Par quelle tâche commencer quand tout reste à faire ?
Pour qui : Vous venez de devenir référent ou délégué à la protection des données et vous héritez d’un chantier presque vide. Tout semble urgent et un éditeur vous propose déjà une plateforme.
Nommez d’abord la personne qui porte le sujet et vérifiez si un délégué est obligatoire. Commencez ensuite par la liste de ce que vous traitez, dans le modèle de registre de la CNIL. Enchaînez avec l’information et les demandes des personnes, puis les sous-traitants les plus exposés, puis les analyses d’impact des traitements concernés. Cet ordre est notre avis : aucun texte ne l’impose, et la CNIL en présente plusieurs selon ses publics.
N’achetez rien avant la fin du premier passage du registre. Trois événements passent devant tout : une demande de personne, une violation de données ou un courrier de la CNIL.
Notre avis
Faites un premier passage du registre avant tout achat. Ensuite : information et droits, sous-traitants les plus exposés, puis analyses d’impact. Les urgences passent devant, et un projet à risque élevé fait remonter son analyse.
Pourquoi
- La CNIL place la cartographie après le choix d’un pilote et avant la priorisation : le registre est une base pour tout le reste.
- Sa check-list pour les TPE et PME réunit l’information et les droits juste après l’inventaire et le tri, et rappelle qu’une absence de réponse peut mener à une sanction.
- L’information des personnes figure dans 35 des 83 décisions de sanction de 2025 selon notre comptage, dont 25 hors bandeaux de cookies : c’est un travail court et visible de l’extérieur.
- Sans inventaire, vous ne savez ni quel contrat relire d’abord ni quelle analyse d’impact mener, et une démonstration ne vous l’apprendra pas.
Ce qui change le choix
Une demande, une violation ou un courrier de la CNIL en cours. Un projet susceptible d’engendrer un risque élevé qui démarre : l’article 35 exige l’analyse avant le traitement. Un organisme public, ou des activités qui imposent un délégué : la désignation remonte en tête.
L’ordre à suivre
- Urgences : demande de personne, violation de données, courrier de la CNIL.
- Personne responsable et vérification de l’obligation de délégué.
- Inventaire et premier passage du registre.
- Information des personnes et circuit des demandes.
- Sous-traitants les plus exposés.
- Analyses d’impact des traitements concernés.
Regardez d’abord si une urgence vous attend
Ces trois vérifications vont vite et changent votre semaine. Une demande d’accès, d’effacement ou d’opposition reçue fait courir un mois à compter de sa réception. Une violation se notifie à l’autorité dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance, sauf absence de risque, et elle se documente même sans notification. Un courrier de la CNIL demande une réponse : 14 organismes ont été sanctionnés en procédure simplifiée en 2025 pour ne pas avoir répondu.
Demandez donc à vos prédécesseurs et aux services s’il existe une demande en attente ou un incident récent. En cas de violation ou de contrôle réel, prenez un conseil si l’enjeu le justifie.
La suite, avec un critère de fin pour chaque chantier
Un premier passage imparfait vaut mieux qu’une fiche parfaite. Ces critères de fin sont nos repères de méthode, et aucun texte ne les fixe.
| Rang | Chantier | Pourquoi à ce rang | Vous passez à la suite quand |
|---|---|---|---|
| 1 | Qui porte le sujet, et un délégué est-il obligatoire ? | La désignation est obligatoire pour un organisme public et certaines activités à grande échelle. Une commune a été sanctionnée en 2024 pour plusieurs motifs, dont ce défaut. | Une personne est nommée, et la question de l’obligation est tranchée par écrit. |
| 2 | Inventaire et registre | Il fournit la liste que les étapes suivantes utilisent. La CNIL parle d’une fiche par traitement. | Chaque activité a sa ligne et un propriétaire, même si des champs restent vides. |
| 3 | Information et demandes des personnes | La CNIL les réunit dans sa check-list, et les mentions se corrigent vite. Le délai d’un mois court déjà. | Les formulaires portent une mention, une adresse reçoit les demandes, un journal existe. |
| 4 | Sous-traitants les plus exposés | Le registre donne les noms. L’article 28 exige un contrat écrit à contenu minimal. | Les prestataires qui reçoivent le plus de données ou les plus sensibles ont un contrat vérifié. |
| 5 | Analyses d’impact | Elles visent certains traitements à risque élevé, repérables seulement après l’inventaire. | Vous savez lesquelles sont dues, et la première est lancée. |
Pourquoi cet ordre diffère un peu de celui de la CNIL
La page CNIL en six étapes propose de désigner un pilote, cartographier, prioriser, gérer les risques, organiser les processus et documenter. Sa check-list pour les TPE et PME propose d’identifier les fichiers, de faire le tri, d’informer et de répondre, puis de sécuriser. Nous gardons leur point commun : l’inventaire d’abord.
