Partir du problème à résoudre, pas du catalogue
Une solution RGPD n'est utile que si elle réduit une difficulté observable. L'entreprise peut manquer d'inventaire, de disponibilité juridique, de coordination avec la sécurité ou de preuves à retrouver lors d'un contrôle. Avant de comparer des marques, décrivez trois opérations qui prennent trop de temps et trois décisions dont personne ne porte clairement la responsabilité. Cette courte photographie empêche d'acheter un logiciel pour remplacer une organisation qui n'existe pas encore.
Le bon périmètre dépend aussi du rythme de changement. Une petite structure avec quelques traitements stables peut tenir un registre sobre et obtenir un appui ponctuel. Une organisation multi-sites, avec de nombreux sous-traitants et des produits qui évoluent chaque semaine, a besoin d'un circuit de revue, de notifications et de tableaux de bord. La taille seule ne tranche rien. Le nombre d'équipes qui créent ou modifient des traitements est souvent plus révélateur.
Le rôle irremplaçable du responsable de traitement
Ni un outil ni un DPO externe ne prend les décisions à la place de l'organisation. Le responsable de traitement fixe les finalités, choisit les moyens, attribue des ressources et assume les arbitrages. Cette distinction doit apparaître dans le projet dès le départ. Si une fiche de registre reste bloquée, quelqu'un côté métier doit pouvoir décider de la collecte, de la durée ou de l'accès. Le prestataire facilite, alerte et documente, mais il ne possède pas le processus.
Créez une matrice simple : une personne décide, une contribue, une contrôle et une reçoit l'information. Appliquez-la aux demandes de droits, aux analyses d'impact, aux violations et à l'entrée d'un fournisseur. Ce test révèle rapidement si la solution soutient un fonctionnement réel ou se contente d'accumuler des formulaires.
Ce qu'un logiciel doit vraiment faire
Le socle utile couvre l'inventaire des traitements, les liens avec les actifs et prestataires, la gestion des actions, l'historique des changements et l'export des preuves. Le logiciel doit permettre de filtrer par propriétaire, risque ou date de revue. Il doit aussi séparer une information vérifiée d'une donnée encore à confirmer. Sans cette nuance, une case remplie devient une fausse certitude.
Regardez la capacité d'intégration avec l'annuaire, la gestion des tickets, la sécurité et les achats. Une double saisie systématique dégrade la qualité. Demandez comment les données sortent du produit, dans un format exploitable, et comment les droits sont gérés. Un outil de conformité qui rend sa propre réversibilité obscure crée une dépendance paradoxale.
Quand des modèles bien conçus suffisent
Des modèles peuvent être adaptés quand le périmètre est borné, que les traitements changent peu et qu'une personne pilote réellement la mise à jour. Ils fonctionnent bien pour amorcer un registre, qualifier les fournisseurs, tracer une demande de droit ou préparer une revue trimestrielle. Leur force est la lisibilité : chacun comprend les champs et peut discuter leur utilité.
Le risque vient de la copie mécanique. Un modèle ne connaît ni les flux, ni les droits techniques, ni les arbitrages de l'entreprise. Ajoutez une notice courte à chaque support : qui le met à jour, à quel événement, avec quelle preuve et qui valide. Sans ce mode d'emploi, le fichier devient une archive dont la fraîcheur ne peut pas être démontrée.
DPO interne, externe ou organisation hybride
Un DPO interne bénéficie d'une proximité quotidienne et d'une connaissance fine des métiers. Il faut toutefois protéger son indépendance, lui donner un accès direct à la direction et éviter les fonctions qui déterminent elles-mêmes les traitements contrôlés. Un DPO externe apporte un regard comparatif, une méthode et une capacité modulable. Il doit disposer d'interlocuteurs internes disponibles et d'un accès réel aux décisions.
L'organisation hybride sépare souvent l'animation quotidienne, portée en interne, et l'expertise ou la supervision, apportée à l'extérieur. Elle peut convenir quand la conformité implique plusieurs filiales ou une équipe réduite. Le contrat précise alors les délais, les livrables, la confidentialité, la continuité et le transfert de connaissance. Mesurez le temps consacré à comprendre le contexte, pas seulement celui passé à produire des documents.
Comparer les offres par des scénarios
Préparez quatre scénarios identiques pour tous les candidats. Un nouveau logiciel RH est acheté, un client exerce deux droits, un fournisseur change de sous-traitant, puis une suspicion d'exfiltration apparaît un vendredi soir. Demandez une démonstration de bout en bout. Qui est alerté, quelle information manque, quel dossier est produit et comment une décision est-elle approuvée ?
Notez la qualité de l'usage, la traçabilité, la réversibilité et l'accompagnement. Séparez les fonctions indispensables des options séduisantes. Une carte colorée ou un score global ne doit jamais masquer l'origine du risque. Exigez que chaque indicateur conduise à une fiche, une preuve ou une action attribuée.
Évaluer la sécurité de la solution
La solution traite souvent un inventaire sensible de l'organisation. Vérifiez l'authentification forte, les rôles, la journalisation, le chiffrement, les sauvegardes, la gestion des incidents et les lieux de traitement. Examinez les sous-traitants, les transferts et la procédure de fin de contrat. Testez aussi le retrait d'un compte et l'export complet.
Le questionnaire fournisseur ne suffit pas. Conservez les réponses datées, les clauses, la configuration retenue et le résultat d'un test d'accès. Attribuez la revue annuelle et prévoyez une réévaluation lors d'un changement majeur. Le choix du produit devient ainsi une décision documentée, révisable si les faits changent.
Organiser un pilote qui révèle les vrais écarts
Choisissez quelques traitements contrastés : ressources humaines, prospection, support et contrôle d'accès, par exemple. Impliquez les propriétaires métiers et demandez-leur d'accomplir les opérations sans assistance permanente. Mesurez le temps de collecte, le nombre de champs incompris, les relances et la qualité des exports. Faites corriger au moins une donnée pour vérifier la propagation.
Le pilote se termine par une décision explicite : adopter, adapter ou renoncer. Listez les conditions, le coût total de possession, la charge interne et les données à migrer. Un refus bien documenté vaut mieux qu'une plateforme installée sans utilisateurs. La solution retenue doit rendre la gouvernance plus visible, pas simplement déplacer les fichiers dans une interface.
