Vous n'avez pas le temps de lire les 99 articles du RGPD. Normal — vous avez un produit à lancer, des clients à convaincre, une boîte à faire tourner. Voici les 5 actions de conformité RGPD à faire cette semaine, et celles qui peuvent attendre.
Pourquoi vous ne pouvez plus ignorer la conformité RGPD
La plupart des fondateurs que j'accompagne pensent que le RGPD, c'est une histoire d'amende. 4% du chiffre d'affaires, 20 millions d'euros. Impressionnant sur le papier. Sauf que pour une startup qui fait 200k€ de CA, la CNIL ne va pas envoyer une amende de 8000€ — le jeu n'en vaut pas la chandelle administrative.
Le vrai risque, il est ailleurs.
J'ai accompagné une startup SaaS B2B qui avait passé 6 mois à closer un contrat avec un grand groupe du CAC 40. Tout se passait bien. Le produit plaisait, le pricing passait, le champion interne poussait le dossier. Et puis la direction des achats a demandé le registre des traitements.
La startup n'en avait pas. Deal mort. Six mois de travail commercial, volatilisés en un email.
Autre cas : un fondateur contrôlé par la CNIL trois mois après son lancement. Pas parce qu'il était sur le radar — un utilisateur mécontent avait déposé une plainte. Résultat : mise en demeure, trois semaines à constituer un registre en urgence, rédiger une politique de confidentialité, signer des DPA avec tous ses sous-traitants. Trois semaines où il n'a pas touché à son produit.
Et si vous pensez que la CNIL ne s'intéresse qu'aux GAFAM : non. Les contrôles de PME et startups se sont multipliés ces deux dernières années. Une simple plainte d'utilisateur suffit à en déclencher un.
Les 5 actions RGPD à faire cette semaine
Pas 15. Pas 25. Cinq. C'est le minimum qui vous sépare d'une mise en conformité RGPD crédible — face à un contrôle CNIL ou une due diligence.
1. Créer votre registre des traitements
Le registre des traitements, ça fait peur. Le nom sonne juridique, officiel, compliqué.
En réalité, c'est un inventaire. Qu'est-ce que vous collectez comme données personnelles ? Pourquoi ? Qui y a accès ? Combien de temps vous les gardez ? Où elles sont stockées ? C'est tout.
Ce n'est pas un document juridique — c'est un document technique. Je le produis en 2 heures quand j'ai accès au code et à la stack d'un client. Un juriste qui ne connaît pas votre infra mettra deux semaines, parce qu'il devra vous poser 150 questions sur des outils qu'il ne comprend pas.
Concrètement : ouvrez un tableur. Colonnes : donnée collectée, finalité, base légale, durée de conservation, sous-traitants impliqués, lieu de stockage. Listez tout. Email, nom, adresse IP, cookies analytics, données de paiement. Si ça permet d'identifier une personne, même indirectement, ça rentre dans le registre.
2. Rédiger une vraie politique de confidentialité
J'insiste sur le mot "vraie".
J'ai audité une startup qui avait repris mot pour mot la politique de confidentialité d'une marketplace concurrente. Sauf que la startup était un SaaS, pas une marketplace. Les traitements décrits ne correspondaient à rien de ce qu'elle faisait réellement. En cas de contrôle, c'est pire que de ne rien avoir — ça montre qu'on a essayé de cocher la case sans comprendre ce qu'on faisait.
Votre politique doit refléter votre réalité. Quelles données vous collectez (pas celles d'un autre). Pourquoi (vos finalités à vous). Combien de temps vous les gardez. Si vous avez fait le registre à l'étape 1, la politique de confidentialité en découle logiquement — c'est la version lisible de votre registre, destinée à vos utilisateurs.
3. Signer les DPA avec vos sous-traitants
Un fondateur que j'ai accompagné utilisait 8 outils SaaS différents — Stripe, Mailchimp, Intercom, Vercel, Sentry, pour ne citer que ceux-là. Pas un seul DPA signé. Quand je lui ai expliqué que chacun de ces outils était un sous-traitant au sens du RGPD et qu'il fallait un contrat de traitement de données avec chacun, il est tombé des nues.
DPA = Data Processing Agreement. En français : le contrat qui encadre ce que votre sous-traitant fait des données personnelles de vos utilisateurs.
La bonne nouvelle : la plupart de ces outils proposent un DPA standard, souvent déjà intégré dans leurs CGU ou disponible sur leur site. Stripe, AWS, Google Cloud, Vercel — ils ont tous une page dédiée. Vérifiez, téléchargez, archivez. C'est 30 minutes de travail, pas une journée.
4. Mettre un vrai bandeau cookies
Un fondateur pensait être conforme parce qu'il avait installé un bandeau cookies. En regardant de plus près, les données de ses utilisateurs partaient chez 12 sous-traitants différents — analytics, publicité, A/B testing, heatmaps — et le bandeau ne bloquait rien. Les scripts se chargeaient avant même que l'utilisateur ait cliqué.
