Aller au contenu principal
Quel logiciel RGPD

Que valent les badges et labels de conformité ?

Pour qui : Un logiciel ou un prestataire affiche un label « RGPD » et vous vous demandez si ce signe doit peser dans votre choix, ou si vous devriez acheter le même pour votre organisation.

Un badge n’a de valeur que si vous pouvez lire son référentiel, son émetteur et son objet. Sans ces trois réponses, ne le comptez pas et ne payez rien pour l’obtenir.

Même une vraie certification vaut moins que ce qu’elle laisse croire. Elle atteste du respect de critères pour un objet précis, et l’article 42 du RGPD précise qu’elle ne diminue pas la responsabilité de l’organisme. Si votre logiciel est certifié, vous n’êtes pas certifié pour autant.

Notre avis

Ne payez pas pour un badge. Demandez toujours quel référentiel, délivré par qui, pour quel objet. S’il manque une réponse, le signe ne pèse rien dans votre choix.

Pourquoi

  • La CNIL annonçait en 2018 cesser de délivrer des labels. Un « label CNIL » récent ne correspond donc pas à ce qu’elle décrit aujourd’hui : les certifications passent par des organismes agréés ou accrédités.
  • La CNIL donne l’exemple d’un logiciel certifié : la PME qui l’utilise ne peut pas se prévaloir d’une certification pour son propre processus.
  • Selon la CNIL, un référentiel ne traduit pas tout le RGPD et une organisation certifiée reste susceptible d’être sanctionnée.
  • Un badge laisse intacte la question que vous devez trancher : votre registre est-il tenu et vos demandes reçoivent-elles une réponse ?

Ce qui change le choix

Une certification demandée par écrit dans un appel d’offres ou par un client important. Et une certification approuvée dont l’objet écrit couvre le service que vous confiez à un sous-traitant : elle compte alors pour vérifier ses garanties.

L’ordre à suivre

  1. Certification issue d’un mécanisme approuvé, avec un objet qui couvre le service que vous achetez : retenez-la comme un élément de preuve parmi d’autres.
  2. Norme de sécurité annoncée (ISO 27001 par exemple) : demandez le certificat et son périmètre, puis lisez-la comme une information sur la sécurité.
  3. Label délivré par le vendeur lui-même ou sans référentiel nommé : ne lui donnez aucun poids.
  4. Un client ou un marché exige une certification précise : achetez celle-là, comme une condition d’accès.

La vraie question : qu’est-ce qui a été évalué, et chez qui ?

La CNIL prend ce cas : un fabricant de meubles gère sa clientèle avec un logiciel sous licence, et l’éditeur fait certifier ce logiciel. Le certificat porte sur le logiciel. Le fabricant ne peut pas se prévaloir d’une certification pour sa gestion de clientèle, sauf à l’avoir obtenue lui-même.

Pour votre achat, cela donne une règle simple. Un logiciel de registre certifié vous renseigne sur ce logiciel. Il ne dit rien de votre registre, de vos réponses aux demandes ni de vos contrats. Pour le label d’un prestataire, demandez ce qui a été contrôlé chez vous, et par qui.

Sept signes que vous pouvez croiser, et le poids à leur donner

Les éditeurs cités servent d’exemples de ce que nous avons lu le 5 novembre 2026. Nous n’avons lu aucun certificat, et une réponse écrite peut changer la ligne d’un éditeur.

