Comment être conforme au RGPD ?

Vous devez vous mettre en conformité avec le RGPD mais vous ne savez pas par où commencer ?
Vous n’êtes pas seul : 8 dirigeants sur 10 reportent leur mise en conformité faute de temps ou de clarté.

• éviter les sanctions,
• protéger votre entreprise,
• et rassurer vos clients.

Pourtant, le RGPD n’est pas une montagne infranchissable. En suivant une méthode simple et pragmatique, vous pouvez :

En tant qu’expert RGPD et DPO depuis plus de 10 ans, j’ai accompagné plus de 100 structures vers la conformité.

Dans ce guide, je vous partage les étapes incontournables pour être conforme au RGPD, sans jargon, avec des exemples concrets et des outils pratiques.

Voici mes 6 étapes pour devenir conforme par rapport au RGPD :

Etape 1 : Identifiez toutes les données personnelles que vous traitez

Avant toute chose, vous devez savoir quelles données personnelles vous collectez, stockez ou consultez.
C’est la base de toute mise en conformité RGPD.

🔍 Qu’est-ce qu’une donnée personnelle au sens du RGPD ?

Une donnée personnelle, c’est toute information permettant d’identifier une personne physique, directement ou indirectement.

Voici quelques exemples fréquents en entreprise :

• Données directes : nom, prénom, adresse, téléphone, email professionnel ou personnel.
• Données indirectes : identifiant client, numéro de badge, plaque d’immatriculation, cookie, adresse IP.
• Données sensibles (traitement encadré) : données de santé, origine ethnique, opinions politiques, casier judiciaire, etc.

Même une adresse email professionnelle de type prenom.nom@entreprise.com est une donnée personnelle si elle permet d’identifier un individu.

🗂️ Où chercher ces données dans votre entreprise ?

Les données personnelles ne sont pas seulement dans votre CRM ou vos outils RH. Pensez à :

• Vos fichiers Excel (clients, prospects, fournisseurs…)
• Vos emails professionnels
• Vos documents papier (contrats, bulletins de paie, candidatures…)
• Vos logiciels métiers (facturation, comptabilité, recrutement, etc.)
• Vos formulaires en ligne, notamment sur votre site web
• Vos badges d’accès, systèmes de vidéosurveillance, etc.

✅ Objectif de cette étape

Dressez une liste complète des types de données personnelles que vous gérez, en précisant :

• La nature des données (email, numéro de téléphone, coordonnées bancaires…)
• Le support (papier, fichier informatique, base de données, cloud…)
• Qui y a accès (service RH, commercial, direction, etc.)

Pourquoi je commence toujours par une cartographie des données personnelles

Lorsque j’accompagne une entreprise, la première chose que je fais systématiquement, c’est une cartographie des données.

Pourquoi ? Parce qu’il est impossible de protéger ou d’organiser ce que l’on ne voit pas clairement.

Cette cartographie permet de :

• Faire un état des lieux complet : on découvre souvent des fichiers oubliés ou des traitements non documentés.
• Éveiller la prise de conscience dans les équipes : on réalise à quel point les données sont présentes partout.
• Préparer le terrain pour les étapes suivantes : registre des traitements, mise à jour des contrats, sécurité, etc.

Je construis cette cartographie avec les équipes, en atelier ou à distance, à partir d’un modèle éprouvé.
Elle devient ensuite un document de référence, utile aussi bien pour la CNIL que pour la stratégie interne.

Etape 2 : Identifiez les partenaires et logiciels qui traitent vos données

Une fois vos données personnelles identifiées, il est essentiel de savoir avec qui vous les partagez.

Le RGPD impose une responsabilité claire à toute entreprise qui transfère des données personnelles à un tiers : vous devez connaître qui fait quoi et sous quelles conditions.

🤝 Qui sont vos « tiers » au sens du RGPD ?

Il s’agit de toutes les personnes morales ou physiques extérieures à votre entreprise qui peuvent accéder, stocker ou traiter des données personnelles pour votre compte.

Le RGPD pour Tous

Rejoins mon cours gratuit de 7 jours par email
C’est simple, rapide et dans 1 semaine, tu sauras tout ce qu’il faut savoir !
– Les 8 règles d’Or du RGPD
– Comment faire son registre (et des modèles)
– La Checklist RGPD

Recevoir gratuitement

On distingue deux grandes catégories :

1. Les sous-traitants

Ce sont les prestataires à qui vous confiez des tâches, comme :

• Cabinets comptables
• Agences RH ou intérim
• Fournisseurs de maintenance informatique
• Sociétés de nettoyage (si accès à des bureaux contenant des documents sensibles)
• Agences web ou prestataires marketing
• Hébergeurs cloud, prestataires d’emailing, etc.