Nous plaçons l’information et les droits avant les analyses d’impact pour une raison pratique. Une petite structure n’a pas toujours d’analyse à mener, alors qu’elle peut recevoir une demande demain. Si votre activité porte sur des données sensibles à grande échelle, ou si un de vos traitements figure sur la liste CNIL, faites remonter l’analyse après le registre.
La documentation, elle, n’est pas une étape de plus : gardez dès le premier jour les décisions datées.
Les sujets à mener en parallèle, s’ils vous concernent
Si votre site dépose des traceurs publicitaires ou si des caméras filment vos salariés, n’attendez pas la fin de la liste. Ce sont des pratiques visibles : selon la CNIL, 21 organismes ont été sanctionnés sur les traceurs et 16 sur la vidéosurveillance des salariés en 2025, et ses communiqués citent des contrôles en ligne. Le responsable web peut vérifier le refus des cookies sans attendre le registre.
La sécurité n’attend pas non plus, et la check-list de la CNIL la range parmi les quatre premiers gestes. Ce site ne traite pas la partie technique : repartez du guide de la CNIL et de votre service informatique.
Quand acheter, et ce que vous pouvez faire dès cette semaine
Un premier passage vous apprend la tâche qui casse, et c’est elle qui justifiera un outil. Le besoin d’un service vient parfois plus tôt : si la désignation d’un délégué est obligatoire et que personne ne peut tenir le rôle, cherchez une personne avant un logiciel.
Cette semaine, ouvrez le modèle de la CNIL et remplissez trois traitements visibles : paie, clients et fournisseurs par exemple, que la CNIL cite comme restant au registre même pour un petit organisme. Vous verrez ce que vous ne savez pas, et qui peut vous le dire.
Limites de cette page
Cet ordre est une méthode pour un démarrage courant et ne remplace pas une analyse de votre activité. La page CNIL en six étapes évoque encore la préparation de 2018 et sa check-list date de 2021 : elles servent de repères. Le comptage de 35 décisions vient de notre lecture du tableau CNIL, qui liste les manquements principaux. Il ne mesure pas votre risque.
Prochaine action
Demandez aujourd’hui s’il existe une demande de personne, un incident ou un courrier de la CNIL en attente. Sinon, remplissez cette semaine trois traitements visibles dans le modèle CNIL et nommez leur propriétaire, sans démonstration commerciale tant que le premier passage n’est pas fini.
Preuves et sources
Lu le 5 novembre 2026 : la page CNIL « se préparer en 6 étapes », qui évoque encore la préparation de 2018 ; sa check-list pour les TPE et PME de 2021 ; sa fiche sur le registre ; les articles 12, 28, 30, 33, 35 et 37 du RGPD dans le texte qu’elle publie ; le tableau de ses sanctions 2025 et son bilan.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Déclaration de l’éditeur. La page CNIL « se préparer en 6 étapes » propose de désigner un pilote, cartographier les traitements, prioriser, gérer les risques, organiser les processus internes et documenter.
Portée : Page CNIL non datée dans notre lecture.
Réserve : Le texte évoque encore la préparation de 2018.
- CNIL : RGPD : se préparer en 6 étapes | CNIL date non relevée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La check-list CNIL pour les TPE et PME propose d’identifier les fichiers, de faire le tri, de respecter l’information et les droits des personnes puis de sécuriser les données, et précise que la remplir ne garantit pas une conformité au RGPD.