Lecture des signes de conformité
Signe affichéCe que c’estPoids dans votre choixÀ demander
Certification Europrivacy, Lexing ou « sous-traitants »Mécanismes inscrits sur la liste de la CNIL du 14 janvier 2026, démarche volontaire, trois ans au plus. À cette date, seule Europrivacy peut s’obtenir auprès d’un organisme : la CNIL indique qu’aucun organisme n’est agréé pour Lexing et que la certification des sous-traitants est encore en cours d’instruction au Comité européen.Réel pour Europrivacy si l’objet couvre votre achat. Un certificat Lexing ou « sous-traitants » annoncé comme obtenu ne correspond pas à la liste de la CNIL à cette date : demandez le certificat et l’organisme qui l’a délivré. Selon la CNIL, elle peut aider un sous-traitant à démontrer ses garanties.Le certificat, son objet exact, sa date de fin, l’organisme.
« Label CNIL »La CNIL prévoyait de n’en plus délivrer après le 25 mai 2018. Les labels émis restaient valables jusqu’à leur échéance.Aucun aujourd’hui. En 2018, la CNIL précisait que seuls ses labels Gouvernance et Formation, mis à jour pour le RGPD, pouvaient servir d’argument de conformité jusqu’à leur échéance.La date d’émission et d’échéance.
ISO 27001 ou ISO 27701 annoncéesAbsentes de la liste CNIL lue. Dastra annonce les deux, obtenues en 2025 ; le périmètre du certificat n’a pas été lu.Une information sur la gestion de la sécurité ou de la vie privée, sans valeur de certification RGPD au sens de cette liste.Le certificat et sa déclaration de périmètre.
« Infrastructure certifiée »Le certificat peut viser l’hébergeur plutôt que l’éditeur. Witik écrit « ISO 27001 et HDS » pour son infrastructure. La FAQ d’Adequacy cite SecNumCloud pour des serveurs, puis se dit « en cours de qualification ».Faible : le signe décrit au mieux le centre de données.Qui détient le certificat : l’éditeur ou son hébergeur ?
« RGPD certifié conforme », « label conformité », « label de confiance »Dipeeo propose un label « RGPD Conforme » adossé à des preuves ; Mon Expert RGPD et Leto citent un label. Nous n’avons pas trouvé de référentiel approuvé ni d’organisme agréé dans ce que nous avons lu.Aucun comme preuve. Il peut rester un outil de communication.Le référentiel, l’évaluateur, le contrôle réalisé, le cas de retrait.
« Déclaré à la CNIL »La désignation d’un délégué se fait en ligne auprès de la CNIL. Nous n’y voyons ni évaluation ni validation de vos pratiques.Il indique qu’un délégué a été désigné, rien de plus.Le temps que cette personne vous consacre.
« Plateforme certifiée Google »Une condition posée par Google aux éditeurs qui diffusent des annonces personnalisées. Google écrit ne pas contrôler le plein respect du droit applicable.Décisif pour un site qui vit de ces annonces, sans valeur de preuve de conformité.Sa présence sur la liste de Google à la date de signature.

Vérifier un signe en trois questions écrites

Envoyez ces questions par courriel. Une réponse vague suffit à classer le signe parmi ceux qui ne comptent pas.

  1. Quel référentiel ? Demandez son nom et sa version. S’il s’agit d’une certification RGPD, cherchez-le dans la liste CNIL des mécanismes approuvés ou dans le registre du Comité européen.
  2. Qui a délivré le signe ? Un vendeur qui se décerne son propre signe ne remplace pas un organisme agréé pour ce mécanisme, et la CNIL publie la liste de ces organismes.
  3. Pour quel objet, et jusqu’à quand ? Lisez l’objet écrit sur le certificat : un service, un processus d’authentification ou un logiciel entier. L’article 42 limite la durée à trois ans, renouvelables.

Quand un client vous impose une certification

Là, l’avis change. Si un appel d’offres ou un grand client exige une certification nommée, traitez-la comme un coût d’accès à ce marché : lisez l’exigence exacte, définissez l’objet à certifier, puis demandez à un organisme agréé pour ce mécanisme ce que l’évaluation implique. Notre avis : ne lancez rien pour rassurer de manière générale. Elle suppose une évaluation et ne vous met pas à l’abri d’une sanction, puisque la CNIL écrit qu’un organisme certifié reste susceptible d’en recevoir une. L’article 83 du RGPD permet de la prendre en compte, en plus ou en moins, pour décider d’une amende et de son montant.

La certification d’une personne suit une autre logique : elle est volontaire et, selon la CNIL, elle n’est requise ni pour exercer comme délégué à la protection des données ni pour être désigné.

Limites de cette page

Nous n’avons lu ni certificat d’éditeur ni page détaillée de chaque label : les mentions citées restent des annonces, et une absence ne vaut que pour les pages lues le 5 novembre 2026. Nous n’avons pas consulté la liste CNIL des organismes certifiés ligne par ligne. Elle est à ouvrir pour le nom qui vous intéresse.

Prochaine action

Pour chaque label affiché par un outil de votre sélection, demandez par courriel le référentiel, l’organisme et l’objet écrit. Sans réponse complète, retirez ce signe de votre comparaison. Si un marché vous impose une certification, partez de la clause de ce marché.

Preuves et sources

Lu le 5 novembre 2026 : les pages de la CNIL sur la certification, sur son objet et sur la fin des labels ; sa liste des mécanismes approuvés, datée du 14 janvier 2026 ; le registre du Comité européen de la protection des données ; les articles 42 et 43 du RGPD dans le texte publié par la CNIL ; les pages d’éditeurs et de prestataires citées, et la page d’aide de Google sur les plateformes de consentement certifiées.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. La CNIL annonçait en février 2018 cesser progressivement sa labellisation et prévoir de ne plus délivrer de nouveau label après le 25 mai 2018, les labels émis restant valables jusqu’à leur échéance.

    Portée : Labels CNIL antérieurs au RGPD.

    Réserve : Page de 2018 écrite au futur ; la page CNIL Direct non datée confirme le passage à la certification.

  • Fait lu. L’article 42 du RGPD prévoit que la certification est volontaire, ne diminue pas la responsabilité du responsable du traitement ou du sous-traitant et dure au plus trois ans, renouvelables.