Le bandeau cookies, c'est la partie émergée de l'iceberg. Ce qui compte : les scripts non essentiels ne se chargent pas tant que l'utilisateur n'a pas donné son consentement. Et le refus doit être aussi simple que l'acceptation — pas de dark pattern avec un bouton "Accepter" en vert fluo et un "Refuser" en gris clair planqué en bas à droite.
5. Permettre à vos utilisateurs d'exercer leurs droits
Droit d'accès, droit de suppression, droit de portabilité. Le RGPD donne à vos utilisateurs le droit de savoir ce que vous avez sur eux, de demander la suppression de leurs données, et de les récupérer dans un format lisible.
Pas besoin d'un système automatisé sophistiqué pour commencer. Un email dédié (type privacy@votredomaine.com) et un process interne pour traiter les demandes en moins de 30 jours, ça suffit. Documentez le process, même si c'est trois lignes dans un doc interne. Le jour d'un contrôle, c'est ce qu'on vous demandera.
Ce qui peut attendre (mais pas trop longtemps)
Tout ce qui suit est important. Mais si vous n'avez fait aucune des 5 actions ci-dessus, ne perdez pas de temps ici. Faites d'abord le socle. Revenez-y dans 1 à 3 mois.
L'analyse d'impact (DPIA) — Obligatoire uniquement si vous traitez des données sensibles à grande échelle (santé, biométrie, opinions politiques) ou si vous faites du profilage. La plupart des startups SaaS B2B n'en ont pas besoin au démarrage.
Nommer un DPO — Pas obligatoire pour la majorité des startups et PME. La loi l'exige seulement si votre activité principale implique un suivi régulier et systématique des personnes à grande échelle. En attendant, désignez un référent RGPD en interne — ne serait-ce que pour savoir qui répond quand un utilisateur écrit à privacy@.
La procédure de notification de violation — Si vous subissez une fuite de données, vous avez 72 heures pour notifier la CNIL. Préparez un process : qui prévenir en interne, quel formulaire CNIL utiliser, comment informer les utilisateurs concernés. Important, mais deuxième vague.
La formation de l'équipe — Vos employés manipulent des données personnelles au quotidien. Un brief de 30 minutes sur les bonnes pratiques suffit pour commencer. Pas besoin d'un séminaire de deux jours avec un cabinet à 5000€.
La revue des durées de conservation — Vous gardez les données de vos utilisateurs combien de temps ? "Pour toujours" n'est pas une réponse valable au sens du RGPD. Définissez des durées par type de donnée et mettez en place une purge. Mais ça peut attendre que le socle soit posé.
Votre app a ces failles ?
Registre, politique de confidentialité et rapport de conformité issus de votre code.
Obtenir ma conformité RGPDLa checklist conformité RGPD : urgent, peut attendre, optionnel
| # | Action | Priorité | Délai |
|---|---|---|---|
| 1 | Registre des traitements | URGENT | Cette semaine |
| 2 | Politique de confidentialité | URGENT | Cette semaine |
| 3 | DPA avec sous-traitants | URGENT | Cette semaine |
| 4 | Bandeau cookies conforme | URGENT | Cette semaine |
| 5 | Process droits utilisateurs | URGENT | Cette semaine |
| 6 | Procédure notification de violation | Peut attendre | Ce trimestre |
| 7 | Référent / DPO | Peut attendre | Ce trimestre |
| 8 | DPIA (si données sensibles) | Peut attendre | Ce trimestre |
| 9 | Formation équipe | Peut attendre | Ce trimestre |
| 10 | Revue durées de conservation | Peut attendre | Ce trimestre |
| 11 | Certification / label RGPD | Optionnel | Quand vous voudrez |
| 12 | Audit de maturité complet | Optionnel | Quand vous voudrez |
| 13 | Privacy by design (refonte produit) | Optionnel | Prochain cycle produit |
Par où commencer concrètement
Un truc que j'ai mis du temps à formuler clairement : 80% de la conformité RGPD est technique, pas juridique.
Quand un fondateur se dit "il faut que je me mette en conformité", son premier réflexe est de chercher un avocat spécialisé. Ce n'est pas absurde, mais ce n'est pas le bon premier pas. Avant de payer un juriste pour rédiger des clauses contractuelles, il faut que quelqu'un comprenne votre stack, sache quels outils collectent quoi, où transitent les données, et comment votre infrastructure est configurée.
Un avocat RGPD ne va pas lire votre code. Il ne saura pas que votre tracker analytics envoie des données à un serveur aux États-Unis, ou que votre outil de support stocke les conversations sur un hébergement hors UE. Ce diagnostic technique, c'est la fondation sur laquelle tout le reste se construit.
Mon conseil : prenez 2 heures cette semaine. Faites le registre (action 1). C'est le document qui débloque tout — la politique de confidentialité, les DPA, le bandeau cookies. Tout en découle.
Et si vous préférez que quelqu'un fasse ce diagnostic pour vous, c'est ce que je propose avec l'audit RGPD : un scan technique de votre application, production du registre et de la politique de confidentialité, livrés clés en main.