Aller au contenu principal
Quel logiciel RGPD

Que faire gratuitement, que payer, tâche par tâche ?

Pour qui : Vous devez dire à votre direction où part l’argent de la protection des données. Vous voulez savoir, pour chaque tâche, ce que les outils gratuits font vraiment et à quel moment ils cessent de suffire.

Quatre tâches démarrent sans dépense : le registre, l’analyse d’impact (l’étude préalable des risques), la notification d’une violation et la formation. Les clauses de sous-traitance aussi, car la Commission européenne en publie.

Deux tâches échappent à ce gratuit public : suivre les demandes reçues et relancer les sous-traitants. Nous n’y avons trouvé aucun outil public. Il reste votre fichier, ou Madis si vous pouvez héberger un logiciel libre. C’est là que nous placerions un premier budget, à condition d’avoir vu le problème chez vous.

Notre avis

Démarrez sans payer le registre, l’analyse d’impact, la notification, les clauses de sous-traitance et la formation. Réservez votre premier budget au suivi des demandes reçues et à la relance des sous-traitants, si le signal est observé chez vous.

Pourquoi

  • Pour ces deux tâches, nous n’avons trouvé aucun outil public dans ce que nous avons lu le 5 novembre 2026. Il reste un fichier ou un logiciel libre à héberger.
  • Une erreur sur une demande se voit de l’extérieur : le délai court à partir de la réception, et une personne peut se plaindre.
  • Sur l’analyse d’impact, le gratuit tient pour une personne. À plusieurs, le logiciel de la CNIL suppose une installation sur serveur.

Ce qui change le choix

Vous payez plus tôt si les demandes se chevauchent déjà, si plusieurs entités contribuent au même registre, ou si personne ne peut administrer un serveur alors qu’un travail à plusieurs est nécessaire.

L’ordre à suivre

  1. Commencez par le public pour le registre, l’analyse d’impact, la notification, les clauses et la formation.
  2. Pour les demandes et les relances, tenez un onglet de suivi, puis un logiciel libre si vous avez un serveur et quelqu’un pour l’administrer.
  3. Payez pour la tâche dont le signal est observé, sans acheter une suite pour les autres.
  4. Volume déjà là ou plusieurs entités : payez dès le départ sur les tâches concernées.

La carte de couverture, ligne par ligne

La dernière colonne donne le signal que nous retenons pour payer. Ces signaux sont nos repères : aucun texte ne les fixe. Les dates sont celles affichées par chaque ressource.

Ce que le gratuit couvre et où il s’arrête, lecture du 5 novembre 2026
TâcheGratuit luCe qu’il ne fait pasSignal pour payer
RegistreModèle ODS de la CNIL, fichier daté de février 2020.Aucune relance, aucun historique. Listes de transferts périmées. Rien pour le registre d’un sous-traitant.Une relance perdue revient après réparation du fichier.
Analyse d’impactLogiciel PIA de la CNIL, version 4.1.0 d’avril 2026, sur poste. Modèle du Comité européen, soumis à consultation jusqu’au 9 juin 2026 ; nous n’avons pas trouvé sa version finale.Il ne dit pas si l’analyse est obligatoire. À plusieurs, il faut la version serveur, à installer et sauvegarder.Plusieurs analyses menées à plusieurs, sans personne pour tenir le serveur.
ViolationTéléservice de la CNIL et trame préparatoire de juillet 2023. Le récapitulatif de notification sert de documentation interne.Il ne décide pas du niveau de risque. Il ne garde pas les violations que vous ne notifiez pas, alors que toutes doivent être documentées.Incidents assez nombreux pour que le journal se perde.
FormationMOOC de la CNIL : une vingtaine d’heures, 6 modules, attestation de suivi.Nous n’avons pas trouvé de suivi d’équipe dans ce que nous avons lu.Vous devez suivre la formation de nombreux salariés.
Contrats de sous-traitanceClauses types de la Commission du 4 juin 2021.Non modifiables hors annexes selon la CNIL. Inutilisables pour un transfert hors Union. Aucun suivi des signatures.Vous ne savez plus quels contrats sont signés.
Demandes reçuesFiche de la CNIL datée de 2017 sur le droit d’accès, en quatre étapes.C’est une procédure, sans journal ni compte des délais. Les « courriers pour agir » de la CNIL servent à ceux qui demandent, pas à l’organisme qui répond.Une échéance passée, ou des demandes ouvertes qui se chevauchent.
Relance des sous-traitantsAucun outil public trouvé. Votre fichier, ou Madis auto-hébergé.Un fichier ne relance personne.Un questionnaire sans réponse reste invisible d’un trimestre à l’autre.
Inventaire des traceursOutil d’audit de sites publié par le Comité européen, version de septembre 2026.Il constate. Il ne recueille aucun consentement et ne tient aucun registre. Ce besoin relève d’un autre achat.Traceurs soumis à consentement constatés sur vos sites.

