En bref
Commencez par le périmètre web. C'est le seul que la CNIL — ou un plaignant — peut contrôler à distance et sans préavis, les écarts s'y constatent en quelques minutes, et les correctifs y sont les plus rapides à déployer. Le registre des traitements et la documentation contractuelle viennent ensuite. Comptez trois à six mois pour une PME au périmètre classique.
Les 5 phases, dans l'ordre
Constater
Quelques minutes à quelques joursAvant tout plan, il faut un état des lieux factuel. Sur le périmètre web, c'est immédiat et vérifiable : quels traceurs sont déposés, quels tiers sont appelés, que disent les pages légales.
Cartographier
2 à 6 semainesRecenser les traitements dans un registre conforme à l'article 30 : finalité, base légale, catégories de personnes et de données, destinataires, durée de conservation, mesures de sécurité.
Corriger le plus exposé
1 à 4 semainesTraiter d'abord ce qui est constatable à distance et sanctionnable sans préavis : bandeau cookies, dépôt avant consentement, mentions d'information sur les formulaires.
Documenter
1 à 3 moisContrats de sous-traitance conformes à l'article 28, procédure de gestion des demandes d'exercice des droits, procédure de violation de données, analyses d'impact quand l'article 35 l'exige.
Maintenir
En continuLa conformité est un état instable. Un nouveau tag, une refonte, un nouveau prestataire suffisent à créer un écart. Un contrôle périodique du périmètre web est le minimum praticable.
Les 6 correctifs à appliquer en premier
Classés par rapport entre le risque évité et l'effort demandé. Aucun ne suppose d'expertise juridique préalable.
- Supprimer les traceurs non essentiels déposés avant consentement — le manquement le plus visible et le plus sanctionné.
- Rendre le refus des cookies aussi accessible que l'acceptation, au même niveau d'interface.
- Ajouter les durées de conservation dans la politique de confidentialité, omission la plus fréquente.
- Mentionner les destinataires et les transferts hors Union européenne induits par vos services tiers.
- Ajouter une mention d'information sur chaque formulaire de collecte, au moment de la collecte.
- Publier un moyen de contact identifiable pour l'exercice des droits.
L'erreur la plus coûteuse
Elle consiste à traiter la conformité comme un projet documentaire. On rédige une politique de confidentialité irréprochable, on installe une bannière de consentement achetée sur étagère, et l'on considère le sujet clos.
Le problème est que la CNIL ne contrôle pas ce que vos documents affirment : elle contrôle ce que votre site fait. Une politique impeccable devient une circonstance aggravante si le site charge une régie publicitaire avant tout consentement, parce que l'écart entre le déclaré et le réel est alors documenté par vos propres soins.
D'où l'ordre proposé plus haut : constater d'abord, écrire ensuite. La documentation doit décrire une réalité, pas une intention.
Questions fréquentes
- Par où commencer une mise en conformité RGPD ?
- Par un constat, pas par un plan. Le périmètre web est le meilleur point de départ : il est contrôlable à distance par la CNIL comme par un plaignant, les écarts s'y constatent en quelques minutes, et les correctifs y sont les plus rapides à déployer. Le registre des traitements vient ensuite.
- Combien de temps prend une mise en conformité ?
- Pour une PME au périmètre classique, compter trois à six mois pour atteindre un niveau défendable : quelques jours pour corriger les manquements web les plus exposés, plusieurs semaines pour le registre des traitements, puis quelques mois pour la documentation contractuelle et procédurale.
- Faut-il un avocat ou un cabinet spécialisé ?
- Pas nécessairement pour démarrer. Les manquements les plus fréquents sur le web — dépôt avant consentement, refus plus difficile que l'acceptation, durées de conservation absentes — se constatent et se corrigent sans expertise juridique. L'accompagnement devient utile sur les traitements complexes, les données sensibles et les analyses d'impact.
- Que se passe-t-il en cas de contrôle de la CNIL ?
- Le contrôle peut être mené en ligne, sur place, sur convocation ou sur pièces. Le contrôle en ligne ne nécessite aucun préavis et porte précisément sur ce qui est observable depuis un navigateur. La première pièce attendue est la documentation d'accountability : registre, analyses, constats d'audit datés.
- La conformité peut-elle être certifiée ?
- Le RGPD prévoit des mécanismes de certification à ses articles 42 et 43, mis en œuvre par des organismes agréés. Un rapport d'audit, quel qu'en soit l'auteur, n'est pas une certification : c'est un élément de preuve parmi d'autres dans votre documentation d'accountability.