Aller au contenu principal
Quel logiciel RGPD

Que fait un logiciel RGPD, et que laisse-t-il à votre charge ?

Pour qui : Un éditeur vous annonce que son outil réglera votre conformité. Vous dirigez l’organisation, vous allez signer, et vous voulez savoir ce qui restera sur votre bureau le lendemain.

Un logiciel RGPD range, date, relance et exporte. Il peut vous éviter de perdre une échéance ou une version. Il ne décide pas pourquoi vous traitez des données, ne supprime pas les champs inutiles de vos outils métier et ne répond pas à une personne à votre place.

Le RGPD place cette charge sur le responsable du traitement, l’organisme qui décide de l’objectif et des moyens. Il doit respecter les principes et pouvoir le démontrer. Des éditeurs l’écrivent eux-mêmes dans leurs contrats. Lisez donc ces contrats avant les promesses de leur page d’accueil.

Notre avis

Achetez un logiciel pour tenir vos pièces à jour et ne plus perdre une échéance. N’attendez de lui aucune décision à votre place : respecter le RGPD et démontrer ce respect restent à votre charge.

Pourquoi

  • L’article 5 exige du responsable du traitement qu’il respecte les principes et puisse le démontrer. L’article 24 lui demande des mesures appropriées, réexaminées si nécessaire.
  • Les conditions de Legiscope du 31 août 2026 écrivent que le service ne vérifie pas le caractère complet des dossiers, ne certifie pas la conformité et ne décide pas si une obligation s’applique.
  • Un registre parfait n’efface pas une caméra qui filme des salariés en permanence : la CNIL sanctionne ce qui se passe dans les faits.

Ce qui change le choix

Si vous avez besoin de quelqu’un qui analyse et tranche à vos côtés, le manque porte sur une compétence. Regardez un DPO ou un conseil, qui réduit votre travail sans vous décharger de votre responsabilité.

Article par article, qui fait quoi

La colonne du milieu décrit ce qu’un logiciel peut apporter d’après ce que les éditeurs annoncent. Nous n’en avons essayé aucun : vérifiez chaque point sur l’offre visée.

Ce qui se documente et ce qui reste à faire
Ce que dit le RGPDCe qu’un logiciel peut apporterCe qui reste chez vous
Article 5, licéité : un traitement doit être licite, loyal et transparent.Un champ pour noter la base légale, des modèles de mentions.Choisir la raison juridique, informer réellement les personnes.
Article 5, minimisation : des données limitées au nécessaire.La liste des données par traitement.Retirer les champs inutiles dans vos formulaires et vos outils métier.
Article 5, conservation : pas au-delà de ce qui est nécessaire.La durée notée, un rappel de revue.Effacer ou archiver dans les systèmes concernés, sauf connecteur déjà en place.
Article 12 : informer dans un mois de la suite donnée à une demande.Un journal, un compte à rebours, des relances.Retrouver les données, trancher, répondre à la personne.
Article 28 : ne recourir qu’à des sous-traitants offrant des garanties suffisantes, avec un contrat écrit.Un inventaire, l’envoi de questionnaires, le classement des contrats.Juger les réponses, négocier, décider de garder ou non un prestataire.
Article 30 : tenir un registre écrit.Des fiches structurées, un export pour la CNIL.Apprendre qu’un service a changé d’outil, et dire ce qui se passe vraiment.
Article 33 : notifier une violation à risque, si possible sous 72 heures.L’horodatage, une trame, le journal des incidents.Évaluer le risque, décider de notifier, prévenir les personnes si le risque est élevé.
Article 35 : mener une analyse d’impact avant un traitement à risque élevé.Un parcours guidé, un plan d’action.Évaluer les risques, retenir les mesures, renoncer ou modifier si besoin.
Articles 5 et 24 : pouvoir démontrer le respect des règles.Des exports, un historique, des pièces rangées.Avoir des pièces qui décrivent des pratiques réelles.

Comparez la page d’accueil et le contrat

Les conditions de Legiscope, version du 31 août 2026, disent que le service aide à structurer et rédiger, n’assume pas les responsabilités légales du client, et que les conclusions et communications restent les siennes. La même page affiche pourtant en tête « Your Article 30 register, kept current for you » : gardez cet écart en tête quand vous lisez un argument commercial, chez cet éditeur comme ailleurs.

Les conditions de Smart Global Governance disent que l’éditeur ne peut pas déterminer la nature des données que le client stocke, et qu’en conséquence le client s’assure lui-même de sa conformité ; la plateforme est fournie « en l’état ». Les conditions de Dastra indiquent que l’éditeur ne garantit pas l’exhaustivité, l’exactitude ou la qualité des données saisies par l’utilisateur.

Ces clauses sont normales et ne disent rien de la qualité de ces produits. Elles fixent seulement ce que vous achetez. Demandez l’équivalent à tout éditeur qui vous promet davantage en démonstration.

