Bâtir un plan d’action RGPD qui tient dans le temps

Un registre rempli une fois puis oublié ne protège personne. La conformité au RGPD se vérifie dans la durée. Chaque nouveau logiciel, chaque recrutement et chaque campagne marketing crée un traitement de données personnelles qu’il faut documenter, justifier et sécuriser. Un plan d’action RGPD structuré, associé à une formation régulière des équipes, transforme cette obligation de protection des données en routine contrôlable. La méthode qui suit reprend la démarche recommandée par la CNIL, en quatre étapes successives.

Ce qu’il faut retenir

• Le registre des activités de traitement est le point de départ obligatoire de toute démarche de conformité RGPD.
• Toute demande d’exercice des droits appelle une réponse dans un délai d’un mois maximum.
• Une violation de données présentant un risque pour les droits et libertés se notifie à la CNIL dans les 72 heures.
• Les données personnelles ne se conservent jamais indéfiniment : la durée dépend de l’objectif de la collecte.
• La formation des équipes et la révision régulière du plan d’action RGPD conditionnent la conformité dans la durée.

Par où commencer votre mise en conformité RGPD ?

Avant toute action technique, deux décisions conditionnent la suite : dresser un état des lieux sincère et confier le pilotage à une personne identifiée. Sans ces préalables, le plan d’action RGPD se disperse entre les services.

Évaluer votre situation actuelle

Le diagnostic initial confronte vos pratiques aux exigences du RGPD, le règlement général sur la protection des données, et de la loi Informatique et Libertés, qui en forme le cadre national. La liste de vérification RGPD publiée par la CNIL pour les TPE-PME sert de grille de lecture : registre, information des personnes, sécurité, contrats. Chaque manquement constaté devient une ligne du plan d’actions, assortie d’un responsable et d’une échéance. Ce document n’a de valeur que s’il est tenu à jour et suivi par les acteurs impliqués.

La conformité RGPD repose sur la preuve : conservez la trace de chaque décision dès cette première étape.

Désigner un délégué à la protection des données

Le délégué à la protection des données (DPO) conseille et accompagne l’organisme dans sa conformité au RGPD. Sa désignation est obligatoire pour certains organismes et facultative pour les autres ; dans ce second cas, nommer un référent RGPD interne reste une bonne pratique. Le DPO peut être un salarié ou une ressource externalisée. Sa désignation se déclare auprès de la CNIL, Commission nationale de l’informatique et des libertés, via le service en ligne dédié.

Sa première mission opérationnelle consiste à organiser un processus interne garantissant l’identification et le traitement des demandes des personnes dans les délais. Sa seconde : piloter la formation RGPD des collaborateurs. Un DPO seul ne corrige pas des pratiques quotidiennes mal maîtrisées, alors qu’une formation conduite service par service ancre les règles dans le travail réel.

Étape 1 : recenser vos traitements dans le registre RGPD

Le registre des activités de traitement est l’outil obligatoire de documentation de la conformité au RGPD. Il donne une vue d’ensemble des traitements de données personnelles : gestion de la paie, fichier clients, recrutement, vidéosurveillance, newsletter. Chaque traitement y fait l’objet d’une fiche qui précise son objectif, les catégories de données, les personnes habilitées, les destinataires et la durée de conservation.

Pour cela, procédez comme suit :

1. Téléchargez le modèle de registre simplifié de la CNIL au format ODS, adapté aux petites structures.
2. Interrogez chaque service (ressources humaines, comptabilité, marketing, informatique) sur les fichiers et logiciels qu’il utilise, dossiers papier compris.
3. Rédigez une fiche par traitement et non par logiciel : un même outil sert souvent plusieurs finalités.
4. Fixez une date de révision du registre RGPD et nommez la personne chargée de sa mise à jour.

La difficulté réelle tient à l’exhaustivité. La CNIL recommande, notamment aux collectivités, un contact régulier avec toutes les personnes susceptibles de traiter des données personnelles : l’exactitude du registre en dépend, et avec elle toute la protection qui en découle.

Étape 2 : trier les données au regard du RGPD

Une fois le registre établi, chaque fiche sert de support à un examen critique. Le principe de minimisation impose de ne collecter que ce qui est nécessaire à l’objectif poursuivi ; toute donnée superflue expose l’entreprise sans rien apporter à la protection des personnes. Pour chaque traitement, posez ces questions :

• Les données sont-elles pertinentes et nécessaires ? Un numéro de sécurité sociale exigé dans un simple formulaire de contact ne l’est pas.
• Le traitement repose-t-il sur une base légale identifiée (consentement, contrat ou obligation légale, par exemple) ?
• Les mesures de sécurité sont-elles adaptées à la nature des données ?
• La durée de conservation et d’archivage est-elle fixée précisément ?
• L’accès est-il limité aux personnes qui en ont besoin pour leur mission ?

