Une mise en conformité RGPD coûte entre 1 500 et 3 000 € HT pour une TPE, entre 3 000 et 10 000 € HT pour une PME de 20 à 200 salariés, et au-delà de 10 000 € pour une ETI ou un secteur à données sensibles, lorsqu’elle est confiée à un cabinet. Réalisée en interne, elle ne coûte que du temps : deux à cinq jours pour une petite structure, plusieurs semaines pour une PME.
Ce guide détaille poste par poste ce que vous payez, ce qui fait varier la facture et ce que vous pouvez faire vous-même.
L’essentiel
- Mise en conformité initiale par un cabinet : 1 500 à 3 000 € HT (TPE), 3 000 à 10 000 € HT (PME), 10 000 à 30 000 € HT (ETI ou données sensibles).
- Suivi dans la durée : un abonnement DPO externalisé de 150 à 2 500 € HT par mois, ou le temps d’un référent interne.
- Logiciel RGPD : facultatif en dessous de 50 salariés ; de 50 à 500 € par mois au-delà.
- Le poste le plus sous-estimé n’est pas le prestataire mais le temps de vos équipes : comptez une demi-journée par service interrogé.
Combien coûte une mise en conformité selon la taille de l’entreprise ?
Les montants ci-dessous correspondent à une mission complète confiée à un cabinet : audit, registre des traitements, documentation (politique de confidentialité, mentions, contrats de sous-traitance), plan d’action et restitution à la direction. Ils s’entendent hors taxes et hors logiciel.
| Profil | Mise en conformité initiale | Durée type | Ce qui pèse dans le prix |
|---|---|---|---|
| Indépendant ou micro-entreprise | 800 à 1 500 € HT | 1 à 2 jours | Un site, une base clients, peu de sous-traitants |
| TPE de moins de 20 salariés | 1 500 à 3 000 € HT | 2 à 3 jours | Données RH, quelques logiciels, un premier registre complet |
| PME de 20 à 200 salariés | 3 000 à 10 000 € HT | 5 à 15 jours | Plusieurs services à auditer, 20 à 40 sous-traitants, procédures à formaliser |
| Éditeur SaaS, e-commerce, plateforme | 5 000 à 15 000 € HT | 8 à 20 jours | Privacy by design sur le produit, transferts hors UE, DPA clients |
| ETI, groupe ou données sensibles (santé, mineurs, finance) | 10 000 à 30 000 € HT | 15 à 40 jours | Analyses d’impact, plusieurs entités, gouvernance, formations par métier |
Chez donnees.net, la mission RGPD Efficace couvre ce périmètre pour une TPE ou une petite PME, à un tarif fixe annoncé avant de commencer. Les structures plus complexes reçoivent un devis après un échange de cadrage.
Le détail poste par poste
L’audit initial
L’audit consiste à interroger chaque service sur les données qu’il manipule, à inventorier les logiciels et les prestataires, et à vérifier le site web. Il représente 30 à 40 % du coût total et conditionne tout le reste : un audit bâclé produit un registre faux.
Comptez une journée pour une TPE et jusqu’à une semaine pour une PME de plusieurs services. L’article comment faire un audit RGPD décrit la méthode étape par étape.
Le registre et la documentation
Le registre des traitements, la politique de confidentialité, les mentions d’information sur les formulaires, la procédure de réponse aux demandes de droits et la procédure de violation de données forment le socle documentaire. Rédigés par un cabinet, ils représentent 30 à 40 % de la mission.
Une petite structure peut en produire une bonne partie seule : notre exemple de registre rempli et notre générateur de politique de confidentialité sont gratuits.
Les contrats avec les sous-traitants
Chaque prestataire qui traite des données pour vous (hébergeur, logiciel de paie, agence, outil d’e-mailing) doit être lié par un contrat conforme à l’article 28. La revue de ces contrats prend une à deux heures par fournisseur ; pour une PME qui en compte 30, ce poste pèse autant que le registre.
La formation des équipes
Une sensibilisation d’une heure à une demi-journée pour l’ensemble des collaborateurs coûte entre 500 et 1 500 € HT en présentiel. Les formats e-learning reviennent à quelques dizaines d’euros par personne, et la CNIL propose un cours en ligne gratuit.
