Conseil en conformité RGPD pour les éditeurs de logiciels

Oui, l'article 3(2) confère au RGPD une portée extraterritoriale. Si vous proposez des biens ou des services à des personnes concernées situées dans l'Union (payants ou gratuits), ou si vous suivez leur comportement (analytics, profilage, reciblage), vous êtes dans le champ d'application quel que soit l'emplacement de vos serveurs ou de votre siège. Vous devrez désigner un représentant dans l'UE au titre de l'article 27, sauf si vous relevez de l'exemption restreinte. Les sanctions prévues à l'article 83(5) atteignent 20 millions EUR ou 4 pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Nous livrons la désignation du représentant article 27, le registre des traitements article 30, les contrats de sous-traitance article 28 et le socle de sécurité article 32 comme un seul ensemble intégré plutôt que cinq chantiers distincts.

Le registre des traitements de l'article 30 (Records of Processing Activities) est obligatoire pour presque tout responsable de traitement et sous-traitant — un inventaire vivant de chaque finalité de traitement, de la base légale au titre de l'article 6, des catégories de personnes concernées et de données, des durées de conservation, des destinataires et des transferts. L'AIPD de l'article 35 est requise lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés — traitement à grande échelle de catégories particulières, surveillance systématique, décisions automatisées produisant des effets juridiques, technologies nouvelles. Une TIA (analyse d'impact des transferts) est requise au titre de Schrems II dès que vous vous appuyez sur les CCT de l'article 46 pour des transferts vers un pays tiers sans décision d'adéquation. Nous livrons les trois à partir d'une cartographie de données unique et faisant foi, afin qu'ils restent synchronisés au lieu de diverger.

Trois voies licites au titre du chapitre V (articles 44–49). Premièrement, l'adéquation de l'article 45 — le cadre de protection des données UE–États-Unis (Data Privacy Framework) est actuellement valide ; certifiez-vous au titre de ce cadre et vous pouvez transférer vers des importateurs américains certifiés sans mesure supplémentaire. Deuxièmement, les clauses contractuelles types de l'article 46 (les CCT UE de 2021, quatre modules) combinées à une analyse d'impact des transferts et à des mesures supplémentaires conformes aux recommandations 01/2020 du CEPD — chiffrement en transit et au repos sous votre seule maîtrise des clés, traitement fractionné, obligations contractuelles de transparence. Troisièmement, les dérogations de l'article 49 pour des situations particulières — restreintes, jamais un choix par défaut. Nous rédigeons le pack CCT, la TIA, les mesures techniques supplémentaires et la notice de transparence à destination des clients comme un seul ensemble.

L'article 32(1) exige des mesures techniques et organisationnelles appropriées au risque, notamment (a) la pseudonymisation et le chiffrement, (b) la confidentialité, l'intégrité, la disponibilité et la résilience constantes, (c) la capacité à rétablir la disponibilité et l'accès après un incident, (d) un processus de test, d'analyse et d'évaluation réguliers de l'efficacité. En pratique, pour un SaaS, cela signifie le chiffrement en transit (TLS 1.2+ au minimum, idéalement 1.3), le chiffrement au repos (AES-256, clés gérées par KMS), la MFA pour les accès administrateur, le RBAC avec moindre privilège, la journalisation d'audit inviolable, la gestion des vulnérabilités avec des SLA documentés, des tests d'intrusion annuels, un runbook de réponse aux incidents arrimé au délai de notification de violation de 72 heures de l'article 33, et un PCA/PRA avec RTO/RPO mesurés. Nous mettons en œuvre et documentons chacun de ces points pour prouver la conformité à l'article 32 lors d'un audit.

Ils se recoupent sur les contrôles mais diffèrent par le cadrage. Les contrôles de l'annexe A d'ISO 27001 (en particulier A.5, A.8, A.18) correspondent presque au 1:1 à l'article 32 du RGPD. Les critères des services de confiance SOC 2 CC6 (accès logique), CC7 (exploitation des systèmes) et la catégorie facultative Privacy P1–P8 couvrent l'essentiel des articles 25 et 32. La gouvernance des données de l'article 10 du règlement européen sur l'IA pour les systèmes à haut risque s'inspire directement des articles 5, 25 et 35 du RGPD. Nous bâtissons une bibliothèque de preuves unifiée qui satisfait les quatre régimes — un même contrôle de chiffrement atteste SOC 2 CC6.7, ISO A.8.24, l'article 32(1)(a) du RGPD et l'article 15 du règlement sur l'IA. Vous faites le travail une fois ; les auditeurs obtiennent chacun ce dont ils ont besoin.

Trois forfaits. L'évaluation de préparation RGPD est à 6 500 EUR forfaitaires (deux semaines) : confirmation du périmètre, registre des traitements article 30 dans votre outil de cartographie des données, analyse des écarts au regard des articles 5, 6, 12–22, 25, 28, 30, 32, 33–34, 35 et 44–49, feuille de route de remédiation, briefing exécutif. Le pack de mise en œuvre est à 18 000 EUR forfaitaires (six à huit semaines) : modèle de DPA pour les sous-traitants et les sous-traitants ultérieurs, modèle d'AIPD article 35 plus une AIPD réalisée, mise en œuvre des mesures techniques de l'article 32, parcours de droits des personnes concernées (articles 12–22) dans votre produit, pack CCT et TIA pour les transferts de l'UE vers un pays tiers, runbook de réponse aux violations, notice de confidentialité publique. Le DPO-as-a-Service récurrent est à 3 500 EUR/mois : rafraîchissement trimestriel des preuves, veille réglementaire (orientations du CEPD, de l'ICO, de la CNIL, du BfDI, de l'AEPD, du Garante), appui au tri des demandes d'accès, soutien en cas de violation, revues de DPA fournisseurs jusqu'à 10/mois, répétition annuelle d'audit.