Marketing et ressources humaines appellent une vigilance particulière. Le recueil du consentement avant l’envoi d’offres commerciales ou de newsletters s’impose dans la plupart des cas, et cet accord doit résulter d’un acte positif et éclairé. Les services RH traitent des données de candidats et de salariés dont le stockage, la sécurité et la suppression obéissent à des règles distinctes. Une action de formation ciblée sur ces deux métiers mérite d’être programmée en priorité.

Étape 3 : informer les personnes et respecter leurs droits

Les personnes concernées disposent de droits pour garder la maîtrise des informations qui les concernent et assurer la protection de leur vie privée. Cette étape du plan d’action RGPD produit deux livrables : des mentions d’information conformes et une procédure de traitement des demandes.

Rédiger des mentions d’information conformes au RGPD

Toute collecte s’accompagne d’une information claire : identité du responsable, finalité, base légale, durée de conservation, droits ouverts à la personne. La CNIL publie des exemples de mentions construits autour d’une entreprise fictive ; adaptez-les à chaque point de collecte (formulaire web, contrat de travail, bon de commande, accueil physique). Une mention unique placée en pied de page du site ne couvre pas les collectes réalisées sur papier.

Organiser l’exercice des droits prévus par le RGPD

Une demande d’accès, de rectification ou d’effacement appelle une réponse dans un délai d’un mois maximum. Pour tenir ce délai :

• prévoyez un formulaire de contact spécifique, une adresse de messagerie et un numéro de téléphone dédiés si vous disposez d’un site web ;
• offrez la possibilité d’exercer ces droits directement depuis l’espace personnel, lorsque vous proposez un compte en ligne ;
• confiez au DPO ou au référent un circuit interne de transmission, afin qu’aucune demande ne reste bloquée dans une boîte de réception.

Étape 4 : sécuriser les données et analyser les risques

Le RGPD impose au responsable du fichier une obligation de sécurité : prendre les mesures nécessaires pour garantir la sécurité des données et empêcher leur divulgation à des tiers non autorisés. Trois risques sont à évaluer pour chaque traitement : l’accès illégitime aux données, leur modification non désirée et leur disparition.

Les mesures recommandées par la CNIL relèvent souvent de l’organisation plus que de l’investissement :

• un identifiant propre et un mot de passe personnel, complexe et renouvelé régulièrement, pour chaque agent ou salarié ;
• des habilitations définies selon les besoins réels liés à la mission ;
• la clôture des comptes informatiques à la fin du contrat ;
• des armoires verrouillées pour les dossiers papier.

Certains traitements exigent aussi une analyse d’impact relative à la protection des données (AIPD), que le responsable peut soumettre à la CNIL par ses services en ligne. Le Guide de la sécurité des données personnelles de la CNIL complète ces mesures : authentification multifacteur, chiffrement, protection contre les rançongiciels. La formation des utilisateurs aux bons usages des mots de passe accompagne chacune de ces mesures. Intégrez ces exigences dès la conception de tout nouveau projet, selon la logique de privacy by design, plutôt que de les ajouter après coup.

Étape 5 : conservation des données et transferts hors de l’UE

Les deux sujets de cette dernière étape répondent à la même question : où se trouvent les données personnelles, et jusqu’à quand ?

Établir une politique de conservation

Le RGPD interdit de conserver les données indéfiniment. Le responsable de traitement détermine une durée en fonction de l’objectif ayant conduit à la collecte, puis distingue la conservation courante de l’archivage. Reportez chaque durée dans la fiche correspondante du registre et programmez des purges automatiques lorsque l’outil le prévoit. La CNIL consacre une fiche à l’articulation entre durées de conservation et obligations d’archivage, utile notamment pour les collectivités.

Transférer des données hors de l’Union européenne : le cadre légal

Un transfert de données hors de l’Union européenne et de l’Espace économique européen (EEE) reste possible à condition d’assurer un niveau de protection suffisant et approprié. Hébergement chez un prestataire étranger, outil collaboratif en ligne, support technique situé hors de l’EEE : chacun de ces cas doit apparaître dans le registre. Les règles d’entreprise contraignantes (BCR), les codes de conduite et les mécanismes de certification figurent parmi les instruments reconnus par le RGPD pour encadrer ces flux. Les lignes directrices du Comité européen de la protection des données (CEPD) précisent le cadre de leur usage.