La formule peut aussi venir d’un service. Mon Expert RGPD écrit sur sa page de tarifs que son modèle maintient « votre entreprise conforme en toute circonstance ». Cette promesse n’a aucun appui dans les articles 5 et 24, qui demandent une démonstration continue par l’organisme. Cela ne prouve rien sur la valeur de la prestation : demandez ce que couvre la phrase.

Ce que la CNIL reproche dans ses sanctions récentes

Dans sa communication du 6 juillet 2026, la CNIL annonce 23 sanctions en procédure simplifiée depuis janvier, pour 133 750 euros cumulés. Elles portent principalement sur la vidéosurveillance, les cookies et le non-respect des droits d’accès et d’effacement, associé à un défaut de coopération avec la CNIL. Des sociétés n’ont pas répondu, ou trop tard ; des avocats et des médecins n’ont pas répondu à ses sollicitations.

Notre lecture : un logiciel pouvait aider à ne pas laisser passer une échéance, à condition que quelqu’un réponde. Il n’aurait pas repositionné une caméra. Cet échantillon reste daté et ne prédit rien pour votre organisation.

Une certification ne change pas ce partage. Selon le RGPD, un code de conduite ou une certification approuvés peuvent servir d’élément pour démontrer le respect des obligations, sans plus. La CNIL prévient aussi que suivre les guides et outils de sa page de ressources tierces « ne garantit pas une conformité au RGPD ». Sa mise en garde vise ces ressources, mais elle vaut comme réflexe de lecture.

Un test à faire sur la promesse qu’on vous a faite

Prenez une phrase d’un éditeur ou d’un prestataire, puis suivez ces étapes avant le rendez-vous.

  1. Recopiez la promesse mot pour mot, avec la page et la date. Une promesse orale se fait confirmer par écrit.
  2. Écrivez le travail qu’il y a derrière : qui repère le changement, qui décide, qui répond, qui signe. Un nom ou une fonction par verbe.
  3. Cochez ce qui revient à l’outil, à l’éditeur ou à vous. Sans personne de l’éditeur nommée au contrat, comptez ce travail pour vous.
  4. Cherchez la clause correspondante dans le contrat. Si la clause dit moins que la démonstration, c’est le contrat qui vous engage.
  5. Chiffrez le temps qui reste chez vous, en heures. Si le reste dépasse ce que votre référent peut tenir, le manque porte sur une personne.

Si une personne travaille à vos côtés

Un DPO, interne ou externe, conseille, contrôle et sert de point de contact. Le RGPD lui garantit des moyens et son indépendance. Selon la CNIL, il n’est pas personnellement responsable du non-respect des règles : l’organisme le reste. Un service de ce type peut donc alléger le travail, sans déplacer la responsabilité.

Pour un éditeur, la frontière existe aussi dans l’autre sens : un sous-traitant qui détermine lui-même les finalités et les moyens en violation du règlement est considéré comme responsable pour ce traitement. Cette règle vise son propre comportement et ne vous décharge de rien.

Limites de cette page

Aucun logiciel n’a été essayé et aucune clause n’a été appliquée à un cas réel. Seules trois conditions contractuelles fondent cette page, et celles d’une offre signée peuvent différer de la version publique. Le RGPD a été lu dans le texte publié par la CNIL. Devant une promesse précise liée à un contentieux, un conseil peut être utile.

Prochaine action

Prenez la dernière promesse qu’on vous a faite et écrivez, pour chaque verbe, la personne qui fera le travail. Si une personne d’un prestataire y figure, faites-la nommer au contrat, puis vérifiez que la responsabilité reste bien décrite comme la vôtre.

Preuves et sources

Lu le 5 novembre 2026 : les articles 5, 12, 24, 28, 30, 33, 35, 38 et 39 du RGPD dans le texte publié par la CNIL ; les conditions d’utilisation ou de service de Legiscope (version du 31 août 2026), de Dastra et de Smart Global Governance ; deux communications de la CNIL sur ses sanctions (9 février et 6 juillet 2026) ; sa page de ressources pour les TPE et PME.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. Le responsable du traitement est responsable du respect des principes de l’article 5 du RGPD et doit être en mesure de le démontrer ; l’article 24 lui impose des mesures appropriées, réexaminées et actualisées si nécessaire.

    Portée : Articles 5, paragraphe 2, et 24.

    Réserve : Texte reproduit par la CNIL.

  • Fait lu. L’article 5 du RGPD pose les principes de licéité, loyauté et transparence, de minimisation et de limitation de la conservation.

    Portée : Article 5, paragraphe 1.

    Réserve : Exceptions sur la conservation pour l’archivage d’intérêt public, la recherche et la statistique.

  • Fait lu. L’article 12 du RGPD prévoit un mois à compter de la réception pour informer la personne des mesures prises, délai qui peut être prolongé dans ses conditions.

    Portée : Demandes des articles 15 à 22.

    Réserve : Prolongation de deux mois au besoin, si la personne en est informée dans le premier mois.

