Aller au contenu principal
Quel logiciel RGPD

Quand un tableur ne suffit-il plus ?

Pour qui : Vous tenez le registre de votre organisation dans un fichier, parfois issu du modèle de la CNIL. Après une relance oubliée ou une question de votre direction, vous vous demandez s’il faut passer à un logiciel.

Votre tableur suffit tant qu’une personne nommée le tient à jour, que les changements lui parviennent et qu’aucune relance ne se perd. N’achetez rien dans ce cas : le RGPD exige un registre écrit, admet la forme électronique et n’impose aucun logiciel.

Comparez un logiciel quand un signal revient le trimestre suivant malgré une réparation, et seulement pour la tâche qui casse. Si un changement manque parce que personne ne vous a prévenu, un logiciel vous laissera la même case vide : il vous faut d’abord un circuit entre les services et la personne qui tient le registre.

Notre avis

Gardez le tableur tant qu’une personne nommée le tient à jour et qu’aucune relance ne se perd. Comparez un logiciel quand un signal revient après réparation du fichier, et pour la seule tâche qui casse.

Pourquoi

  • Le RGPD demande un registre écrit, admet la forme électronique et exige de pouvoir le remettre à la CNIL sur demande. Il ne parle d’aucun logiciel.
  • Le travail difficile consiste à apprendre qu’un service a changé de prestataire. Un logiciel peut relancer à date fixe ; sans intégration déjà en place, il ne l’apprendra pas seul.
  • Un fichier ne relance personne. Le suivi des échéances est donc le premier endroit où un logiciel peut changer votre quotidien.
  • Historique, droits d’accès, base légale et listes de pays se réparent dans le fichier, sans rien acheter.

Ce qui change le choix

Une relance perdue ou une version écrasée qui revient le trimestre suivant malgré la réparation, ou des demandes de droits qui se chevauchent mois après mois. La comparaison vient plus tôt pour un sous-traitant à nombreux clients, un établissement de santé ou un traitement à grande échelle de données sensibles.

L’ordre à suivre

  1. Aucun signal : gardez le fichier et refaites le test au trimestre suivant.
  2. Signal vu pour la première fois : réparez le fichier ou le circuit, sans acheter.
  3. Plusieurs personnes doivent écrire : essayez une base partagée avec droits d’accès et historique de versions.
  4. Même signal au trimestre suivant : comparez un logiciel pour cette tâche.

Sept contrôles à faire sur votre propre fichier

Regardez les trois derniers mois, sauf mention contraire. Ces repères sont les nôtres : aucun texte ne les fixe.

Le test, contrôle par contrôle
ContrôleGesteSignal
ChangementsNotez trois changements survenus : outil, prestataire, durée de conservation. Cherchez-les dans le registre.L’un manque.
DatesSur cinq fiches, comparez la date de la liste et celle de la fiche. Dans le modèle CNIL, chacune se saisit à la main, sans lien avec l’autre.Elles divergent.
PrestataireRetrouvez toutes les fiches qui citent un prestataire choisi.Il porte plusieurs noms, ou vous doutez d’avoir tout trouvé.
CopiesCherchez le nom du fichier dans votre messagerie et vos espaces partagés.Quelqu’un a travaillé sur une ancienne copie.
RelancesListez vos demandes aux services et aux prestataires.Une demande est restée sans suite, ou son suivi n’existe que dans votre messagerie.
Demandes de droitsSur douze mois, notez réception et réponse de chaque demande d’accès, d’effacement ou d’opposition. L’article 12 donne un mois, prolongeable de deux au besoin si la personne en est informée dans le premier mois.Une échéance est passée, ou des demandes ouvertes se chevauchent sans vue d’ensemble.
Passé d’une fichePrenez une fiche modifiée cette année : quelle durée de conservation avant, décidée par qui, et quand ?Seule la dernière version existe.

Cherchez où cela a cassé avant de penser à un achat

Le même trou dans le registre peut venir de trois endroits, et un logiciel n’en traite qu’une partie.

