Conformité et RGPD : un registre à jour, des demandes traitées dans les délais et des preuves prêtes, l’analyse restant au DPO.
Le responsable conformité et le DPO tiennent le registre des traitements, répondent aux demandes des personnes, évaluent les nouveaux projets et suivent le dispositif anticorruption. Leur difficulté tient moins aux règles qu’à l’information : elle est dans les outils des autres services, et il faut la réclamer, la recopier et la relancer. L’automatisation va la chercher là où elle vit ; l’analyse et l’arbitrage restent à la conformité.
Le rôle
Entre la direction générale, la DSI, les métiers et les autorités.
La conformité s’assure que l’entreprise respecte ses obligations et peut le prouver : protection des données personnelles, prévention de la corruption, règles propres à son secteur. Elle conseille les projets avant leur lancement, contrôle après coup et documente ce qui a été fait. Dans une ETI, ce rôle est souvent tenu par une seule personne, parfois avec un DPO externe, qui dépend entièrement de la coopération des services.
Le quotidien
Une journée type.
- MatinTraiter les demandes d’exercice des droits reçues : accès, rectification, effacement, opposition.
- MatinRelancer les services pour collecter les données d’une personne dans le CRM, le SIRH ou l’outil e-commerce.
- MidiRépondre à un chef de projet qui lance un nouvel outil : faut-il une AIPD, quelles mentions, quel contrat avec le prestataire ?
- Après-midiMettre à jour le registre des traitements après un changement d’outil ou de prestataire.
- Après-midiÉvaluer un nouveau fournisseur ou un intermédiaire au titre du dispositif anticorruption.
- Fin de journéeSuivre les plans d’action, les formations obligatoires et les points à présenter à la direction.
Les objectifs
Ce sur quoi le métier est attendu.
- Demandes de droits traitées dans le délai légal
- Registre des traitements à jour
- Projets évalués avant leur lancement
- Sous-traitants couverts par un contrat conforme
- Tiers évalués avant engagement
- Plans d’action clôturés
Les indicateurs sont nommés, jamais chiffrés : les niveaux dépendent de chaque entreprise, et le diagnostic les mesure.
Au quotidien
Les problèmes rencontrés souvent.
Un registre toujours en retard
Les outils changent, les prestataires aussi, et le registre des traitements n’est mis à jour que lorsqu’on y pense, souvent avant un audit.
Des données dispersées dans les outils
Répondre à une demande d’accès oblige à interroger le CRM, l’e-commerce, le SIRH, la messagerie et les fichiers partagés, service par service.
Des projets découverts après coup
Un nouvel outil est déjà en service quand la conformité l’apprend ; l’AIPD et le contrat de sous-traitance arrivent en retard.
Des sous-traitants mal connus
Qui traite quelles données, où, avec quelles garanties : la liste réelle des prestataires diffère de celle du registre.
Des évaluations de tiers à la main
Questionnaires envoyés par e-mail, recherches faites une à une, résultats dans un tableur : l’évaluation suit difficilement le rythme des achats.
Des preuves dispersées
Formations, contrôles, évaluations, décisions : tout a été fait, mais rassembler la documentation pour un contrôle prend du temps.
Selon le secteur
Le même métier, plusieurs réalités.
- Mode et luxe
Données de clients fortunés à protéger avec soin, fichiers clients partagés entre boutiques de plusieurs pays, transferts hors de l’Union européenne et intermédiaires à évaluer sur les marchés à risque.
- Retail
Programmes de fidélité, vidéoprotection en magasin, données des clients en ligne, nombreux prestataires de livraison, de paiement et de marketing à encadrer comme sous-traitants.
- Cosmétique et beauté
Données des clientes et des programmes de fidélité, diagnostics de peau et applications, influenceurs et agences, distributeurs à évaluer dans plusieurs pays.
- Distribution B2B et négoce
Fichiers de clients professionnels, géolocalisation des véhicules, nombreux fournisseurs et intermédiaires commerciaux à évaluer, cadeaux et invitations à encadrer dans la relation commerciale.
- BTP et copropriété
Sous-traitants en cascade à évaluer, données des salariés et des intérimaires sur les chantiers, contrôles d’accès, marchés publics soumis à des exigences d’intégrité.
