Une conformité RGPD pragmatique

Quelle est la différence entre un DPO interne et un DPO externe ?

Le DPO interne est un salarié de l'organisation. Le DPO externe est un prestataire indépendant désigné par contrat avec les mêmes missions et obligations légales. Les avantages du DPO externe sont une indépendance garantie une expertise maintenue à jour et un coût souvent inférieur à un recrutement. La CNIL reconnaît pleinement cette modalité.

Une AIPD (analyse d'impact) est-elle obligatoire pour mon projet ?

L'AIPD est obligatoire dès que le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. C'est notamment le cas pour le traitement à grande échelle de données sensibles, la surveillance systématique, le profilage ou les décisions automatisées. La CNIL publie une liste des traitements qui la rendent obligatoire.

Qu'est-ce que le registre des traitements et qui doit le tenir ?

Le registre des traitements est le document central de la conformité RGPD. Il recense tous les traitements de données personnelles de l'organisation : finalité, données collectées, durée de conservation, sous-traitants, mesures de sécurité. Toute organisation soumise au RGPD doit le tenir à jour — sa tenue est vérifiée par la CNIL en cas de contrôle.

Mon prestataire informatique (hébergeur, CRM, outil RH…) doit-il signer quelque chose ?

Oui. Tout prestataire qui traite des données personnelles pour votre compte est un sous-traitant au sens du RGPD. Vous devez signer avec lui un contrat de sous-traitance (DPA) précisant les garanties qu'il offre. C'est une obligation légale dont l'absence expose l'organisation à des sanctions.

Par où commencer concrètement : audit, état des lieux ou plan de conformité ?

Les trois forment une séquence logique. L'audit examine l'existant : quelles données sont collectées, comment, par qui, avec quelles garanties. L'état des lieux synthétise ce qui est conforme, incomplet ou absent. Le plan de conformité traduit cet état des lieux en actions prioritaires avec un calendrier et des responsables. C'est le point de départ recommandé par la CNIL pour toute organisation qui n'a pas encore structuré sa démarche RGPD.