Aller au contenu principal
Quel logiciel RGPD

Le guide de sécurité de la CNIL remplace-t-il un outil ?

Pour qui : Vous êtes référent ou délégué, et vous devez documenter les mesures de sécurité de votre organisation. Vous vous demandez si le guide de la CNIL suffit ou s’il faut un logiciel pour cela.

Pour documenter vos mesures de sécurité, oui. Le guide compte 25 fiches et se lit comme une grille : chacune donne les précautions élémentaires, ce qu’il ne faut pas faire et des mesures complémentaires. La CNIL précise qu’elle l’utilise comme référence pour apprécier la sécurité des traitements.

Il ne remplace pas un suivi, car c’est un document. Un fichier suffit pour savoir qui répond à quoi et où en est chaque mesure. N’achetez rien pour cela tant que ce fichier tient. Les contrôles techniques eux-mêmes relèvent de votre informatique, et ce site n’en traite pas.

Notre avis

Pour documenter, oui, comme grille. Le guide ne suit rien : ajoutez un fichier de suivi avec un responsable par fiche. Le pilotage technique relève d’un autre métier et d’un autre achat.

Pourquoi

  • Le guide vous dit quoi vérifier, avec des précautions élémentaires et une liste finale « Avez-vous pensé à… ? ».
  • Sa première fiche demande un plan d’action suivi régulièrement et une revue de direction au moins annuelle. Il vous laisse organiser ce suivi.
  • Le registre n’appelle, dans la mesure du possible, qu’une description générale des mesures : une grille et un fichier répondent à ce niveau.

Ce qui change le choix

Plusieurs responsables, un plan d’action qui ne se met plus à jour et des échéances perdues d’un trimestre à l’autre : comparez un plan d’action partagé. Besoin de surveiller ou de contrôler les systèmes eux-mêmes : voyez votre sécurité informatique.

L’ordre à suivre

  1. Documenter vos mesures : le guide et un fichier de suivi, avec un responsable par fiche.
  2. Plan d’action partagé entre plusieurs responsables qui n’avance plus : comparez un plan d’action partagé.
  3. Contrôles techniques : parlez-en à votre sécurité informatique, ce site n’en traite pas.

Qui répond à quelle partie du guide

Parcourez les fiches et attribuez chacune avant de chercher à y répondre. Vous ne pourrez pas tout remplir seul, et ce n’est pas ce qu’on attend d’un référent. Cette répartition est notre proposition.

Répartition proposée des fiches du guide
FichesSujetQui répond en premierCe que le référent en garde
1Piloter la sécuritéDirection et référentLe plan d’action et la date de revue
2 à 5UtilisateursRessources humaines et informatiqueLa charte, les sensibilisations, la revue des habilitations
6 à 12Informatique, équipements, locauxInformatique et services générauxUne description générale pour le registre
13 à 15Échanges, sous-traitance, fin de vieInformatique et achatsLe lien avec le suivi des prestataires
16 à 19Traces, sauvegardes, continuité, incidentsInformatique, avec le référent pour la fiche 19La procédure de violation et le registre interne
20 à 25Analyse de risques, chiffrement, cloud, mobile, IA, APISelon votre usage réelLes fiches sans objet, marquées comme telles

Le fichier de suivi qui manque au guide

Le guide demande que toute nouvelle mesure intègre un plan d’action dont l’avancement est suivi régulièrement. Il ne fournit pas ce plan. Une feuille suffit : fiche, mesure, responsable, état, preuve disponible, prochaine échéance. Partez de la liste finale du guide plutôt que de repartir des fiches.

Le guide recommande aussi une revue de direction au moins annuelle, qui reprend notamment l’avancement du plan d’action et les incidents rencontrés. Inscrivez sa date dans le fichier : un outil ne décidera pas à la place de la direction de l’allocation des moyens.

Où s’arrête la documentation

Votre travail consiste à savoir et à écrire ce qui est fait. Pour le registre, l’article 30 demande, dans la mesure du possible, une description générale des mesures : ne recopiez pas de détail technique sensible dans un fichier partagé.

Configurer, surveiller ou tester les systèmes est un autre métier. Si une réponse de l’informatique est « nous ne savons pas », notez-le comme écart et portez-le à la revue de direction. Un logiciel de gouvernance documentera cet écart sans le combler. Ce site ne compare pas les outils de cybersécurité technique.

Limites de cette page

Nous avons lu le sommaire, l’avant-propos, les fiches 1 et 19 et la liste finale, sans relire chaque fiche. Le PDF porte la mention « Mise à jour 2026 » alors que le journal lu ne montre que l’édition de mars 2024, et une partie repliée a pu nous échapper : consultez le journal vous-même.

Prochaine action

Parcourez les fiches et notez qui répond à chacune. Ouvrez ensuite le fichier de suivi à partir de la liste finale, puis fixez la date de la revue de direction. Pour tout contrôle technique, passez par votre sécurité informatique.

Preuves et sources

Lu le 5 novembre 2026 : le guide de la sécurité des données personnelles de la CNIL, PDF de 64 pages marqué « Version 2024, mise à jour 2026 », sommaire, avant-propos, fiches 1 et 19 et liste d’évaluation ; ses pages de présentation et son journal des modifications ; l’article 30 du RGPD dans le texte publié par la CNIL.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode