Dans quels cas ne rien acheter du tout ?
Pour qui : Vous tenez une très petite structure aux traitements courants : salaires, clients, fournisseurs, quelques adhérents. Des éditeurs vous sollicitent, et vous vous demandez si vous pouvez simplement ne rien payer.
Vous pouvez ne rien acheter si votre structure a peu de demandes, aucun traitement sensible à grande échelle, une personne nommée pour tenir le fichier, n’agit pas pour de nombreux clients et n’est pas un organisme public. Le modèle de registre de la CNIL et un rendez-vous de mise à jour chaque trimestre remplissent alors l’essentiel de ce qu’un logiciel vous apporterait.
Vous ne serez pas dispensé pour autant du registre, de la réponse aux demandes ni de vos contrats. Vous économisez une licence, sans économiser ces tâches.
Notre avis
Si vous cochez les cinq conditions ci-dessous, n’achetez rien. Ne rien acheter ne dispense pas de travailler : gardez un registre à jour et une personne qui répond.
Pourquoi
- Aucun texte lu n’impose d’outil payant. Le registre se tient dans un fichier écrit, que vous pouvez remettre à la CNIL sur demande.
- Votre gestion courante du personnel, de vos fournisseurs ou de vos adhérents peut figurer sur la liste CNIL des traitements sans analyse d’impact, dans ses limites exactes.
- Un logiciel se justifie par les relances et la coordination. Avec une seule personne et peu de demandes, ces deux besoins n’existent pas encore.
Ce qui change le choix
Une demande de droits en retard, une relance perdue deux trimestres de suite, un traitement sensible à grande échelle, ou un statut d’organisme public : cet avis ne vous concerne plus.
Cinq conditions à cocher toutes
Ces conditions sont notre avis : aucun texte ne les fixe. Il suffit d’un non pour lire la section suivante.
| Condition | Comment la vérifier |
|---|---|
| Vous n’êtes ni une autorité ni un organisme public. | Commune, établissement public : l’article 37 s’applique. |
| Une personne est nommée et dispose d’un peu de temps régulier. | Vous pouvez dire son nom. Personne ? Réglez cela d’abord. |
| Vos demandes de droits restent rares. | Sur douze mois, aucune n’a dépassé le délai et aucune ne se chevauche avec une autre. |
| Vous ne faites ni suivi à grande échelle ni traitement à grande échelle de données sensibles. | Vidéo, géolocalisation, données de santé : lisez d’abord la liste CNIL des analyses requises. |
| Vous n’agissez pas pour de nombreux clients. | Sinon, l’article 30 vous impose aussi un registre de sous-traitant qui nomme chacun de vos clients, et le modèle de la CNIL n’a pas d’onglet pour lui. |
Ce qui reste à faire, gratuitement
Bloquez un rendez-vous par trimestre avec vous-même ou votre référent. Passez cette liste en revue.
| Tâche | De quoi vous servir | Limite à connaître |
|---|---|---|
| Registre | Modèle ODS de la CNIL, ou votre propre fichier. | Corrigez les listes de transferts du modèle : elles sont périmées. |
| Analyse d’impact | Liste CNIL de douze types de traitements sans analyse. | Restez strictement dans le cadre listé. La gestion du personnel vaut pour moins de 250 personnes, sans profilage ; les membres et donateurs, sans données sensibles. |
| Demandes de droits | Une adresse connue et un journal : date de réception, réponse. | Un mois pour informer la personne, selon l’article 12. |
| Violations | Un journal de toute violation, notifiée ou non. | L’article 33 ne prévoit aucun seuil de taille pour cette documentation. |
| Prestataires | Les contrats existants et les clauses types de la Commission. | Vérifiez qu’un contrat écrit existe pour chacun. |
Les cas où cet avis change
Organisme public : vous devez désigner un DPO, quelle que soit votre taille, sauf juridiction dans sa fonction juridictionnelle. Cherchez alors une mutualisation, par exemple auprès d’un centre de gestion, plutôt qu’un référent : un référent non désigné ne doit pas porter le titre de DPO, et il ne remplit pas cette obligation.