  • Fait lu. L’article 28 du RGPD limite le recours aux sous-traitants présentant des garanties suffisantes et exige un contrat écrit ; l’article 30 impose un registre écrit ; l’article 33 impose une notification si possible sous 72 heures sauf absence de risque ; l’article 35 impose une analyse d’impact en cas de risque élevé probable.

    Portée : Droit en vigueur au 5 novembre 2026.

    Réserve : Dérogation de l’article 30, paragraphe 5. Projets de modification non adoptés.

  • Notre calcul ou déduction. Ce qu’un logiciel apporte tâche par tâche est déduit des fonctions annoncées par les éditeurs lus, sans essai : structurer, dater, relancer, exporter, et non décider ni agir dans les systèmes sans intégration.

    Portée : Logiciels de gouvernance lus.

    Réserve : Aucun logiciel essayé. Une intégration en place peut changer une ligne.

  • Fait lu. Les conditions de Legiscope, version du 31 août 2026, écrivent que le service ne vérifie pas l’authenticité, le caractère complet ou suffisant des dossiers, ne certifie pas la conformité, ne décide pas si une obligation légale s’applique, et n’assume pas les responsabilités légales du client ; les conclusions, approbations et communications restent celles du client.

    Portée : Conditions publiques de l’éditeur.

    Réserve : Un bon de commande peut compléter ces conditions.

  • Déclaration de l’éditeur. La page des conditions de Legiscope affiche en en-tête la formule « Your Article 30 register, kept current for you ».

    Portée : Texte de navigation de la page lue.

    Réserve : Formule commerciale, sans valeur contractuelle établie.

  • Fait lu. Les conditions de Smart Global Governance écrivent que l’éditeur ne peut pas déterminer la nature des données stockées par le client et qu’en conséquence le client s’assure lui-même de sa conformité à la réglementation, et que la plateforme est fournie « en l’état » et « selon disponibilité ».

    Portée : Conditions générales publiques.

    Réserve : La phrase sur la conformité suit un passage sur la nature des données stockées par le client.

  • Fait lu. Les conditions d’utilisation de Dastra indiquent que l’éditeur ne garantit pas l’exhaustivité, l’exactitude ou la qualité des données renseignées par l’utilisateur.

    Portée : Conditions générales d’utilisation publiques.

    Réserve : Conditions commerciales non lues.

  • Déclaration de l’éditeur. Mon Expert RGPD écrit sur sa page de tarifs que son modèle assure une gestion du budget « tout en maintenant votre entreprise conforme en toute circonstance ».

    Portée : Page de tarifs lue le 5 novembre 2026.

    Réserve : Formule commerciale, sans conclusion sur la qualité du service.

  • Fait lu. La CNIL annonce le 6 juillet 2026 avoir prononcé depuis janvier 23 sanctions en procédure simplifiée pour 133 750 euros cumulés, portant principalement sur la vidéosurveillance, les cookies et le non-respect des droits d’accès et d’effacement associé à un défaut de coopération ; des avocats et des médecins n’ont pas répondu à ses sollicitations.

    Portée : Procédure simplifiée, janvier au 6 juillet 2026.

    Réserve : Échantillon daté, sans valeur prédictive. Décisions non publiques.

  • Déclaration de l’éditeur. Selon la CNIL, les caméras installées sur les lieux de travail ne doivent pas filmer les salariés en permanence si aucune circonstance exceptionnelle ne le justifie.

    Portée : Rappel dans la communication du 6 juillet 2026.

    Réserve : Rappel général, sans appréciation d’un dispositif précis.

  • Fait lu. Selon le RGPD, l’application d’un code de conduite ou d’un mécanisme de certification approuvés peut servir d’élément pour démontrer le respect des obligations.

    Portée : Articles 24, paragraphe 3, 28, paragraphe 5, et 32, paragraphe 3.

    Réserve : Élément de preuve parmi d’autres.

  • Déclaration de l’éditeur. La CNIL écrit que le suivi des guides et outils de sa page de ressources tierces pour les TPE et PME ne garantit pas une conformité au RGPD.

    Portée : Ressources tierces listées par la CNIL.

    Réserve : Cet avertissement ne vise pas expressément les logiciels payants.

  • Fait lu. Le DPO bénéficie de ressources, de temps et d’indépendance selon l’article 38 du RGPD ; selon la CNIL, il n’est pas personnellement responsable du non-respect des règles, le responsable du traitement ou le sous-traitant le restant.

    Portée : Articles 38 et 39 ; page CNIL Devenir délégué.

    Réserve : Page CNIL de décembre 2016.

  • Fait lu. L’article 28, paragraphe 10, du RGPD considère comme responsable pour ce traitement le sous-traitant qui détermine les finalités et les moyens en violation du règlement.

    Portée : Sous-traitants, dont éditeurs de logiciels.

    Réserve : Sans préjudice des articles 82 à 84.

  • Notre méthode. Le test en cinq étapes appliqué à une promesse est une méthode proposée par ce guide, sans valeur juridique.

    Portée : Lecture d’une promesse commerciale.

    Réserve : Ne remplace pas une analyse de contrat.

    Daté du 5 novembre 2026.