2. Les éditeurs de logiciels / SaaS

Certains outils que vous utilisez au quotidien hébergent eux-mêmes des données personnelles. Par exemple :

💡 Astuce : ce n’est pas parce qu’un logiciel est « célèbre » ou « hébergé aux USA » que le RGPD ne s’applique pas. Bien au contraire !

🧠 Pourquoi je procède toujours à un audit des tiers chez mes clients

Lors de mes accompagnements RGPD, je fais systématiquement un audit des tiers.

C’est souvent là que l’on découvre :

• Des contrats obsolètes sans clauses RGPD,
• Des prestataires oubliés,
• Des logiciels non documentés (ou dont personne ne connaît la politique de confidentialité).

L’audit des tiers qui a remis les pendules à l’heure

En listant les prestataires, on a retrouvé un contrat agence web signé en 2018… sans clauses RGPD. L’éditeur du SIRH stockait bien en Irlande (ok), mais le SAV passait par un sous-traitant aux USA (non encadré). Trois avenants plus tard et un DPA signé, le directeur administratif avait enfin une vision claire de “qui fait quoi, où”.

Par Thomas Blanc — DPO externalisé & Formateur RGPD

⭐ 4,5/5 +120 clients RGPD

Parler avec Thomas

Je travaille avec l’équipe administrative et informatique pour croiser les sources : achats, contrats, logiciels utilisés, bons de commande, etc.

Objectif : construire une vision claire de votre écosystème de données.

✅ Ce que vous devez faire maintenant

1. Lister tous les prestataires qui accèdent, manipulent ou hébergent des données personnelles.
2. Identifier les logiciels utilisés dans l’entreprise (CRM, SIRH, outils comptables…).
3. Pour chaque tiers, noter :
   • Type de données concernées
   • Finalité du traitement
   • Pays d’hébergement des données
   • Existence ou non d’un contrat avec clauses RGPD

Etape 3 : Regroupez vos données en traitements cohérents

Maintenant que vous avez identifié vos données personnelles et les tiers impliqués, il est temps de les structurer sous forme de traitements de données.

C’est une étape clé : c’est ce que la CNIL vérifiera en premier si elle contrôle votre entreprise.

🔎 Qu’est-ce qu’un « traitement de données » selon le RGPD ?

Un traitement, c’est toute opération (ou ensemble d’opérations) réalisée sur des données personnelles.
Cela peut être :

• la collecte (via un formulaire ou un CV)
• la conservation (dans un fichier Excel ou un logiciel)
• la modification
• la transmission
• ou même la suppression

💡 Un traitement n’est pas un outil, c’est un processus métier.

Le déclic de Sophie, DG d’une PME

« On a vraiment un traitement “prospection” ? » m’a lancé Sophie, à Annecy, en regardant son fichier “Prospects_2021_final_v3.xlsx”. En 45 minutes de cartographie, on a découvert 7 versions du même fichier et un formulaire web qui alimentait… rien. L’équipe a adopté la logique “1 finalité = 1 traitement” et a gagné deux heures par semaine dès le mois suivant.

Par Thomas Blanc — DPO externalisé & Formateur RGPD

⭐ 4,5/5 +120 clients RGPD

Parler avec Thomas

🧱 Comment structurer vos traitements ?

Votre objectif ici est de regrouper les données en « blocs logiques », selon leur finalité (le « pourquoi » du traitement).

Voici quelques exemples courants :

📌 Pourquoi cette étape est stratégique

Quand j’interviens en entreprise, je remarque que les données sont souvent dispersées, traitées sans cohérence.
En regroupant les données en traitements bien définis :

• Vous gagnez en lisibilité,
• Vous préparez efficacement votre registre,
• Vous pouvez mieux évaluer les risques (données sensibles, transferts hors UE, etc.)

Je recommande de documenter chaque traitement dès cette étape (finalité, base légale, durée de conservation, acteurs concernés…)

🎓 Astuce d’expert

1 finalité = 1 traitement

Si vous utilisez un fichier clients pour :

• envoyer des devis (finalité 1)
• relancer pour des impayés (finalité 2)
• envoyer une newsletter (finalité 3)

👉 Ce sont 3 traitements différents, même si les données sont les mêmes.