Cause du signal et réponse
Ce qui s’est passéOù cela casseRéponse
Un service a changé de prestataire sans vous le dire.Le circuitNommez un propriétaire par traitement et fixez une revue. Un logiciel relancerait sans découvrir ce changement.
Votre demande d’information s’est perdue.La coordinationAjoutez un onglet de suivi : quoi, qui, échéance, réponse. S’il ne tient pas un trimestre, comparez.
L’information a été écrasée, reste introuvable ou ne se date pas.Le fichierFaites les réparations ci-dessous. Notre avis : si plusieurs personnes doivent écrire en même temps, essayez une base partagée avec droits d’accès et historique de versions, à condition qu’une personne administre ces droits. Sinon, un fichier unique reste moins risqué.

Le signal qui justifie de comparer un logiciel

Même signal au trimestre suivant, malgré la réparation : comparez pour cette tâche, et demandez à l’éditeur de rejouer devant vous le cas qui a échoué. Échéance de demande de droits passée : répondez et ouvrez un journal le jour même, puis comparez sans attendre si les demandes se chevauchent déjà.

Pour suivre les demandes et relancer les sous-traitants, nous n’avons trouvé aucun outil public dans ce que nous avons lu le 5 novembre 2026. Il reste votre tableur, ou Madis, logiciel libre à héberger vous-même, dont la documentation annonce ce suivi. Notre avis : payer se justifie d’abord là.

Réparez le fichier, que vous restiez ou que vous partiez

Gardez la structure du modèle : une liste, une fiche par activité, une durée de conservation par catégorie de données. Selon la CNIL, elle couvre le socle de l’article 30. Réparez le reste avant toute démonstration commerciale : un logiciel reprendra ce que vous lui donnerez.

Réparations, avec leur statut réel
Constat dans le modèle de la CNILÀ faireStatut
Pays et garanties. Le fichier téléchargé, daté du 18 février 2020, propose « Privacy shield », classe les États-Unis et le Canada en adéquat sans condition, le Japon, la Corée du Sud et le Brésil en non adéquat, et omet le Royaume-Uni.Cherchez « Privacy shield » dans vos fiches et reprenez chaque transfert. Corrigez l’onglet 5 d’après la page de la Commission européenne : aux États-Unis, seules les organisations commerciales participant au Data Privacy Framework sont couvertes ; au Canada, les organisations commerciales. Insérez toute ligne avant le dernier pays : le contrôle de saisie s’arrête à la ligne 177. Les fiches remplies ne se corrigent pas seules.Erreur à corriger. La Cour de justice de l’Union a invalidé le Privacy Shield le 16 juillet 2020.
Historique. Une date de création et une de mise à jour par fiche.À chaque révision, gardez une copie datée en lecture seule et notez le changement et qui l’a décidé.Notre avis. Aucun texte lu ne l’impose ; l’utilité vient du devoir de démontrer le respect des règles (articles 5 et 24).
Droits d’accès au fichier. Le modèle ne prévoit rien.Un seul emplacement, plus d’envoi par messagerie, écriture réservée au référent et aux propriétaires de fiches. Vérifiez qui a accès aujourd’hui.Notre avis. Le fichier décrit vos mesures de sécurité.
Base légale. Aucun champ.Ajoutez une colonne : la raison juridique qui autorise chaque traitement.Recommandé par la CNIL, absent de la liste de l’article 30. Utile pour vos mentions d’information.
Propriétaire et nom des lignes. Aucun champ pour qui tient la fiche ; nom libre.Ajoutez un propriétaire dans le métier et une date de revue. Renommez d’après son objectif toute ligne qui porte le nom d’un logiciel.Notre avis pour le propriétaire ; méthode de la CNIL pour le nom.

Les cas où ce test ne suffit pas

Vous êtes sous-traitant, donc vous traitez des données pour le compte de clients. L’article 30 impose un registre distinct qui nomme chaque client, et le modèle n’a aucun onglet pour cela. Construisez le vôtre. Si rattacher les activités aux clients devient le travail principal, comparez sans attendre.