Portée : Check-list, PDF créé le 14 avril 2021.
Réserve : Support destiné aux TPE et PME.
- CNIL : Respecter la vie privée : par où commencer ? - La check-list pour les TPE/PME PDF créé le 14 avril 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 12 du RGPD donne un mois à compter de la réception de la demande pour informer la personne des mesures prises, prolongeable au besoin de deux mois en l’en informant dans le premier mois.
Portée : Demandes fondées sur les articles 15 à 22.
Réserve : Texte reproduit par la CNIL ; règles propres aux données de santé non traitées ici.
- CNIL : CHAPITRE III - Droits de la personne concernée | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. L’article 33 du RGPD prévoit une notification à l’autorité dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance, sauf absence de risque, et une documentation de toute violation.
Portée : Droit en vigueur au 5 novembre 2026.
Réserve : Une modification est à l’état de projet ; texte reproduit par la CNIL.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Notifier une violation de données personnelles | CNIL 24 mai 2018. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 37 du RGPD rend obligatoire la désignation d’un délégué pour une autorité ou un organisme public, sauf juridictions, et pour certaines activités de base à grande échelle.
Portée : Article 37, paragraphe 1.
Réserve : Le droit national ou de l’Union peut en ajouter.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Devenir délégué à la protection des données | CNIL 16 décembre 2016. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le tableau de la CNIL indique, le 13 septembre 2024, une commune sanctionnée en procédure simplifiée pour plusieurs motifs, dont le registre et l’obligation de désigner un délégué.
Portée : Ligne du tableau 2024.
Réserve : Organisme non nommé.
- CNIL : Les sanctions prononcées par la CNIL page datée du 14 avril 2026, listes par année. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Selon notre comptage du tableau CNIL, 35 décisions de sanction sur 83 en 2025 citent l’information des personnes, dont 25 hors du seul intitulé de l’information sur les cookies.
Portée : Colonne des manquements principaux, tableau 2025.
Réserve : Le tableau liste des manquements principaux.
- CNIL : Les sanctions prononcées par la CNIL page datée du 14 avril 2026, listes par année. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le bilan 2025 de la CNIL indique 14 organismes sanctionnés en procédure simplifiée pour ne pas avoir répondu à ses demandes, 21 organismes sanctionnés sur les traceurs et 16 sur la vidéosurveillance des salariés.
Portée : Bilan publié le 9 février 2026.
Réserve : Chiffres datés.
- CNIL : Sanctions et mesures correctrices : la CNIL présente le bilan 2025 09 février 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La CNIL a mené des contrôles en ligne de sites web sur les bandeaux d’information relatifs aux cookies, selon son communiqué du 6 juillet 2026.
Portée : Procédures simplifiées de 2026.
Réserve : Aucune extrapolation à un site précis.
- CNIL : La CNIL a prononcé 23 nouvelles sanctions depuis janvier au titre de la procédure simplifiée 06 juillet 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 35 du RGPD impose une analyse d’impact avant le traitement lorsqu’il est susceptible d’engendrer un risque élevé pour les droits et libertés.
Portée : Article 35, paragraphes 1 et 3.
Réserve : Listes de la CNIL à consulter ; texte reproduit par la CNIL.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. L’article 28 du RGPD exige un contrat écrit avec le sous-traitant, au contenu minimal fixé par le texte.
Portée : Article 28, paragraphes 3 et 9.
Réserve : Texte reproduit par la CNIL.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon la CNIL, paie, gestion des clients et des fournisseurs restent au registre, y compris pour les organismes de moins de 250 salariés.
Portée : Fiche CNIL sur le registre.
Réserve : Un projet de texte peut modifier la dérogation s’il est adopté ; non adopté à cette date.
- CNIL : Le registre des activités de traitement | CNIL 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
Notre méthode. Placer l’information et les droits avant les analyses d’impact, ne rien acheter avant la fin du premier passage du registre et utiliser ces critères de fin sont notre méthode.
Portée : Démarrage d’un chantier courant.
Réserve : Un traitement à risque élevé, une obligation de délégué ou une urgence modifie cet ordre.
Daté du 5 novembre 2026.