Etape 4 : Créez votre registre des traitements de données personnelles

Le registre des traitements est l’élément central de votre conformité RGPD.
C’est lui qui montre à la CNIL (et à vos partenaires) que vous savez quelles données vous traitez, pourquoi, comment et avec qui.

📘 Le registre, qu’est-ce que c’est exactement ?

Il s’agit d’un document structuré, qui recense l’ensemble des traitements de données personnelles réalisés par votre entreprise.
Il doit être mis à jour régulièrement et présenté en cas de contrôle.

Le registre est obligatoire pour :

• Toute entreprise de plus de 250 salariés
• Mais aussi pour toute entreprise (TPE/PME) qui traite des données personnelles à grande échelle, de manière sensible ou systématique.
  👉 Autrement dit : tout le monde est concerné ou presque.

🧠 Pourquoi je fais du registre un outil stratégique

Dans mes accompagnements, je ne vois pas le registre comme une simple obligation.
Je le transforme en tableau de bord opérationnel, qui permet de :

• Avoir une vue d’ensemble claire des traitements,
• Identifier les risques potentiels,
• Définir des actions correctives prioritaires (ex : revoir un contrat, renforcer la sécurité…),
• Et surtout : répondre rapidement à la CNIL ou à un client qui exerce un droit RGPD.

📝 Ce que doit contenir un bon registre

Pour chaque traitement identifié, vous devez décrire les éléments suivants :

💡 Ce travail est souvent fait dans un tableau Excel, mais peut aussi être intégré dans un outil spécialisé (ex : Data Legal Drive, Qontinua…).

🛠️ Mon conseil de terrain

Ne cherchez pas la perfection dès le début.
L’important est de commencer avec les traitements principaux, puis d’enrichir le registre au fil du temps.

Je recommande de prioriser :

1. Les traitements à fort volume ou contenant des données sensibles
2. Les traitements avec sous-traitants externes
3. Ceux qui sont exposés à un risque juridique ou réputationnel

Etape 5 : Maîtrisez vos obligations légales au titre du RGPD

Maintenant que vous avez structuré vos traitements, il est temps de comprendre les obligations qui s’appliquent réellement à votre entreprise.

Le RGPD n’est pas qu’une démarche documentaire. C’est un cadre légal structurant, qui impose des droits pour les personnes concernées et des devoirs pour ceux qui traitent leurs données.

⚖️ Les 7 grandes obligations du RGPD (à connaître absolument)

🧠 Mon approche avec mes clients

Lors de mes accompagnements, j’identifie toujours les obligations prioritaires selon :

• le type de données traitées (clients, salariés, santé, etc.)
• la taille et l’organisation de l’entreprise
• le niveau de risque (juridique, financier, réputationnel)

Je fournis un plan d’action RGPD personnalisé, avec des priorités classées par niveau d’impact.

🎯 Focus sur 3 points critiques

🔐 1. Le droit des personnes

C’est la base du RGPD. Chaque personne dont vous traitez les données (client, salarié, candidat…) dispose de droits :

• Droit d’accès
• Droit de rectification
• Droit d’opposition
• Droit à l’effacement
• Droit à la portabilité
• Droit à la limitation
• Droit de refus d’un traitement automatisé

👉 Vous devez pouvoir répondre à une demande dans un délai d’un mois, avec une procédure claire.

Le jour où un client a exercé son droit d’accès

Un vendredi 16h12, un email tombe : « Merci de m’envoyer toutes les données me concernant ». Sans registre, l’équipe support partait pour un week-end blanc. Avec les traitements déjà documentés (CRM, SAV, facturation), on a compilé la réponse en 48 minutes et envoyé un accusé réception propre. Le commercial m’a soufflé : « C’est la première fois que je dors tranquille un vendredi. »

Par Thomas Blanc — DPO externalisé & Formateur RGPD

⭐ 4,5/5 +120 clients RGPD

Parler avec Thomas

🛡️ 2. Les failles de sécurité

Le RGPD impose un formalisme strict en cas de violation :

• Notifier la CNIL dans les 72h maximum
• Documenter les causes et les mesures prises
• Informer les personnes si le risque est élevé

Je fournis souvent à mes clients un modèle de procédure de gestion des incidents à intégrer dans leur organisation.