Dans le soin, le mot « santé » ne tranche pas. La CNIL ne requiert pas d’analyse d’impact (l’étude préalable des risques) pour la prise en charge par un professionnel exerçant à titre individuel. Elle la requiert pour les établissements de santé et estime qu’elle devrait être nécessaire pour un cabinet groupé partageant un système d’information à partir de 10 000 patients par an. Le tableur y reste permis. Notre avis : ces structures, et toute organisation traitant des données sensibles à grande échelle, ont intérêt à comparer sans attendre une relance perdue.

Un organisme public doit, selon la CNIL, communiquer son registre à qui le demande, après occultation notamment des secrets protégés et de la sécurité des systèmes. Le tableur convient si vous produisez cette version sans toucher à l’original.

Si personne ne peut tenir le fichier, le manque porte sur du temps ou une compétence : réglez ce point avant de regarder un outil.

Moins de 250 salariés ou projet Omnibus : le registre reste à tenir

La dérogation de l’article 30 tombe dès qu’un traitement n’est pas occasionnel, présente un risque ou porte sur des données sensibles ou d’infraction. Selon la CNIL, paie, clients et fournisseurs restent donc inscrits.

Le projet européen Omnibus IV réserverait le registre aux activités à risque élevé pour davantage d’organisations. Au 5 novembre 2026, il n’est pas adopté, et le Parlement européen n’a pas encore pris position en première lecture. Regardez où il en est avant un engagement long pour le seul registre.

Limites de cette page

Ce test ne juge aucun logiciel précis. Le RGPD a été lu dans le texte publié par la CNIL, qui n’affiche pas les numéros de paragraphe de l’article 30. Le modèle et la liste de la Commission peuvent changer : vérifiez chaque pays avant de remplir une fiche.

Prochaine action

Ouvrez votre registre et notez en face de chaque traitement qui le met à jour. Listez ensuite les relances perdues depuis trois mois et la cause de chacune. Si vous êtes sous-traitant, organisme public ou établissement de santé, lisez d’abord les situations où ce test ne suffit pas.

Preuves et sources

Lu le 5 novembre 2026 : le modèle de registre de la CNIL, ouvert jusqu’à ses listes et ses contrôles de saisie ; la page CNIL sur le registre, datée du 13 avril 2018 ; les articles 5, 12, 24, 30 et 35 du RGPD dans le texte publié par la CNIL ; la liste de la Commission européenne des pays reconnus adéquats ; les listes CNIL d’analyses d’impact et son référentiel des cabinets de santé ; la fiche du Parlement européen sur le projet Omnibus IV.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. Le RGPD prévoit que les registres se présentent sous une forme écrite, y compris électronique, et qu’ils sont mis à la disposition de l’autorité de contrôle sur demande.

    Portée : Article 30, paragraphes 3 et 4, tous registres.

    Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis d’après l’ordre du texte.

  • Déclaration de l’éditeur. La CNIL écrit que le format du registre est libre, papier ou électronique, et que son modèle ODS permet de satisfaire au socle d’exigences de l’article 30.

    Portée : Page CNIL datée du 13 avril 2018 ; modèle destiné en particulier aux petites structures.

    Réserve : Position de la CNIL sur un modèle de base. Elle recommande de l’enrichir.

  • Déclaration de l’éditeur. Selon la CNIL, toute modification apportée aux conditions d’un traitement, comme une nouvelle donnée, une durée allongée ou un nouveau destinataire, doit être portée au registre.

    Portée : Organismes tenus au registre.

    Réserve : Doctrine de la CNIL.

  • Fait lu. Dans le modèle de registre de la CNIL lu le 5 novembre 2026, les dates de l’onglet de liste et celles de chaque fiche ne sont reliées par aucune formule.

    Portée : Fichier ODS téléchargé le 5 novembre 2026, formules inspectées.

    Réserve : Un organisme a pu modifier sa copie.

