millions d’euros d’amendes CNIL en 2025, plus de 60 % des sanctions visant des PME (voir la liste des sanctions CNIL).
Chez DPLIANCE, nous sommes une agence Data/IA, pas un cabinet de conseil. Notre conviction : la conformité ne devrait pas être un chantier juridique permanent, mais le comportement par défaut de vos outils. Ce guide passe chaque obligation au crible avec l’angle qui compte : quel outil, quel moyen, quel article spécialisé pour aller plus loin.
Obligation 1 — Tenir un registre des traitements (article 30)
Le registre documente chaque opération sur des données personnelles : finalité, catégories de données, destinataires, durées de conservation, mesures de sécurité. C’est la colonne vertébrale de la conformité — et son absence est l’une des non-conformités les plus fréquemment relevées par la CNIL.
Le moyen : le modèle de registre gratuit de la CNIL suffit pour démarrer. Le piège classique est le registre créé une fois puis jamais mis à jour : chaque nouvel outil CRM, chaque campagne, chaque sous-traitant doit s’y traduire. Pour la partie site web, Complio identifie automatiquement les traceurs et traitements à documenter.
Obligation 2 — Désigner un DPO quand c’est obligatoire (article 37)
Le Délégué à la Protection des Données est obligatoire pour les organismes publics, les entreprises dont l’activité principale implique un suivi régulier et systématique à grande échelle, et celles traitant des données sensibles à grande échelle.
Le moyen : pour les PME sans ressource interne, le DPO externalisé est pragmatique — tarif journalier moyen autour de 600 €, dimensionnable selon les besoins. Même sans obligation, désigner un référent RGPD interne structure la démarche et donne un interlocuteur identifié en cas de contrôle.
Obligation 3 — Réaliser des analyses d’impact (article 35)
L’AIPD est obligatoire pour tout traitement susceptible d’engendrer un risque élevé : profilage à grande échelle, surveillance de zone publique, données sensibles, croisements massifs. La CNIL publie la liste des traitements où elle est systématiquement requise.
Le moyen : l’outil PIA gratuit de la CNIL guide les quatre étapes (description, nécessité/proportionnalité, appréciation des risques, mesures). Une AIPD se réexamine à chaque évolution du traitement — nouvelle technologie, nouvelle finalité, nouveau sous-traitant.
Obligation 4 — Garantir les droits des personnes (articles 15 à 22)
Accès, rectification, effacement, portabilité, opposition, limitation : votre entreprise doit répondre à ces demandes sous un mois. C’est l’un des points les plus négligés — et la CNIL le vérifie systématiquement lors de ses contrôles, car les plaintes individuelles non traitées déclenchent des contrôles.
Le moyen : une adresse dédiée (rgpd@votreentreprise.fr), une procédure documentée avec modèles de réponse, un registre de suivi des demandes. Rien de plus, mais rien de moins.
Obligation 5 — Notifier les violations de données (articles 33-34)
Fuite, accès non autorisé, perte : notification à la CNIL sous 72 heures, information des personnes concernées si le risque est élevé. La sanction FREE (42 M€, janvier 2026) illustre le coût d’une sécurité insuffisante et d’une notification tardive.
Le moyen : la prévention d’abord — monitoring des accès, alertes sur comportements anormaux, journalisation. Puis une procédure de notification écrite : responsabilités, modèles pré-rédigés, chaîne d’escalade. La CNIL considère le temps de réaction et la qualité de la communication comme facteurs atténuants.
Obligation 6 — Appliquer le Privacy by Design (article 25)
Intégrer la protection des données dès la conception : minimiser la collecte, pseudonymiser quand c’est possible, chiffrer en transit et au repos, limiter les accès au strict besoin. Le Privacy by Default complète : par défaut, seules les données strictement nécessaires sont traitées — un formulaire ne collecte pas le téléphone si la communication se fait par email.
Le moyen : choisir des outils dont la conformité est le comportement par défaut, pas une configuration. C’est le principe fondateur de DPLIANCE : Mirage Analytics ne dépose aucun cookie et ne stocke aucune adresse IP — il n’y a rien à configurer pour être conforme.
Obligation 7 — Encadrer les transferts hors UE (articles 44 à 49)
Tout transfert hors UE exige des garanties : décision d’adéquation, clauses contractuelles types, BCR. Le Data Privacy Framework (2023) autorise les transferts vers les entreprises américaines certifiées, mais ses deux prédécesseurs (Safe Harbor, Privacy Shield) ont été invalidés par la CJUE — un « Schrems III » n’est pas à exclure.
Le moyen : cartographier les flux, y compris les transferts invisibles (Google Analytics, CDN, Google Fonts, pixels publicitaires — chaque script tiers est un point de vigilance). La solution la plus sûre reste l’hébergement européen : toutes les solutions DPLIANCE sont hébergées sur Scaleway, en France.
Obligation 8 — Démontrer sa conformité (article 5.2)
L’accountability renverse la charge de la preuve : c’est à vous de prouver que vous êtes conforme. Registre à jour, politiques de confidentialité, preuves de consentement horodatées, AIPD documentées, contrats sous-traitants (article 28), traces de formation.