Encadrer les sous-traitants et gérer les violations de données

Un sous-traitant doit respecter le RGPD au même titre que le responsable de traitement. Hébergeur, éditeur de logiciel de paie, prestataire d’emailing : chaque relation passe par un contrat comportant des clauses RGPD spécifiques, puis par un suivi de la prestation. La CNIL met à disposition des fiches pratiques et un guide dédiés pour vérifier ces clauses avant signature.

Une violation de données désigne la destruction, la perte, l’altération ou la divulgation accidentelle ou illicite de données personnelles. Les cas les plus fréquents sont ordinaires : un courriel envoyé au mauvais destinataire, un ordinateur portable perdu ou volé, une publication involontaire sur internet. Lorsque la violation présente un risque pour les droits et libertés des personnes, notifiez-la à la CNIL dans les 72 heures, via le service en ligne prévu à cet effet. Documentez chaque incident en interne, même non notifié, et vérifiez que vos contrats de sous-traitance obligent le prestataire à vous alerter sans délai. Cette gestion des incidents s’inscrit dans le plan d’action RGPD au même titre que la tenue du registre.

Le délai de 72 heures laisse peu de place à l’improvisation : rédigez la procédure de gestion des violations avant d’en avoir besoin.

Ressources et outils pour faire vivre votre plan d’action RGPD

La CNIL propose gratuitement des ressources de mise en conformité RGPD, classées par thème et par secteur, ainsi qu’une offre de formation en ligne.

Les cadres de référence et guides sectoriels

Les cadres de référence de la CNIL sont élaborés en concertation avec les secteurs concernés pour guider la mise en conformité. Des ressources spécifiques existent pour la santé, l’éducation, la banque et l’assurance, le logement, les associations, les startups ou les TPE et PME. Les collectivités territoriales disposent d’un plan d’action en quatre étapes (recenser, trier, respecter les droits des administrés, sécuriser) qui constitue la base de la méthode décrite ici. Pour une PME, appliquer le RGPD est aussi l’occasion de revoir la gestion de ses données et de corriger les défaillances de sécurité repérées lors du diagnostic.

Documents et modèles à télécharger

Les documents suivants couvrent la majorité des besoins d’une petite structure :

• le guide de sensibilisation au RGPD pour les TPE-PME, coédité par Bpifrance et la CNIL (PDF) ;
• la liste de vérification RGPD pour les TPE-PME (PDF) ;
• le modèle de registre simplifié (ODS) ;
• les exemples de mentions d’information ;
• la charte d’accompagnement des professionnels publiée par la CNIL.

Maintenir la conformité dans la durée

Révisez votre plan d’action RGPD à chaque changement structurel de l’organisation, à chaque renouvellement d’équipe, à chaque évolution du système d’information et à chaque modification des textes applicables. Testez régulièrement le dispositif : simulez une demande d’accès, vérifiez la clôture des comptes des personnes parties, relisez les contrats de sous-traitance. Les contrôles se poursuivent, et la sanction de 824,99 millions d’euros visant Uber pour des décisions automatisées, rendue publique en août 2026, rappelle le niveau des enjeux financiers.

La formation conditionne la durée de vie de l’ensemble. Le MOOC L’atelier RGPD, les webinaires et les journées RGPD de la CNIL fournissent une base de formation gratuite, que le DPO complète par des sessions adaptées à chaque métier. Inscrivez une action de formation RGPD dans le plan de formation annuel de l’entreprise, fixez la prochaine date de révision du registre, et faites valider ces deux échéances par la direction dès aujourd’hui.

Faites vivre votre plan d’action RGPD avec Qontinua

Avec Qontinua, transformez votre diagnostic RGPD en un plan d’action concret et suivi dans le temps. Chaque écart identifié peut être associé à une action, un responsable et une échéance, qu’il concerne le registre des traitements, les durées de conservation, les droits des personnes, la sécurité ou l’encadrement des sous-traitants.

Le registre RGPD, les AIPD, les tiers, les documents et les incidents restent centralisés dans le même environnement. Lorsqu’un traitement évolue ou qu’une nouvelle mesure doit être mise en place, vous pouvez ainsi actualiser votre démarche sans repartir de fichiers dispersés.

Résultat : un plan d’action qui ne reste pas figé après l’audit, des responsabilités clairement identifiées et une conformité RGPD plus facile à suivre et à améliorer dans la durée.