  • Fait lu. Le modèle de registre de la CNIL ne contient ni champ de base légale, ni historique, ni champ pour la personne qui tient la fiche à jour, et ne prévoit rien sur les droits d’accès au fichier.

    Portée : Fichier ODS, cinq onglets lus.

    Réserve : La CNIL recommande d’enrichir le modèle : ces absences ne sont pas un manquement du modèle au regard de l’article 30.

  • Fait lu. L’onglet 5 du modèle propose « Privacy shield » comme garantie, classe les États-Unis et le Canada en adéquat sans condition, le Japon, la Corée du Sud et le Brésil en non adéquat, et ne contient pas le Royaume-Uni ; le fichier porte la date de métadonnée du 18 février 2020.

    Portée : Listes de l’onglet 5 et métadonnée dc:date.

    Réserve : La métadonnée date le fichier, sans dire qu’aucune autre révision n’a eu lieu sur le fond.

  • Fait lu. Le contrôle de saisie du pays lit la plage de l’onglet 5 jusqu’à la ligne 177, et aucune formule ne reporte le statut d’un pays vers les fiches.

    Portée : Règles de validation et formules du fichier ODS.

    Réserve : Le geste d’insertion avant le dernier pays est notre conseil pratique.

  • Fait lu. La Commission européenne reconnaît comme adéquats notamment le Brésil, le Japon, la République de Corée, le Royaume-Uni, le Canada pour les organisations commerciales et les États-Unis pour les organisations commerciales participant au Data Privacy Framework.

    Portée : Page de la Commission lue le 5 novembre 2026 ; décision Data Privacy Framework du 10 juillet 2023.

    Réserve : Liste évolutive, à vérifier pays par pays.

  • Fait lu. La Cour de justice de l’Union européenne a invalidé le Privacy Shield par son arrêt du 16 juillet 2020.

    Portée : Présentation de l’arrêt par la CNIL.

    Réserve : Lu sur la page CNIL, sans lecture de l’arrêt lui-même.

  • Fait lu. L’article 12 du RGPD donne un mois à compter de la réception pour informer la personne des mesures prises, délai prolongeable de deux mois au besoin à condition de l’informer de la prolongation et de ses motifs dans le premier mois.

    Portée : Demandes fondées sur les articles 15 à 22.

    Réserve : Prolongation liée à la complexité et au nombre de demandes. Texte reproduit par la CNIL.

  • Fait lu. Le responsable du traitement doit être en mesure de démontrer le respect des principes du RGPD et mettre en œuvre des mesures appropriées, réexaminées et actualisées si nécessaire.

    Portée : Articles 5, paragraphe 2, et 24.

    Réserve : Ces articles n’imposent pas d’archiver les versions du registre.

  • Notre avis. Garder une copie datée à chaque révision du registre est un avis éditorial : aucune page lue ne l’impose, et la CNIL présente le registre comme un document évolutif.

    Portée : Pages et textes lus au 5 novembre 2026.

    Réserve : Une exigence d’un client, d’un audit ou d’un secteur peut aller plus loin.

  • Déclaration de l’éditeur. La CNIL propose d’ajouter au registre la base légale parmi les informations utiles pour informer les personnes, alors que la liste de l’article 30 ne la cite pas.

    Portée : Bonne pratique de la page CNIL.

    Réserve : Recommandation, sans obligation au titre de l’article 30.

  • Déclaration de l’éditeur. Selon la CNIL, les traitements s’identifient par finalité et non par logiciel, car un même logiciel peut servir différents traitements.

    Portée : Méthode de constitution du registre.

    Réserve : Méthode de la CNIL.

  • Notre calcul ou déduction. Un logiciel de registre peut relancer et structurer, mais il n’apprend pas seul un changement décidé dans un service, sauf intégration déjà en place.

    Portée : Déduction de l’obligation de report des changements décrite par la CNIL.

    Réserve : Aucun logiciel n’a été essayé pour cette page.

  • Notre calcul ou déduction. Dans ce que nous avons lu le 5 novembre 2026, nous n’avons trouvé aucun outil public de suivi des demandes reçues ou de relance des sous-traitants.