Pourquoi le premier euro va aux demandes et aux relances

Une demande de droits (accès, effacement, opposition) ouvre un délai d’un mois à compter de sa réception selon l’article 12 du RGPD. Le délai peut être prolongé de deux mois au besoin, si la personne en est informée dans le premier mois. Un oubli a donc une date. Dans sa communication du 6 juillet 2026, la CNIL indique que 8 de ses 23 sanctions simplifiées depuis janvier concernent le non-respect des droits d’accès ou d’effacement.

La relance suit une autre logique. Le Comité européen de la protection des données (CEPD) estime que le responsable devrait disposer à tout moment de l’identité de tous ses sous-traitants et sous-traitants ultérieurs. Tenir cette liste demande de solliciter régulièrement des tiers, ce qu’un fichier ne fait pas seul.

Avant de payer, essayez un onglet de suivi pendant un trimestre. S’il tient, gardez votre budget. S’il casse, vous saurez exactement quoi demander à un éditeur.

Le mot gratuit recouvre quatre modèles

Classez toute offre gratuite avant de vous inscrire. Le risque change d’un modèle à l’autre.

Qui paie le gratuit, et notre décision
ModèleExemple luCe que vous payez autrementNotre décision
PublicCNIL, Comité européenDu temps et des dates parfois anciennes.Point de départ. Vérifiez la date de chaque ressource.
Libre à hébergerMadis, licence AGPLv3 ; version 2.6.0 du 17 septembre 2026Serveur Linux, installation, sauvegardes et mises à jour, à votre charge et non chiffrés ici.Retenez-le si quelqu’un administre déjà des serveurs, surtout pour un DPO qui suit plusieurs structures.
Commercial à quotasWitik Starter : 0 €, 30 éléments de registre, 2 analyses d’impact, 2 audits, 10 demandes et 10 incidents par an. PrivacyPerfect Forever Free : 0 €, registre et pré-évaluations, pages lues en anglais.La sortie vers l’offre payante. Witik Premium part de 240 € HT par mois pour une PME et une entité, prix affiché pour 36 mois d’engagement et un paiement annuel.Acceptez-le pour essayer, après avoir vérifié comment récupérer vos données et calculé le palier suivant.
Financé par des données ou une contrepartieLu seulement pour des plateformes de consentement, comme Sirdata Essentials, qui présente sur la bannière les demandes de Sirdata et de ses partenaires.Une contrepartie sur vos visiteurs ou votre trafic.Aucun exemple lu côté registre. Si vous en rencontrez un, écartez-le : votre registre décrit vos traitements et vos mesures de sécurité.

Quand le gratuit est un mauvais départ

Si des demandes arrivent déjà chaque mois et se chevauchent, payez sur cette tâche sans attendre un trimestre de test. Si plusieurs entités écrivent dans le même registre, chaque mois passé dans des copies de fichier ajoute des versions à réconcilier le jour d’une reprise.

Un organisme sous-traitant ne peut pas partir tel quel du modèle de la CNIL : l’article 30 lui impose un registre de ses activités de sous-traitance qui nomme chaque client pour lequel il agit, et le fichier n’a pas d’onglet pour cela. Il reste gratuit, à condition de construire le vôtre.

Payer une tâche n’oblige pas à payer les autres. Si une offre inclut un module d’analyse d’impact dont vous n’avez pas l’usage, ne le comptez pas comme une économie.

Limites de cette page

Aucun outil n’a été essayé : les limites indiquées viennent de pages, de dépôts et de fichiers lus. Le temps d’administration de PIA et de Madis reste inconnu, et le coût réel de l’auto-hébergement dépend de votre organisation. Nous n’avons pas ouvert le modèle du Comité européen lui-même. Les quotas et les prix peuvent changer : relisez la grille avant de vous engager.

Prochaine action

Reprenez le tableau et remplissez une ligne pour chacune de vos tâches : l’outil gratuit que vous utilisez, sa limite constatée, le dernier incident. Si vous êtes sous-traitant ou si les demandes se chevauchent déjà, traitez ces lignes en premier.

Preuves et sources

Lu le 5 novembre 2026 : les pages de la CNIL sur le registre, le logiciel PIA, la notification de violation, les clauses de sous-traitance, le droit d’accès, les courriers pour agir et son MOOC ; le communiqué du Comité européen du 14 avril 2026 sur son modèle d’analyse d’impact ; la documentation de Madis ; les grilles tarifaires de Witik et PrivacyPerfect.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode