Coût de conformité RGPD : construire un budget fiable

Le coût de la conformité RGPD dépend du travail à réaliser, pas seulement du nombre de salariés. Une petite structure exploitant des données sensibles peut avoir des besoins plus complexes qu’une entreprise plus grande disposant déjà de procédures solides. Pour obtenir un budget défendable, partez des écarts constatés et des livrables attendus.

Ce qu’il faut retenir

Distinguez la remise à niveau initiale, le fonctionnement récurrent et les nouveaux projets. Additionnez dépenses externes et temps interne. Comparez les prestations à périmètre égal. Une fourchette générale de marché ou un taux supposé de risque de sanction ne remplace pas un devis documenté et un plan d’action.

Commencer par définir le périmètre

Listez les entités, établissements, traitements, prestataires et applications concernés. Identifiez les données sensibles, les transferts, les usages de surveillance et les traitements susceptibles de nécessiter une analyse d’impact. Recensez aussi les documents déjà utilisables : contrats, mentions, registre, procédures et mesures techniques.

La CNIL propose une démarche progressive de mise en conformité. Son intérêt budgétaire est de relier chaque action à un besoin réel. Un état des lieux doit déboucher sur des corrections identifiées, avec un responsable, une échéance et une preuve attendue.

Évitez de demander simplement « un forfait RGPD complet ». Demandez quels sites et logiciels seront examinés, combien d’entretiens sont prévus, quels contrats seront relus et qui réalisera les corrections techniques.

Utiliser un tableau de budget par chantier

Pour chaque ligne, conservez la quantité, l’unité, le prix réellement proposé, le temps interne estimé et l’hypothèse de calcul. Séparez les montants hors taxes, les taxes effectivement supportées et les dépenses déjà budgétées ailleurs.

La formule utile est : budget du chantier = dépenses externes + temps interne valorisé + dépenses techniques ou logicielles attribuables au chantier. Évitez de compter deux fois la même journée ou un abonnement déjà inclus dans un forfait.

DPO interne ou externe : comparer les missions

La désignation d’un DPO n’est pas obligatoire pour toutes les entreprises. Vérifiez d’abord les critères de l’Art. 37(1). Lorsqu’il est désigné, ses moyens, son indépendance et ses missions doivent respecter les Art. 38 et 39 du chapitre IV du RGPD.

Pour un poste interne, incluez la disponibilité réelle, les compétences nécessaires, la formation et le remplacement. Pour un accompagnement externe, examinez les missions incluses, les déplacements, le traitement des urgences, les exclusions et la coordination avec les métiers. Un forfait plus bas peut couvrir moins de tâches ; un salarié déjà présent n’a pas un temps de travail disponible illimité. Notre guide DPO obligatoire permet de cadrer le besoin avant de comparer les offres.

Logiciel et expertise : mesurer le travail restant

Un outil peut faciliter la tenue de la documentation ou le suivi des actions. Il ne réalise pas automatiquement les corrections dans chaque application de l’entreprise et ne choisit pas à votre place les finalités ou les bases légales.

Avant achat, demandez une démonstration sur un cas représentatif sans données personnelles réelles. Vérifiez l’import, les droits d’accès, les possibilités d’export et le travail nécessaire pour maintenir les informations. Un modèle de registre est utile seulement s’il décrit vos traitements réels.

La grille d’achat des logiciels de conformité et de cybersécurité aide à intégrer l’exploitation et la sortie du contrat. Comparez le coût total et les tâches accomplies, sans attribuer un niveau de conformité à la seule présence d’un abonnement.

Séparer les dépenses de démarrage et de suivi

Le démarrage peut concentrer l’inventaire et la reprise des contrats. Les années suivantes peuvent néanmoins coûter davantage si l’entreprise change de système, réalise une acquisition ou lance un traitement complexe. Il n’existe pas de pourcentage universel de baisse du budget après la première année.

Prévoyez un budget récurrent pour la mise à jour du registre RGPD, le contrôle des durées, l’arrivée de fournisseurs et le traitement des demandes. Créez une ligne distincte pour les projets nouveaux, évaluée avant leur lancement.

Pour les corrections techniques, faites préciser le critère de livraison : une politique de conservation rédigée ne prouve pas qu’une purge fonctionne. Un accès retiré dans une application ne prouve pas que les exports ou comptes associés ont été traités.

Exemple chiffré : du devis au coût réellement engagé

Tous les montants, durées et résultats de ce cas sont fictifs. Ils ne constituent ni des prix de marché ni un devis proposé au lecteur. Atelier Boréal emploie trente-cinq personnes et souhaite reprendre huit traitements répartis dans cinq applications. Son diagnostic identifie des contrats incomplets, des notices à mettre à jour et une conservation excessive de dossiers de service après-vente. Il faut aussi former les deux personnes qui suivront ces sujets.