Soin : le mot santé ne suffit pas à sortir de cet avis. Un professionnel exerçant à titre individuel figure sur la liste CNIL sans analyse d’impact pour la prise en charge de ses patients. Un établissement de santé figure sur la liste des analyses requises : cet avis ne le concerne pas. L’analyse peut se mener avec le logiciel PIA de la CNIL, publié sous licence libre, mais le volume et la sensibilité des données justifient de comparer un outil sans attendre un incident.
Suivi régulier à grande échelle comme activité de base : l’article 37 peut imposer un DPO, sans seuil d’effectif. Le G29, groupe qui réunissait les autorités européennes, cite le cas d’un hôpital, d’une banque ou d’une assurance pour la grande échelle, et écarte les patients d’un médecin seul.
La petite taille ne met pas à l’abri d’un contrôle. Dans sa communication du 6 juillet 2026, la CNIL mentionne des avocats et des médecins sanctionnés pour n’avoir pas répondu à ses sollicitations dans le cadre de plaintes liées à l’exercice des droits.
Si un éditeur insiste
Demandez-lui quelle tâche de votre liste son outil ferait que votre fichier ne fait pas, et sur quel incident chez vous il s’appuie. S’il parle de plafond d’amende ou de badge, revenez à votre liste : votre décision dépend de vos incidents. Refaites le test à chaque rendez-vous trimestriel. Un nouveau service, un recrutement à grande échelle ou une activité de santé changent la réponse.
Limites de cette page
Ce test ne constitue pas un avis sur votre situation et ne dit rien de vos sites : des traceurs soumis à consentement relèvent d’une autre vérification. La liste CNIL date de 2019 et le projet européen Omnibus IV, non adopté au 5 novembre 2026, peut changer l’obligation de registre. Aucun temps de tenue n’a été mesuré.
Prochaine action
Bloquez dans votre agenda un rendez-vous trimestriel de mise à jour de votre fichier, avec le nom de la personne qui le tient. Si vous êtes un organisme public ou si un de vos traitements figure sur la liste des analyses requises, vérifiez d’abord l’obligation qui vous concerne.
Preuves et sources
Lu le 5 novembre 2026 : les articles 30, 33, 35 et 37 du RGPD dans le texte publié par la CNIL ; la fiche de la CNIL sur le registre ; sa liste des traitements sans analyse d’impact, adoptée le 12 septembre 2019 ; sa liste des analyses requises ; les lignes directrices du G29 sur le DPO ; sa communication du 6 juillet 2026 sur les sanctions simplifiées.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. Le registre se présente sous une forme écrite, y compris électronique, et se met à la disposition de l’autorité de contrôle sur demande ; le texte n’impose ni format ni logiciel. Un sous-traitant tient en plus un registre de ses activités qui nomme chaque responsable pour lequel il agit.
Portée : Article 30, paragraphes 2 à 4.
Réserve : Texte reproduit par la CNIL.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. La liste CNIL des traitements sans analyse d’impact, adoptée le 12 septembre 2019, comporte douze types d’opérations, dont la gestion du personnel des organismes de moins de 250 personnes à l’exception du profilage, la relation fournisseurs et la gestion des membres et donateurs d’associations lorsque les données ne sont pas sensibles.
Portée : Traitements relevant de la CNIL, dans le périmètre exact de chaque type.
Réserve : Liste non exhaustive. Le G29 demande de rester strictement dans le cadre listé.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Lu le 5 novembre 2026. Document d’origine.
- CNIL : Analyse d’impact relative à la protection des données : publication d’une liste des traitements pour lesquels une analyse n’est pas requise | CNIL Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 37 du RGPD impose la désignation d’un DPO à toute autorité ou tout organisme public, hors juridictions dans l’exercice de leur fonction juridictionnelle, sans seuil d’effectif, et lorsque les activités de base exigent un suivi régulier et systématique à grande échelle ou consistent en un traitement à grande échelle de données des articles 9 ou 10.
Portée : Droit en vigueur au 5 novembre 2026.