- Industrie
Agents commerciaux et distributeurs à l’export, données des salariés et des badges d’accès aux sites, partenaires techniques à évaluer, contrôles à l’exportation à coordonner.
- Pharma et santé
Données de santé et de pharmacovigilance, liens avec les professionnels de santé à déclarer, essais et études soumis à des règles propres, inspections fréquentes.
Ce qui change
Automatiser le geste, garder le jugement.
Ce qui s’automatise
- Registre des traitements alimenté par l’inventaire des outils et des prestataires, avec une alerte à chaque nouvel outil ou nouveau contrat.
- Demandes d’exercice des droits orchestrées entre les services, avec la collecte des données dans chaque outil et le suivi du délai légal.
- Questionnaire de pré-analyse des projets qui indique au DPO si une AIPD paraît nécessaire, avec un premier projet rédigé par l’IA.
- Évaluation des tiers déclenchée depuis l’outil achats, avec recherches automatiques et questionnaire de diligence.
- Preuves de conformité classées au fil de l’eau, prêtes pour un audit ou un contrôle.
Ce qui reste humain
- L’analyse de conformité, l’appréciation des risques et les avis donnés aux projets.
- La décision sur une demande de droits délicate, une violation de données ou un tiers à risque.
- La relation avec les autorités et la présentation à la direction générale.
Cas d’usage
Comment automatiser, cas par cas.
Chaque cas part d’une question que se posent les directions. La situation de départ, ce qui s’automatise, les outils concernés, et ce qui reste entre les mains des équipes.
Comment automatiser le registre RGPD des traitements ?
- Aujourd’hui
- Le registre est un tableur rempli lors d’un projet de mise en conformité, puis mis à jour par à-coups. Les nouveaux outils, les changements de prestataires et les nouvelles finalités n’y entrent que si quelqu’un pense à prévenir le DPO.
- Ce qui s’automatise
- Le registre est relié à l’inventaire des applications de la DSI et aux contrats prestataires : un nouvel outil ou un nouveau contrat crée une fiche de traitement à compléter. Un agent IA pré-remplit la fiche à partir de la documentation du projet : finalité, catégories de données, personnes concernées, destinataires, durée de conservation proposée. Le DPO complète, corrige et valide.
- Ce qui reste humain
- Le DPO valide chaque fiche, la base légale retenue et la durée de conservation.
- outil de conformité
- inventaire des applications
- base contractuelle
- agent IA de rédaction
Comment automatiser les demandes d’exercice des droits RGPD ?
- Aujourd’hui
- Les demandes d’accès, de rectification ou d’effacement arrivent par e-mail, par le service client ou par courrier. Le DPO écrit à chaque service pour rassembler les données, relance, compile, et surveille le délai de réponse dans son agenda.
- Ce qui s’automatise
- Chaque demande est enregistrée dès sa réception, avec sa date limite et la vérification de l’identité du demandeur. L’outil envoie les tâches de recherche aux services concernés ou interroge directement le CRM, l’e-commerce et le SIRH, puis rassemble les résultats. Un agent IA classe la demande, prépare la réponse à partir de modèles et signale les données de tiers à masquer.
- Ce qui reste humain
- Le DPO décide de la réponse, notamment quand une exception s’applique ou que la demande est contestable.
- outil de conformité
- CRM
- plateforme e-commerce
- SIRH
- agent IA de classement
Comment automatiser l’effacement des données personnelles dans tous les outils ?
- Aujourd’hui
- Quand une personne demande l’effacement, il faut supprimer ou anonymiser ses données dans plusieurs outils qui ne communiquent pas. Chacun le fait à sa façon, sans preuve, et des copies survivent dans des exports ou des fichiers partagés.
- Ce qui s’automatise
- La demande validée déclenche une tâche d’effacement dans chaque outil concerné, par connecteur quand c’est possible, sinon par une tâche assignée au service. Les obligations de conservation sont vérifiées avant suppression, par exemple pour les factures. Chaque action est tracée et le dossier de preuve se constitue automatiquement.
- Ce qui reste humain
- Le DPO arbitre entre effacement et obligation légale de conservation, et clôt la demande.
- outil de conformité
- CRM
- ERP
- plateforme e-commerce
- outil de workflow
Comment automatiser la réalisation des AIPD ?