72h chrono : l’ordinateur volé

Un commercial s’est fait voler son laptop à la Part-Dieu. Grâce au chiffrement activé, à la MDM et au modèle de procédure incident (pré-rempli), on a notifié en interne à H+2, enclenché la télédéconnexion, puis documenté l’événement. Bilan : déclaration CNIL non requise, pas de communication clients, et un exercice de reprise planifié le mois suivant.

Par Thomas Blanc — DPO externalisé & Formateur RGPD

⭐ 4,5/5 +120 clients RGPD

Parler avec Thomas

📄 3. Les contrats avec vos sous-traitants

C’est un point d’audit fréquent lors des contrôles.

Vous devez vous assurer que vos contrats incluent des clauses RGPD obligatoires, notamment sur :

• La finalité du traitement
• Les obligations du sous-traitant
• Les mesures de sécurité
• Le sort des données en fin de mission

Etape 6 : Planifiez les changements nécessaires pour solidifier votre conformité RGPD

Bravo, vous avez désormais :

• Cartographié vos données
• Identifié vos sous-traitants
• Décrit vos traitements
• Créé votre registre
• Pris conscience de vos obligations

Il est temps de passer à l’action et de mettre en œuvre les ajustements nécessaires pour que votre conformité soit solide, durable et crédible en cas de contrôle.

🛠️ Voici les chantiers prioritaires à traiter

📆 1. Définir des durées de conservation

Le RGPD interdit de conserver les données personnelles « plus longtemps que nécessaire ».

Pour chaque traitement, vous devez fixer une durée maximale de conservation, puis mettre en place une procédure de suppression ou d’archivage.

💡 Je conseille de créer un calendrier d’effacement automatique, à intégrer dans vos logiciels ou vos procédures internes.

🚨 2. Gérer les données sensibles avec précaution

Certaines données dites « sensibles » nécessitent des précautions renforcées :

• Santé
• Orientation sexuelle
• Opinions politiques
• Données biométriques
• Casier judiciaire…

Si vous traitez ce type de données :

• Vérifiez que vous avez une base légale solide (ex : obligation légale, consentement explicite)
• Mettez en place des mesures de sécurité techniques et organisationnelles adaptées
• Limitez leur accès strictement aux personnes autorisées

🌐 3. Mettre à jour votre site web et vos formulaires

Votre site web est souvent le premier point de collecte des données. Il doit être conforme sur plusieurs aspects :

💡 Je fournis à mes clients un kit conformité web, avec modèles de mentions et paramétrage de cookie banner.

🧯 4. Préparer une procédure en cas de faille de sécurité

Un ordinateur volé, un salarié maladroit, un logiciel piraté… Une faille peut arriver à tout moment.

Vous devez :

• Anticiper ces scénarios
• Mettre en place une procédure claire (notification CNIL + communication interne/externe)
• Documenter chaque incident dans un registre dédié

🔐 Je recommande de tester la procédure une fois par an, comme un exercice de sécurité.

👥 5. Former les équipes concernées

Le RGPD, ce n’est pas qu’un sujet juridique : c’est aussi une culture à diffuser en interne.

Formez les collaborateurs qui manipulent des données personnelles, notamment :

• Commerciaux
• RH
• Marketing
• Support client
• Direction

🎓 Je propose souvent des sessions courtes, adaptées aux profils, pour responsabiliser sans surcharger.

Conclusion : Le RGPD est finalement un travail continu.

Se mettre en conformité avec le RGPD peut paraître complexe, voire décourageant.
Mais une fois les bons outils en main et la bonne méthode suivie, c’est aussi une opportunité précieuse pour professionnaliser votre gestion des données.

✔️ Meilleure sécurité
✔️ Confiance renforcée avec vos clients et partenaires
✔️ Risques juridiques réduits
✔️ Image de marque valorisée

La conformité RGPD ne se fait pas en un jour, mais elle se construit étape par étape, en s’adaptant à votre entreprise, vos moyens, vos enjeux.

👨‍💼 Faire appel à un cabinet RGPD : un vrai accélérateur

En tant qu’expert RGPD et DPO externalisé, j’interviens depuis plusieurs années auprès de TPE, PME, associations et collectivités.

Ce que je vous propose, c’est :

• Une démarche claire, progressive et adaptée à votre réalité
• Des outils prêts à l’emploi (registre, modèles, politiques web…)
• Un accompagnement humain et pragmatique, loin du jargon juridique

🎯 Objectif : vous faire gagner du temps, limiter vos risques, et vous rendre autonome.

Questions fréquentes sur la mise en conformité rgpd