Sommaire
Une application métier qui traite des données personnelles doit figurer au registre des traitements, ne collecter que l’utile, appliquer des durées de conservation, permettre l’exercice des droits, être sécurisée et encadrer ses sous-traitants. La plupart de ces obligations se traduisent en fonctions à prévoir dès le cahier des charges.
Le RGPD ne dit pas comment coder une application, mais il fixe des obligations qui deviennent très concrètes dès qu’un outil métier stocke des clients, des contacts ou des salariés. La bonne nouvelle : presque toutes se traduisent en fonctions précises, faciles à prévoir au cahier des charges et coûteuses à ajouter après coup. Voici la liste, avec les articles du texte et ce que l’application doit faire. Cette page est un guide pratique : elle ne remplace pas l’avis d’un juriste ou de votre DPO.
Les obligations et leur traduction technique
Le texte de référence est le règlement (UE) 2016/679, complété par les recommandations de la CNIL (sources consultées le 27 octobre 2026).
| Obligation | Article du RGPD | Ce que l’application doit prévoir |
|---|---|---|
| Protection dès la conception | Article 25 | Ne collecter que les champs utiles, réglages les plus protecteurs par défaut |
| Durées de conservation | Article 5 | Archivage puis suppression ou anonymisation automatiques selon des règles définies |
| Information et droits des personnes | Articles 13 à 21 | Export des données d’une personne, rectification, effacement, opposition, depuis le back-office |
| Registre des traitements | Article 30 | Description de l’outil : finalités, catégories de données, destinataires, durées, mesures de sécurité |
| Sécurité du traitement | Article 32 | Authentification solide, droits par rôle, chiffrement, sauvegardes, journalisation |
| Sous-traitants | Article 28 | Contrat avec l’hébergeur, les services tiers et le prestataire de maintenance |
| Violations de données | Articles 33 et 34 | Journaux permettant de savoir ce qui a fuité, procédure de notification |
| Analyse d’impact | Article 35 | AIPD si le traitement présente un risque élevé |
| Transferts hors UE | Chapitre V | Hébergement et services tiers dans l’UE, ou transfert encadré |
Collecter moins, conserver moins longtemps
Le principe de minimisation est le plus simple à appliquer et le plus souvent oublié. Chaque champ du formulaire doit répondre à un besoin réel. La date de naissance d’un contact commercial, le numéro de sécurité sociale d’un salarié dans un outil de planning : si l’usage n’est pas justifié, le champ n’existe pas.
Les durées de conservation se décident avec vous au cadrage, en vous appuyant sur les obligations légales et les recommandations de la CNIL. Techniquement, je les traduis en tâches automatiques : un prospect sans échange depuis la durée fixée passe en archive, puis est supprimé ou anonymisé. Une règle écrite dans une procédure mais jamais appliquée par l’outil ne protège personne.
Permettre l’exercice des droits
Toute personne peut demander l’accès à ses données, leur rectification, leur effacement ou s’opposer à certains traitements. L’entreprise doit répondre dans un délai d’un mois, prolongeable dans certains cas (article 12). Sans outil, répondre à une demande d’accès revient à fouiller plusieurs tableurs et boîtes mail.
Dans une application bien conçue, le back-office permet en quelques clics :
- d’exporter toutes les données d’une personne dans un format lisible ;
- de corriger ou supprimer une fiche, en gérant les données liées (factures à conserver, historique à anonymiser) ;
- de tracer la demande et la réponse apportée.
Sécurité, sous-traitants et violations
L’article 32 impose des mesures « appropriées » au risque. La CNIL les détaille dans son guide de la sécurité des données personnelles, édition du 26 mars 2024. Pour un outil métier, cela recouvre au minimum : des comptes nominatifs et des droits d’accès par rôle, des mots de passe robustes ou une double authentification, le chiffrement des échanges, des sauvegardes testées et une traçabilité des modifications.
Chaque prestataire qui accède aux données (hébergeur, service d’envoi d’e-mails, outil de signature, fournisseur d’IA, prestataire de maintenance) doit être lié par un contrat de sous-traitance. Leur localisation compte : voir héberger ses données en France ou dans l’UE.
En cas de violation de données présentant un risque pour les personnes, la CNIL doit être notifiée dans les meilleurs délais, si possible sous 72 heures (article 33). Les personnes concernées doivent être informées si le risque est élevé (article 34). Toute violation, même sans notification, doit être documentée en interne. Les journaux de l’application servent alors à établir ce qui s’est passé.
Registre et analyse d’impact
Le registre des activités de traitement concerne tous les organismes. L’exemption pour les structures de moins de 250 salariés est étroite : la gestion des clients, des fournisseurs ou de la paie doit y figurer. À la livraison, je fournis une description technique de l’outil (données, flux, hébergement, mesures de sécurité) qui facilite la mise à jour du registre par votre DPO.
L’analyse d’impact (AIPD) est requise quand le traitement présente un risque élevé. La CNIL a publié une liste de types de traitements pour lesquels elle est obligatoire. Un outil de surveillance de l’activité des salariés, de profilage ou traitant des données de santé à grande échelle doit faire l’objet d’un examen attentif.
Quand le sur-mesure n’apporte rien côté RGPD
Je le dis franchement : un logiciel du marché sérieux, hébergé dans l’UE, avec un contrat de sous-traitance clair, peut être parfaitement conforme. Le sur-mesure n’est pas plus « RGPD » par nature. Il apporte surtout la maîtrise : vous choisissez l’hébergement, les champs collectés, les règles de purge et l’accès au code. Si votre besoin est standard et que l’éditeur coche ces cases, le sur-mesure ne se justifie pas pour la seule conformité.
Comment je l’intègre dans un projet
- Au cadrage : liste des données, finalités, durées de conservation, rôles et droits, sous-traitants, questions à soumettre à votre DPO.
- Aux maquettes : écrans d’export, de rectification et de suppression, consentements si nécessaire.
- Au développement : droits vérifiés côté serveur, purges automatiques, journalisation, chiffrement.
- À la livraison : description technique pour le registre, contrats des services tiers à signer à votre nom.
Ces éléments font partie de toute application métier que je développe. Pour une fourchette de budget, l’estimateur intègre la brique « comptes et rôles ».
Questions fréquentes
Qui est responsable du traitement : l’entreprise ou le développeur ?
L’entreprise qui utilise l’application et décide de ses finalités est responsable du traitement. Le prestataire qui héberge ou maintient l’outil et accède aux données agit en général comme sous-traitant, ce qui impose un contrat conforme à l’article 28 du RGPD. Le développeur qui livre le code sans accéder aux données réelles n’est pas toujours sous-traitant : faites qualifier la situation par votre juriste.
Une PME de moins de 250 salariés doit-elle tenir un registre ?
Oui, dans la plupart des cas. La CNIL rappelle que l’exemption ne couvre que les traitements occasionnels et sans risque. La gestion des clients, des fournisseurs ou des salariés, que fait justement un outil métier, doit figurer au registre.
Faut-il un DPO pour déployer une application métier ?
La désignation d’un délégué à la protection des données est obligatoire dans certains cas précis (organismes publics, suivi régulier et systématique à grande échelle, données sensibles à grande échelle). Pour les autres entreprises, elle reste recommandée. Vérifiez votre situation sur le site de la CNIL.
Combien coûte la mise en conformité RGPD d’une application ?
Si elle est prévue dès le cadrage, elle fait partie du projet : droits d’accès (1 500€HT dans mon barème pour les comptes et rôles), purge automatique, export des données d’une personne, journalisation. L’ajouter après coup coûte nettement plus cher, car il faut reprendre la structure des données.