- Aujourd’hui
- L’analyse d’impact se fait sur un document vierge ou un modèle, souvent après le lancement du projet. Le DPO court après le chef de projet et le prestataire pour obtenir les informations techniques, et l’analyse s’étire.
- Ce qui s’automatise
- Un questionnaire de pré-analyse, intégré au lancement de chaque projet, indique si une AIPD paraît nécessaire. Le cas échéant, l’outil ouvre le dossier, collecte les réponses du chef de projet, de la DSI et du prestataire, et un agent IA rédige une première description du traitement et des risques identifiés. Les mesures retenues sont suivies jusqu’à leur mise en œuvre.
- Ce qui reste humain
- Le DPO apprécie les risques et rend son avis ; le responsable de traitement décide de lancer ou d’adapter le projet.
- outil de conformité
- questionnaires en ligne
- agent IA de rédaction
- outil de gestion de projet
Comment automatiser le suivi des sous-traitants RGPD ?
- Aujourd’hui
- Les prestataires qui traitent des données personnelles sont nombreux : hébergeurs, outils marketing, paie, logistique. Leur contrat de sous-traitance, leur localisation et leurs garanties sont vérifiés au cas par cas, quand le DPO en entend parler.
- Ce qui s’automatise
- La création d’un prestataire dans l’outil achats déclenche une question simple : traite-t-il des données personnelles ? Si oui, l’outil demande le contrat de sous-traitance et les garanties de sécurité, et un agent IA vérifie la présence des clauses attendues. La liste des sous-traitants et la localisation des données alimentent le registre.
- Ce qui reste humain
- Le DPO juge les garanties suffisantes ou non, en particulier pour les transferts hors de l’Union européenne.
- outil achats
- base contractuelle
- agent IA de lecture de documents
- outil de conformité
Comment automatiser la gestion des violations de données personnelles ?
- Aujourd’hui
- Un e-mail envoyé au mauvais destinataire, un ordinateur perdu, un accès indu : l’incident est signalé tard, de manière informelle. Le DPO reconstitue les faits dans l’urgence pour décider d’une notification à l’autorité dans le délai légal.
- Ce qui s’automatise
- Un formulaire de signalement, accessible à tous, enregistre l’incident avec l’heure de découverte et déclenche le décompte du délai légal. L’outil demande les informations utiles à la DSI et aux services : données touchées, personnes concernées, mesures prises. Le registre des violations se tient seul, et un projet de notification est préparé à partir des réponses.
- Ce qui reste humain
- Le DPO et la direction décident de notifier l’autorité et d’informer les personnes concernées.
- formulaire en ligne
- outil de conformité
- outil de gestion des incidents
- messagerie
Comment automatiser l’application des durées de conservation des données ?
- Aujourd’hui
- Le registre fixe des durées de conservation, mais personne ne les applique : les anciens clients, les candidats non retenus et les prospects inactifs restent indéfiniment dans les outils.
- Ce qui s’automatise
- Les durées du registre sont traduites en règles dans chaque outil : CRM, e-commerce, SIRH, outil de recrutement. Les données arrivées à échéance sont signalées, archivées ou anonymisées selon la règle, avec un rapport périodique de ce qui a été traité. Les exceptions, comme un litige en cours, bloquent la purge.
- Ce qui reste humain
- Le DPO fixe les durées et les exceptions ; les services valident les purges qui touchent leurs données.
- CRM
- SIRH
- plateforme e-commerce
- outil de conformité
Comment automatiser l’évaluation des tiers au titre de Sapin II ?
- Aujourd’hui
- Fournisseurs, distributeurs, agents et intermédiaires doivent être évalués selon leur niveau de risque. La conformité envoie des questionnaires par e-mail, fait ses recherches une par une et consigne les résultats dans un tableur, souvent après que la relation a commencé.
- Ce qui s’automatise
- L’évaluation est déclenchée dès la création du tiers dans l’ERP ou l’outil achats, avec un niveau de diligence fixé par la cartographie des risques : pays, type de tiers, nature de la prestation. Les recherches sur les listes de sanctions et la presse sont automatiques, et le questionnaire part au tiers. Un agent IA résume les résultats et signale les points d’attention.
- Ce qui reste humain
- La conformité décide d’accepter, de refuser ou d’encadrer la relation avec un tiers signalé.
- outil achats
- ERP
- outil de conformité
- agent IA de synthèse
Comment automatiser le registre des cadeaux, invitations et conflits d’intérêts ?