Réserve : Le droit national peut prévoir d’autres cas.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Un DPO peut être mutualisé entre organismes publics, notamment au niveau d’un centre de gestion, avec une convention.
Portée : Collectivités et établissements publics, article 37, paragraphe 3 et guide CNIL.
Réserve : L’échelle doit correspondre aux moyens alloués.
- CNIL : Désigner un délégué à la protection des données dans une collectivité 07 février 2020. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Guide pratique RGPD. Délégués à la protection des données édition non relevée, postérieure à février 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon le G29, un référent ou consultant non désigné ne doit pas porter le titre de DPO.
Portée : Lignes directrices WP243 rev.01 du 30 octobre 2017.
Réserve : Lignes directrices.
- G29 (archives Commission) : Guidelines on Data Protection Officers ('DPOs'), wp243rev.01 30 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La liste CNIL écarte l’analyse d’impact pour la prise en charge d’un patient par un professionnel de santé exerçant à titre individuel, et la requiert pour les traitements de santé des établissements de santé pour la prise en charge des personnes.
Portée : Listes CNIL.
Réserve : Ces listes portent sur l’analyse d’impact.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Délibération n° 2019-118 du 12 septembre 2019. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise Délibération n° 2018-327 du 11 octobre 2018. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Lu le 5 novembre 2026. Document d’origine.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le G29 ne fixe aucun chiffre pour la grande échelle ; il cite les patients d’un médecin seul comme n’en relevant pas, et un hôpital, une banque ou une assurance comme en relevant.
Portée : WP243 rev.01, section 2.1.3.
Réserve : Zone grise reconnue par le texte.
- G29 (archives Commission) : Guidelines on Data Protection Officers ('DPOs'), wp243rev.01 30 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 33, paragraphe 5, du RGPD impose de documenter toute violation, notifiée ou non, sans seuil de taille dans le texte ; l’article 12 donne un mois pour informer la personne des mesures prises.
Portée : Droit en vigueur au 5 novembre 2026.
Réserve : Prolongation possible de l’article 12 dans ses conditions.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : CHAPITRE III - Droits de la personne concernée | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Les listes de transferts du modèle de registre de la CNIL, daté du 18 février 2020, proposent encore le Privacy Shield et divergent de la liste de la Commission.
Portée : Fichier ODS téléchargé le 5 novembre 2026.
Réserve : Nouvelle version possible.
- CNIL : Modèle de registre simplifié (registre-traitement-simplifie.ods) Métadonnée dc:date du fichier : 18 février 2020. Lu le 5 novembre 2026. Document d’origine.
- Commission européenne : Data protection adequacy for non-EU countries date non trouvée sur les pages lues le 5 novembre 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La CNIL indique le 6 juillet 2026 que certains organismes, avocats et médecins, n’ayant pas répondu à ses sollicitations dans l’instruction de plaintes relatives à l’exercice des droits, ont pu faire l’objet d’une amende assortie d’une injonction.
Portée : Procédure simplifiée, janvier au 6 juillet 2026.
Réserve : Décisions non publiques, sans valeur prédictive.
- CNIL : La CNIL a prononcé 23 nouvelles sanctions depuis janvier au titre de la procédure simplifiée | CNIL 6 juillet 2026. Lu le 5 novembre 2026. Document d’origine.
Notre avis. Les cinq conditions du zéro achat et le rendez-vous trimestriel sont des repères éditoriaux, sans valeur légale et sans durée mesurée.
Portée : Très petites structures aux traitements courants.
Réserve : Un seul signal inverse fait tomber l’avis.
Daté du 5 novembre 2026.
Fait lu. La CNIL met à disposition son logiciel PIA d’aide à l’analyse d’impact, en version à télécharger, avec un code source publié sous licence libre.
Portée : Page CNIL de téléchargement du logiciel PIA.
Réserve : Logiciel non essayé ; il ne dit pas si une analyse est obligatoire.
- CNIL : Outil PIA : téléchargez et installez le logiciel de la CNIL | CNIL Page datée du 7 avril 2026. Lu le 5 novembre 2026. Document d’origine.