Former un DPO ou un référent interne est un autre budget : de 1 500 à 5 000 € HT pour un cursus de trois à cinq jours. L’article formation DPO compare les options.
Les analyses d’impact
Une analyse d’impact n’est obligatoire que pour les traitements à risque élevé : vidéosurveillance, données de santé, profilage, géolocalisation des salariés. Comptez de 1 500 à 5 000 € HT par analyse selon la complexité, en plus de la mission de base.
Le logiciel RGPD
En dessous de 50 salariés, un tableur et un dossier partagé suffisent. Au-delà, ou dès que plusieurs personnes contribuent au registre, un logiciel RGPD coûte entre 50 et 500 € par mois selon les fonctions. Il ne remplace ni l’audit ni le DPO : il organise ce qu’ils produisent.
Et après : le coût du maintien en conformité
La mise en conformité initiale ne vaut que si quelqu’un entretient le dossier : nouveaux outils, nouveaux prestataires, demandes de droits, veille sur les décisions de la CNIL. Trois options existent.
| Option | Coût annuel | Pour qui |
|---|---|---|
| Référent interne formé | Le temps d’un collaborateur, environ un jour par mois, plus sa formation initiale | TPE et PME sans données sensibles, avec une personne volontaire et disponible |
| DPO externalisé par abonnement | 1 800 à 30 000 € HT selon la taille (150 à 2 500 € par mois) | PME qui veulent un professionnel désigné auprès de la CNIL sans recruter |
| DPO salarié | 60 000 à 100 000 € chargés | Organisations de plusieurs centaines de personnes ou secteurs très réglementés |
Le détail des tarifs d’abonnement et le comparatif avec un salarié sont dans l’article DPO externe : combien ça coûte réellement ?.
Ce qui fait baisser ou monter la facture
- Le nombre de sous-traitants. C’est le premier facteur de coût pour une PME, bien avant l’effectif.
- Les données sensibles. Santé, mineurs, données judiciaires ou biométriques imposent des analyses d’impact et des mesures renforcées.
- Le nombre d’entités et de sites. Chaque société du groupe a son registre, même si les outils sont communs.
- Le point de départ. Une entreprise qui a déjà un registre, même incomplet, divise le temps d’audit par deux.
- La disponibilité de vos équipes. Un interlocuteur par service qui répond vite raccourcit la mission ; des rendez-vous reportés l’allongent.
Ce que je constate en mission. Le devis qui fait peur n’est presque jamais celui du cabinet : c’est celui, invisible, du temps interne. Une mise en conformité demande une demi-journée d’entretien par service, puis une heure de relecture par document produit. Les entreprises qui prévoient ce temps dès le départ terminent en six semaines ; celles qui ne le prévoient pas traînent six mois, et paient le même prix.
Thomas Blanc, DPO externalisé depuis 2018
Ce que coûte de ne rien faire
Les amendes de la CNIL atteignent 4 % du chiffre d’affaires mondial, mais pour une PME le coût le plus fréquent est ailleurs : un appel d’offres perdu faute de preuves de conformité, une plainte d’un ancien salarié, ou une fuite de données dont la gestion de crise coûte en moyenne plusieurs dizaines de milliers d’euros. L’article RGPD : que risquez-vous ? détaille ces scénarios.
Questions fréquentes
Peut-on se mettre en conformité gratuitement ?
Oui pour une TPE sans données sensibles, avec les modèles de la CNIL, nos outils gratuits et notre guide RGPD pour les nuls. Le coût est alors votre temps : deux à cinq jours.
Un audit RGPD seul, combien ça coûte ?
Entre 800 et 5 000 € HT selon la taille, pour un état des lieux et un plan d’action sans rédaction de la documentation. C’est le bon format pour savoir où vous en êtes avant de décider de la suite.
Existe-t-il des aides pour financer la mise en conformité ?
Les formations RGPD peuvent être prises en charge par votre opérateur de compétences lorsqu’elles sont dispensées par un organisme de formation enregistré. La prestation de conseil elle-même n’est en général pas subventionnée, sauf dispositifs régionaux ponctuels à vérifier auprès de votre CCI.
Obtenir un chiffrage pour votre entreprise
Un échange de 30 minutes sur vos activités, vos outils et vos données suffit pour vous donner un prix ferme et un calendrier. Vous repartez avec une estimation, que vous décidiez ou non de nous confier la mission.
