Éditeur de logiciel de conformité RGPD

Choisir un éditeur de logiciel de conformité RGPD en France

Depuis l'entrée en application du Règlement général sur la protection des données, le 25 mai 2018, toute structure qui traite des données personnelles doit pouvoir démontrer sa conformité. C'est le principe de responsabilité, ou « accountability ». Tenir un registre, documenter des analyses d'impact, répondre aux demandes des personnes concernées : sur un tableur, ce travail devient vite ingérable dès que les traitements se multiplient.

Un logiciel de conformité RGPD centralise cette documentation et en organise le suivi. Encore faut-il choisir un outil adapté à sa taille, à son secteur et à la façon dont la conformité est réellement pilotée en interne. Ce guide présente les points à examiner avant de vous engager auprès d'un éditeur.

Ce qu'un logiciel de conformité peut faire, et ce qu'il ne fait pas

Un outil de conformité structure, trace et rappelle les échéances. Il ne rend pas une organisation conforme à lui seul. La qualification juridique d'un traitement, le choix d'une base légale ou l'appréciation d'un risque restent des décisions humaines, prises par le responsable de traitement, souvent avec son délégué à la protection des données (DPO).

Méfiez-vous donc des promesses de « conformité automatique ». Un bon éditeur présente son logiciel comme un support de travail pour le DPO, le juriste ou le référent interne, pas comme un substitut.

Les fonctionnalités à vérifier en priorité

Les modules proposés varient beaucoup d'un éditeur à l'autre. Certains couvrent l'ensemble de la démarche, d'autres se concentrent sur un besoin précis comme la gestion des cookies ou des droits des personnes. Avant toute démonstration, listez ce dont vous avez réellement besoin parmi les briques suivantes :

• le registre des activités de traitement prévu à l'article 30 du RGPD, avec une version responsable de traitement et, le cas échéant, une version sous-traitant ;
• la conduite des analyses d'impact relatives à la protection des données (AIPD), exigées par l'article 35 pour les traitements susceptibles d'engendrer un risque élevé ;
• la gestion des demandes d'exercice de droits : accès, rectification, effacement, opposition, portabilité, avec le suivi des délais de réponse ;
• le registre des violations de données et l'aide à la notification à la CNIL ;
• le suivi des sous-traitants et des clauses contractuelles prévues à l'article 28 ;
• la cartographie des transferts de données hors de l'Union européenne ;
• la gestion du consentement et des cookies sur les sites web ;
• les plans d'action, les tableaux de bord et l'export de la documentation en cas de contrôle.

Vérifiez aussi la souplesse de l'outil. Une PME n'a pas les mêmes besoins qu'un groupe multi-entités ou qu'un cabinet de DPO externe qui suit plusieurs clients depuis une même interface.

Hébergement et sécurité : appliquer ses propres exigences à l'éditeur

Le logiciel va contenir la cartographie de vos traitements, parfois le détail de vos failles de sécurité et des demandes nominatives de personnes concernées. L'éditeur devient donc lui-même un sous-traitant au sens du RGPD. Il serait paradoxal de confier cette documentation à un prestataire qui ne présenterait pas de garanties suffisantes.

Demandez où sont hébergées les données, par quel prestataire, et si des transferts hors de l'Union européenne sont possibles, y compris pour la maintenance ou le support. Interrogez l'éditeur sur les certifications ou qualifications de son hébergement, par exemple l'ISO 27001 ou la qualification SecNumCloud délivrée par l'ANSSI. Si vous traitez des données de santé, l'hébergement doit répondre aux exigences de la certification HDS.

Enfin, exigez un contrat de sous-traitance conforme à l'article 28, avec les mesures de sécurité décrites, les conditions de réversibilité et le sort des données en fin de contrat.

Les questions à poser lors de la démonstration

Une démonstration commerciale montre l'outil sous son meilleur jour. Préparez quelques questions précises pour sortir du discours général :

• Le logiciel propose-t-il des modèles de fiches de traitement et d'AIPD, et sur quels référentiels s'appuient-ils (méthodologie de la CNIL, référentiels sectoriels) ?
• Comment les évolutions réglementaires et les recommandations de la CNIL sont-elles intégrées, et à quelle fréquence ?
• Peut-on importer un registre existant, et exporter l'intégralité des données dans un format ouvert en cas de départ ?
• Quels profils d'utilisateurs et quels niveaux de droits sont prévus ? Les opérationnels peuvent-ils contribuer sans accéder à tout ?
• L'outil se connecte-t-il à vos autres systèmes (annuaire d'entreprise, outil de ticketing, site web) ?
• Quel accompagnement est inclus : formation, support en français, assistance au paramétrage initial ?
• Comment le prix évolue-t-il avec le nombre d'utilisateurs, d'entités ou de modules ?

Attention aux mentions « certifié RGPD »

L'expression revient souvent dans les argumentaires. Le RGPD prévoit bien des mécanismes de certification à son article 42, mais ils portent sur des opérations de traitement précises, selon des référentiels approuvés. Il n'existe pas de label général attestant qu'un logiciel « est conforme au RGPD ».

Si un éditeur avance une certification, demandez ce qu'elle couvre exactement, qui l'a délivrée et sur quel périmètre. Une réponse claire et documentée est un bon signe de sérieux.

Tester avant de s'engager

La plupart des éditeurs proposent une période d'essai ou un environnement de démonstration. Profitez-en pour saisir deux ou trois de vos traitements réels, du plus simple au plus sensible. Vous verrez rapidement si l'outil suit votre logique de travail ou s'il impose une structure qui ne correspond pas à votre organisation.

Impliquez dès cette étape les personnes qui l'utiliseront au quotidien : DPO, service juridique, DSI, responsables métiers. Un logiciel adopté par une seule personne finit souvent en registre à jour… dans une seule tête.

Comparer les éditeurs de cet annuaire

Les professionnels référencés dans cette catégorie exercent en France. Pour comparer leurs offres, consultez leurs fiches, demandez une démonstration à plusieurs d'entre eux et confrontez leurs réponses aux questions ci-dessus. Le bon choix dépend moins du nombre de fonctionnalités affichées que de l'adéquation entre l'outil, votre niveau de maturité et les moyens humains que vous consacrez à la protection des données.