    Portée : Outils publics recensés dans notre lecture.

    Réserve : Absence constatée dans nos lectures, sans valeur d’inexistence absolue.

  • Déclaration de l’éditeur. La documentation de Madis, logiciel libre sans hébergement fourni, annonce un registre des demandes et un suivi des sous-traitants.

    Portée : Documentation utilisateur et d’installation.

    Réserve : Logiciel non essayé. L’installation demande un serveur à administrer.

  • Fait lu. L’article 30 impose au sous-traitant un registre distinct qui mentionne chaque responsable pour lequel il agit, la CNIL recommande deux registres en cas de double rôle, et le modèle de la CNIL n’a pas d’onglet pour ce registre.

    Portée : Article 30, paragraphe 2 ; page CNIL ; modèle ODS.

    Réserve : La recommandation de deux registres relève de la pratique de la CNIL.

  • Déclaration de l’éditeur. La liste CNIL écarte l’analyse d’impact pour la prise en charge d’un patient par un professionnel de santé exerçant à titre individuel, et la requiert pour les traitements de santé des établissements de santé pour la prise en charge des personnes.

    Portée : Listes CNIL d’analyses d’impact requises et non requises.

    Réserve : Ces listes visent l’analyse d’impact, et aucune ne porte sur le choix d’un tableur.

  • Déclaration de l’éditeur. La CNIL estime qu’une analyse d’impact et un délégué à la protection des données devraient être nécessaires pour les professionnels de santé en cabinet groupé partageant un système d’information commun, à partir de 10 000 patients par an.

    Portée : Référentiel CNIL des cabinets médicaux et paramédicaux, section 11.

    Réserve : Référentiel non contraignant.

  • Notre avis. Comparer un logiciel avant tout signal observé en cas de traitement à grande échelle de données sensibles est notre avis : l’article 30 n’interdit pas le tableur dans ce cas.

    Portée : Traitements à grande échelle de données des articles 9 ou 10, qui exigent une analyse d’impact selon l’article 35.

    Réserve : Aucun seuil de taille pour le tableur dans les textes lus.

  • Déclaration de l’éditeur. Selon la CNIL, un organisme public doit communiquer son registre à toute personne qui le demande, après occultation notamment de ce qui touche aux secrets protégés et à la sécurité des systèmes d’information ; un organisme privé non chargé d’une mission de service public n’y est pas tenu.

    Portée : Secteur public et privé.

    Réserve : Code des relations entre le public et l’administration non relu en source propre.

  • Fait lu. La dérogation du paragraphe 5 de l’article 30 pour les organisations de moins de 250 employés ne joue pas si le traitement comporte un risque pour les droits et libertés, n’est pas occasionnel ou porte sur des données des articles 9 ou 10.

    Portée : Droit en vigueur au 5 novembre 2026.

    Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis.

  • Déclaration de l’éditeur. Selon la CNIL, la dérogation est limitée à des cas très particuliers : paie, clients et fournisseurs restent au registre, et en cas de doute elle recommande d’inscrire le traitement.

    Portée : Organismes de moins de 250 salariés.

    Réserve : Page CNIL datée du 13 avril 2018.

  • Fait lu. Le projet Omnibus IV, présenté par la Commission, limiterait le registre aux activités à risque élevé pour un cercle élargi d’organisations ; au 5 novembre 2026, la fiche du Parlement européen indique « Awaiting Parliament’s position in 1st reading » et une séance plénière indicative le 23 novembre 2026.

    Portée : PROJET non adopté, procédure 2025/0130(COD).

    Réserve : Le seuil de taille final n’est pas cité : il se lira dans le texte voté.

  • Notre méthode. Les seuils du test, comme les trois derniers mois, les cinq fiches ou le retour du signal au trimestre suivant, sont des repères de méthode proposés par ce guide, sans valeur légale.

    Portée : Test du guide.

    Réserve : À ajuster à la taille du registre.

    Daté du 5 novembre 2026.