- Aujourd’hui
- Les salariés déclarent les cadeaux et invitations reçus ou offerts par e-mail, quand ils y pensent. Les déclarations de conflits d’intérêts sont collectées sur papier une fois par an et rarement relues.
- Ce qui s’automatise
- Un formulaire simple permet de déclarer un cadeau, une invitation ou un lien d’intérêts, avec les règles applicables affichées au moment de la saisie. Les déclarations au-delà des seuils fixés par le code de conduite sont envoyées au manager et à la conformité pour avis. La campagne annuelle de déclaration est relancée automatiquement auprès des populations concernées.
- Ce qui reste humain
- La conformité apprécie chaque situation signalée et décide des mesures à prendre.
- formulaire en ligne
- outil de conformité
- SIRH
- messagerie
Comment automatiser la veille réglementaire ?
- Aujourd’hui
- La conformité suit les publications officielles, les lettres d’information des avocats et les recommandations des autorités, chacune dans sa boîte. Savoir quel texte concerne l’entreprise et qui doit agir dépend du temps disponible.
- Ce qui s’automatise
- Les sources suivies sont regroupées dans un même flux. Un agent IA résume chaque nouveauté, la rattache aux thèmes et aux activités de l’entreprise, et propose les services concernés. La conformité valide l’analyse, puis l’outil crée les actions à mener et suit leur réalisation.
- Ce qui reste humain
- La conformité interprète le texte, décide s’il s’applique et fixe les actions à mener.
- outil de veille
- agent IA de synthèse
- outil de conformité
- messagerie
Les questions des équipes
Ce que les équipes cherchent à améliorer.
- Comment automatiser la conformité RGPD dans une ETI ?
- En reliant la conformité aux outils où vivent les données : inventaire des applications, achats, contrats, SIRH, CRM. Le registre des traitements se tient alors à jour à partir de ces sources, les demandes des personnes circulent entre les services sans relance manuelle et les preuves se constituent au fil de l’eau. Le DPO garde l’analyse et les décisions.
- L’IA peut-elle remplacer le DPO ?
- Non. Elle prépare : elle rédige un premier projet de fiche de traitement ou d’AIPD, classe les demandes reçues, repère des données personnelles dans un document. L’analyse, l’avis et la responsabilité restent au DPO et au responsable de traitement.
- Comment tenir le registre RGPD à jour quand les outils changent ?
- En partant de l’inventaire des applications de la DSI et de la liste des contrats prestataires : chaque outil ou prestataire nouveau déclenche la création ou la mise à jour d’une fiche de traitement, pré-remplie, que le DPO complète et valide.
- Comment respecter le délai de réponse aux demandes d’accès ?
- En enregistrant chaque demande dès sa réception avec sa date limite, puis en envoyant automatiquement les tâches de collecte aux services concernés, avec relances. Le DPO voit à tout moment les demandes en cours et leur échéance.
- Comment savoir si un projet nécessite une AIPD ?
- Un questionnaire court, rempli par le chef de projet, reprend les critères qui rendent l’analyse nécessaire : données sensibles, surveillance, profilage, grande échelle, nouvelles technologies. Le résultat oriente le DPO, qui décide.
- Comment adapter l’évaluation des tiers à leur niveau de risque ?
- En la déclenchant dès la création d’un fournisseur ou d’un intermédiaire, avec un niveau de diligence fixé par la cartographie des risques. Les recherches et le questionnaire se font automatiquement ; la conformité décide pour les tiers signalés.
- Les outils d’automatisation sont-ils eux-mêmes conformes au RGPD ?
- Ils doivent l’être et figurer au registre : hébergement choisi avec la DSI, accès limités par rôle, durées de conservation fixées et contrat de sous-traitance avec chaque prestataire.
- Par quoi commencer quand la conformité repose sur une seule personne ?
- Par ce qui revient le plus et engage le plus : le circuit des demandes d’exercice des droits et la mise à jour du registre à partir de l’inventaire des outils. Ce sont les deux sujets qu’un contrôle examine en premier.
02 — Commencer
Décrivez ce qui freine vos équipes.
Un premier échange pour qualifier votre besoin. Puis un diagnostic cadré : le périmètre, la solution, le chiffrage.
Parler de votre projetRéponse sous 48 h ouvrées.