    Portée : Mécanismes de l’article 42.

    Réserve : Texte reproduit par la CNIL, sans numéro de paragraphe affiché.

  • Déclaration de l’éditeur. Selon la CNIL, le certificat délivré à l’éditeur d’un logiciel porte sur ce logiciel, et la PME qui l’utilise ne peut pas se prévaloir d’une certification pour son processus de gestion de clientèle, sauf à l’avoir obtenue elle-même.

    Portée : Exemple 3 de la page CNIL du 9 septembre 2024.

    Réserve : Exemple pédagogique de la CNIL.

  • Déclaration de l’éditeur. Selon la CNIL, un référentiel de certification ne traduit pas les obligations du RGPD de manière exhaustive, un organisme certifié reste susceptible d’être sanctionné, et l’article 83 permet de prendre la certification en compte comme circonstance aggravante ou atténuante.

    Portée : Portée d’un certificat.

    Réserve : Doctrine de la CNIL.

  • Fait lu. La liste CNIL du 14 janvier 2026 mentionne, comme mécanismes nationaux, la certification des compétences du délégué, celle des prestataires de formation et la certification RGPD Lexing, et comme mécanismes européens Europrivacy et la certification des sous-traitants.

    Portée : Liste affichée par la CNIL.

    Réserve : Selon la même liste, aucun organisme n’est agréé pour Lexing et la certification des sous-traitants est en cours d’instruction par le Comité européen. Le registre du Comité contient d’autres mécanismes selon les autorités nationales ; liste évolutive.

  • Déclaration de l’éditeur. Selon la CNIL, seuls les organismes agréés pour leur compétence et leur indépendance peuvent traiter les demandes de certification pour les mécanismes approuvés, et la certification peut aider un sous-traitant à démontrer l’existence de garanties suffisantes au titre de l’article 28.

    Portée : Mécanismes approuvés.

    Réserve : L’article 43 du RGPD prévoit aussi l’accréditation par l’organisme national.

  • Déclaration de l’éditeur. La documentation de Dastra annonce des certifications ISO 27001 et ISO 27701 obtenues en 2025.

    Portée : Page de documentation de l’éditeur.

    Réserve : Certificat et périmètre non lus.

  • Déclaration de l’éditeur. La page de Witik annonce une infrastructure certifiée ISO 27001 et HDS ; la FAQ d’Adequacy cite des serveurs certifiés, dont SecNumCloud, et indique plus loin qu’Adequacy est en cours de qualification SecNumCloud.

    Portée : Pages des éditeurs.

    Réserve : Certificats non lus. Aucune qualification SecNumCloud d’Adequacy n’est établie par ces pages.

  • Déclaration de l’éditeur. Dipeeo présente un label « RGPD certifié conforme » et « RGPD Conforme », adossé à des preuves selon l’éditeur, et un badge « déclaré à la CNIL » ; Mon Expert RGPD cite un « label conformité RGPD » et Leto un « label de confiance ».

    Portée : Pages d’accueil et de produit lues.

    Réserve : Page détaillée de chaque label non lue.

  • Notre calcul ou déduction. Dans ce que nous avons lu le 5 novembre 2026, nous n’avons trouvé pour ces labels ni référentiel approuvé ni organisme agréé cités.

    Portée : Pages lues et liste CNIL des mécanismes.

    Réserve : Absence dans nos lectures, sans valeur d’inexistence.

  • Notre calcul ou déduction. Selon la CNIL, la désignation d’un délégué à la protection des données se fait en ligne ; nous en déduisons qu’elle n’atteste aucune évaluation des pratiques de l’organisme.

    Portée : Portée d’une désignation.

    Réserve : Déduction de la procédure décrite.

  • Fait lu. Google exige un gestionnaire de consentement certifié intégrant le TCF pour les annonces personnalisées de ses produits éditeurs en Europe, et précise qu’il ne contrôle pas le plein respect du TCF ou du droit applicable.

    Portée : AdSense, Ad Manager et AdMob, Espace économique européen, Royaume-Uni et Suisse.

    Réserve : Règle contractuelle d’une plateforme.

  • Déclaration de l’éditeur. Selon la CNIL, la certification des compétences du délégué est volontaire et n’est requise ni pour exercer cette fonction ni pour être désigné.

    Portée : Certification d’une personne.

    Réserve : Page du 14 janvier 2026.

  • Notre avis. Ne pas payer pour un badge et réserver l’achat d’une certification au cas où un client ou un marché l’exige est notre avis : aucun texte lu ne l’interdit ni ne le recommande.

    Portée : Choix d’achat.

    Réserve : Une réglementation peut imposer une certification pour certains traitements, selon la CNIL.

    Daté du 5 novembre 2026.