Le RGPD (*Règlement Général sur la Protection des Données*, en vigueur depuis mai 2018) impose à tout logiciel qui traite des données personnelles d'un résident UE une série d'obligations : base légale du traitement, registre des traitements, contrats de sous-traitance avec chaque fournisseur (SaaS, hébergement cloud), respect des droits (accès, rectification, suppression, portabilité), notification des fuites sous 72 h à la CNIL. Les sanctions ne sont pas symboliques : jusqu'à 20 M€ ou 4 % du CA mondial, et la CNIL sanctionne réellement (Amazon : 35 M€, Discord : 800 k€).
Le RGPD ne se résume pas aux cookies. Le bandeau de consentement est la partie visible — l'essentiel est invisible : un CRM doit pouvoir purger un contact sur demande, un ATS doit supprimer les CV à 24 mois, un SaaS doit chiffrer les données au repos et en transit, votre outil métier doit logger qui a accédé à quoi (audit trail). Côté sous-traitance, chaque fournisseur (Stripe, HubSpot, AWS) doit avoir signé un DPA avec vous, et idéalement traiter en UE — depuis Schrems II, les transferts US sont juridiquement fragiles malgré le DPF.
Privacy by design : la conformité se construit dès la spec, pas en patch après lancement. Concrètement : ne collecter que ce qui est nécessaire (minimisation), définir des durées de conservation par type de donnée et les automatiser, prévoir export/suppression dès la conception, choisir un hébergement UE (Scaleway, OVHcloud) pour les données sensibles. Les secteurs régulés (santé avec HDS, finance) ajoutent des couches. Pour un logiciel sur-mesure, la conformité représente 5-15 % du budget projet — bien moins coûteux qu'après une mise en demeure CNIL.
RGPD logiciel : checklist minimale
- Registre des traitements à jour : finalité, base légale, durée, sous-traitants pour chaque traitement.
- Droits des personnes automatisés : export (portabilité), suppression, rectification — pas en mode "on traite à la main".
- Sous-traitants : DPA signé avec chaque SaaS tiers, hébergement UE pour données sensibles.
- Durées de conservation définies et automatisées : 24 mois CV pour un ATS, 3 ans prospects CRM, etc.