La direction compare les prestations externes avec le temps nécessaire à l’équipe. Le tableau utilise des tarifs hors taxes inventés. Le temps interne est valorisé à 35 ou 40 euros par heure selon les fonctions ; c’est une convention de calcul du scénario, à remplacer par le coût pertinent de votre organisation. Cette valorisation représente une capacité mobilisée, pas automatiquement une facture supplémentaire.

Les dix heures de l’atelier sont ici le temps cumulé des participants concernés, et non dix heures par salarié de l’entreprise. Les deux jours de suivi n’incluent pas une permanence illimitée pour les incidents. Les douze mensualités de logiciel couvrent uniquement l’offre étudiée ; l’import et le temps de prise en main sont visibles dans la colonne interne.

Le budget de trésorerie doit ensuite intégrer les échéances de paiement et le traitement fiscal réellement applicable. Le total économique sert à comparer les ressources consommées. Confondre ces deux vues conduirait à demander un décaissement de 10 390 euros alors que 1 870 euros représentent ici du temps salarié valorisé.

Décider ce que le devis doit livrer

La responsable administrative attribue un résultat à chaque poste. Les contrats doivent être relus et les clauses manquantes négociées ; un dossier de modèles ne suffit pas. Les notices doivent correspondre aux parcours actuels. La correction technique doit exécuter les durées validées dans l’application concernée et contrôler les copies utilisées par le service.

Elle fait inscrire au devis : « Le périmètre comprend les dossiers SAV dans l’application principale et les exports transmis à l’équipe d’intervention. La livraison distingue conservation active, éventuel archivage justifié et effacement ; un contrôle documenté des opérations configurées accompagne la remise. » Le devis distingue le contrôle de cet export de la modification éventuelle de son mécanisme, à chiffrer après diagnostic. Cette réserve doit rester visible dans le budget : le prix initial n’est pas annoncé comme définitif.

Une dépense technique reste à chiffrer

Dans le scénario, le prestataire configure la suppression des dossiers arrivés à échéance dans l’application. L’équipe constate pourtant qu’un export hebdomadaire alimente un fichier cumulatif sur un espace partagé sans retirer les anciennes lignes. La correction n’est pas réceptionnée comme complète. Une capture montrant la disparition du dossier central ne démontre pas le traitement de cet export.

Le prestataire précise que son estimation initiale ne couvrait pas la modification de ce mécanisme. La direction compare cette réponse au périmètre convenu, puis organise la correction sans laisser l’anomalie fonctionner pendant la discussion commerciale. L’export automatique est arrêté ; les copies existantes sont examinées et les données sans justification de conservation sont supprimées. Les éventuelles pièces à conserver pour un autre besoin légitime restent séparées et à accès restreint.

Supposons que l’accord final ajoute une journée technique à 700 euros et deux heures internes à 40 euros. L’écart est de 780 euros : les dépenses externes atteignent 9 220 euros, le temps valorisé 1 950 euros et le total économique 11 170 euros. Le tableau révisé conserve l’ancienne estimation pour expliquer cet écart. Aucun gain fictif de temps ou réduction supposée d’amende n’est ajouté pour masquer le dépassement.

L’équipe reprend ensuite le contrôle du circuit corrigé et vérifie que l’export ne recrée plus les données supprimées. La réception de ce chantier peut être actée sur les éléments établis. Les autres actions restent suivies séparément : payer la facture finale du développeur ne vaut pas achèvement du plan RGPD entier.

Évaluer les bénéfices sans fabriquer un rendement

Vous pouvez mesurer le temps consacré aux questionnaires clients, aux recherches de documents ou aux demandes de droits avant et après un chantier. Vous pouvez aussi suivre les incidents évités par un contrôle observé, sans leur attribuer une valeur monétaire arbitraire.

En revanche, appliquer une probabilité de contrôle inventée au plafond de l’amende produit un calcul trompeur. L’Art. 83(2), (4) et (5) du RGPD prévoit des critères d’appréciation et plusieurs plafonds. Pour les manquements concernés par le plafond haut, le texte retient jusqu’à vingt millions d’euros ou, pour une entreprise, 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, selon le montant le plus élevé. Le pourcentage seul ne constitue donc pas le plafond universel d’une PME, encore moins une perte attendue.

Priorisez les actions selon les droits des personnes, les obligations applicables et les risques concrets. Les économies estimées doivent rester séparées des résultats effectivement mesurés.

FAQ

Peut-on commencer avec les ressources gratuites de la CNIL ?

Oui. Elles permettent de structurer une démarche. Il faut toutefois prévoir le temps de les adapter, d’appliquer les décisions et de vérifier les résultats.

Un logiciel remplace-t-il le budget de correction ?

Pas nécessairement. Distinguez ce qu’il automatise, ce qu’il aide à documenter et ce qui reste à réaliser dans vos outils ou procédures.

Quel document demander pour comparer deux devis ?

Une liste de livrables, leur périmètre, les tâches exclues, le temps interne requis, les conditions de maintenance et les critères de réception. Un prix global seul est difficile à comparer.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.