Le moyen : une documentation continue, pas un dossier monté la veille du contrôle. Pour le consentement, la preuve doit être stockée côté serveur avec horodatage — c’est ce que fait Cookilio. Un rapport d’audit régulier avec Complio constitue une preuve tangible de vigilance ; la CNIL reconnaît la démarche de bonne foi comme facteur atténuant.
Le cas particulier du site web : là où tout se joue
Votre site est la partie de votre conformité que la CNIL peut contrôler à distance, par robot, sans préavis. C’est donc là que la mise en conformité commence. Plutôt que de tout re-détailler ici, quatre guides spécialisés couvrent chaque volet :
- Checklist RGPD site web — les 15 points essentiels à vérifier, dans l’ordre.
- Gestion du consentement RGPD — le cadre complet du recueil, de la preuve et du retrait du consentement.
- Bannière cookie conforme CNIL — les règles exactes de la CNIL (symétrie des choix, granularité, dark patterns interdits).
- Audit RGPD site web — la méthode pour évaluer votre site comme le ferait un contrôleur.
Par où commencer selon votre taille
TPE : politique de confidentialité, bannière conforme (Cookilio), registre simplifié (modèle CNIL), audit du site (Complio), sensibilisation de base.
PME : tout ce qui précède, plus l’évaluation du besoin de DPO, la cartographie des sous-traitants avec clauses article 28, la procédure de notification des violations, le remplacement de Google Analytics par une solution exemptée de consentement comme Mirage Analytics, et la documentation des bases légales.
ETI : tout ce qui précède, plus le DPO (souvent obligatoire), les AIPD systématiques sur les traitements à risque, l’audit régulier des sous-traitants, le Privacy by Design dans les processus de développement et un comité de gouvernance des données.
Ce qu’on refuse de promettre
« Un outil unique rend conforme. » Faux. La conformité RGPD est un ensemble de huit obligations : certaines s’outillent (consentement, audit, analytics), d’autres relèvent de l’organisation (registre, procédures, formation). Un éditeur de logiciels honnête vous dit ce que ses outils couvrent — et ce qu’ils ne couvrent pas.
« La conformité, c’est une fois pour toutes. » Faux. Un registre obsolète est presque aussi problématique qu’un registre absent, et la conformité d’un site se dégrade avec chaque nouvel outil marketing ajouté. C’est une hygiène continue.
« Les petites structures passent sous le radar. » Faux depuis 2022. La procédure simplifiée et les robots de contrôle ont industrialisé la sanction des manquements courants — la liste des sanctions le montre : plus de 60 % des sanctions 2025 visaient des PME.
FAQ
Le RGPD s’applique-t-il aux TPE et auto-entrepreneurs ?
Oui, sans exception. Le RGPD s’applique à toute organisation traitant des données personnelles de résidents européens, quelle que soit sa taille. La procédure simplifiée de la CNIL permet de sanctionner même les petites structures, jusqu’à 20 000 euros.
Combien coûte une mise en conformité RGPD ?
Pour une TPE, les outils essentiels (CMP, analytics conforme, audit de site) représentent quelques dizaines d’euros par mois. Pour une PME, un audit initial par un DPO externalisé coûte entre 3 000 et 7 000 euros, puis quelques centaines d’euros par mois en suivi. Le vrai coût est celui de la non-conformité : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial.
Quelles sont les obligations RGPD d’une entreprise ?
Les huit détaillées ci-dessus : registre des traitements, DPO quand c’est requis, AIPD pour les traitements à risque, droits des personnes, notification des violations sous 72 heures, Privacy by Design, encadrement des transferts hors UE, accountability.
Faut-il obligatoirement désigner un DPO ?
Non, pas pour toutes les entreprises. Il est obligatoire pour les organismes publics, le suivi systématique à grande échelle et les données sensibles à grande échelle. Pour les autres, un référent RGPD interne est recommandé.
Par quoi commencer une mise en conformité RGPD ?
Par le site web — le point le plus contrôlé : audit (checklist ici), bannière conforme, analytics exempté de consentement. Ensuite : registre, sous-traitants, procédure de gestion des droits.
Comment prouver sa conformité en cas de contrôle CNIL ?
Registre à jour, politiques de confidentialité, preuves de consentement horodatées, AIPD, contrats sous-traitants, procédures de violation. L’accountability exige une documentation continue — c’est aussi un facteur atténuant reconnu.
À lire aussi — Sanctions CNIL : la liste des amendes RGPD | Audit RGPD site web : guide complet | Les 10 erreurs RGPD les plus courantes
La conformité n’est pas une fin en soi : une fois le cadre posé, la question devient ce que vous pouvez faire de vos données sans le rompre. C’est notre métier — nous outillons le RGPD depuis 2019, et nous concevons des solutions data et IA conformes par architecture, du cadrage avec notre cabinet de conseil IA à la mise en production avec notre agence IA.
Sources : CNIL — Guide TPE-PME, CNIL — Bilan des sanctions 2025, CNIL — Transferts de données hors UE, CEPD — Guide RGPD pour les TPE-PME ; RGPD, articles 5, 25, 28, 30, 33-37, 44-49. Article mis à jour le 8 juillet 2026.