Logiciel RGPD pour votre
gestion de la protection des données

Le règlement général sur la protection des données (règlement (UE) 2016/679, en anglais GDPR) est le droit de la protection des données de l’Union européenne. Il s’applique directement dans tous les États membres depuis le 25 mai 2018 et fixe les conditions dans lesquelles des données à caractère personnel peuvent être traitées, les droits des personnes concernées et les obligations des responsables du traitement et des sous-traitants. En Allemagne, la loi fédérale sur la protection des données (BDSG) le complète.

Un système de gestion de la protection des données (DPMS, en anglais Data Protection Management System) est l’ensemble des règles, processus, rôles et preuves avec lesquels une organisation respecte le RGPD et peut le démontrer. Il comprend le registre des activités de traitement, les bases juridiques, les mesures techniques et organisationnelles, le traitement des demandes et des incidents ainsi que le réexamen régulier.

Un logiciel RGPD représente les exigences du règlement sous forme de catalogue et les relie à ce à quoi elles se rapportent — activités de traitement, systèmes, catégories de données, prestataires, personnes. Les activités récurrentes sont traitées comme des dossiers avec workflow et délai, et le registre, le rapport AIPD et la documentation des incidents sont générés à partir des données plutôt que dans des tableurs.

Le Data Protection Kit est le contenu de départ préparé du logiciel DPMS Complaica : structure organisationnelle type, modèle de registre selon l’art. 30, évaluation et rapport AIPD ainsi que catalogues de menaces et de mesures. Cette page décrit les fonctions et les processus du logiciel RGPD ; la page consacrée au logiciel DPMS présente le contenu du kit.

Dix types de dossiers avec leur propre workflow : activité de traitement (PA), demande de personne concernée (DSR), réclamation (CMP), incident de protection des données (DPI), analyse de seuil AIPD (TA), analyse d’impact relative à la protection des données (DPIA), analyse d’impact des transferts (TIA), consentement (CR), mise en balance des intérêts légitimes (LIA) et engagement de confidentialité (CC). S’y ajoutent le contrôle du sous-traitant, l’incident de sécurité et le lesson learned.

Selon l’art. 12(3) du RGPD, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes ; la personne concernée est informée de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande. Dans Complaica, chaque demande porte son délai, et le tableau de bord montre ce qui est dû.

Selon l’art. 33(1) du RGPD, le responsable du traitement notifie une violation de données à caractère personnel à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance — à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. Un sous-traitant notifie la violation au responsable du traitement dans les meilleurs délais. Lorsque la violation est susceptible d’engendrer un risque élevé, les personnes concernées doivent aussi en être informées dans les meilleurs délais selon l’art. 34. Selon l’art. 33(5), chaque violation est documentée.

Selon l’art. 35 du RGPD, lorsqu’un traitement — en particulier par le recours à de nouvelles technologies — est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. L’art. 35(3) cite notamment l’évaluation systématique et approfondie d’aspects personnels, y compris le profilage, sur la base de laquelle sont prises des décisions produisant des effets juridiques, le traitement à grande échelle de catégories particulières de données ou de données relatives aux condamnations pénales et aux infractions, et la surveillance systématique à grande échelle d’une zone accessible au public ; les autorités de contrôle publient des listes selon l’art. 35(4). Dans Complaica, l’analyse de seuil par activité de traitement détermine si une AIPD est nécessaire.

L’examen de l’admissibilité d’un transfert de données à caractère personnel vers un pays tiers : quel instrument du chapitre V s’applique — décision d’adéquation, clauses contractuelles types, règles d’entreprise contraignantes —, si le droit du pays de destination porte atteinte à la protection et quelles mesures supplémentaires sont nécessaires. La Cour de justice de l’Union européenne a exigé cet examen dans l’arrêt Schrems II (C-311/18). Dans Complaica, la TIA est un type de dossier avec date de réexamen.

Selon l’art. 7(1) du RGPD, le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement. Selon l’art. 7(3), il peut être retiré à tout moment, et le retrait doit être aussi simple que le consentement. Complaica gère les consentements comme des dossiers avec les statuts Actif, Retiré et Expiré, reliés à l’activité de traitement qui s’y appuie.

L’examen de la question de savoir si un traitement peut se fonder sur l’intérêt légitime selon l’art. 6(1)(f) du RGPD : existe-t-il un intérêt légitime, le traitement est-il nécessaire à cette fin, et les intérêts ou les droits fondamentaux de la personne concernée ne prévalent-ils pas ? Le résultat est documenté — dans Complaica, comme dossier rattaché à l’activité de traitement.

Les personnes agissant sous l’autorité du responsable du traitement ou du sous-traitant qui ont accès à des données à caractère personnel ne peuvent les traiter que sur instruction (art. 29, art. 32(4)) ; les employés des sous-traitants doivent, selon l’art. 28(3)(b), s’être engagés à respecter la confidentialité. L’engagement de confidentialité écrit en est la preuve habituelle. Complaica le gère par personne : envoyé, signé, expiré ou refusé, avec document et date.

Un concept de suppression définit quand quelles données à caractère personnel sont supprimées, et comment. Les catégories de données sont rattachées à des règles de suppression — avec un point de départ et un délai, déduits de la finalité et des obligations légales de conservation —, et les unités de suppression décrivent dans quel système et avec quelle granularité les données sont supprimées. La méthode est décrite par la norme DIN EN ISO/IEC 27555:2025-09, qui a remplacé la DIN 66398 en septembre 2025. Dans le RGPD, elle s’appuie sur la limitation de la conservation (art. 5(1)(e)), le droit à l’effacement (art. 17) et les délais prévus pour l’effacement dans le registre (art. 30(1)(f)).

Selon l’art. 30 du RGPD, chaque responsable du traitement et chaque sous-traitant. L’art. 30(5) en exempte les entreprises et organisations comptant moins de 250 employés — sauf si le traitement qu’elles effectuent est susceptible de comporter un risque pour les droits et libertés des personnes concernées, s’il n’est pas occasionnel ou s’il porte sur les catégories particulières de données visées à l’art. 9(1) ou sur des données relatives aux condamnations pénales et aux infractions visées à l’art. 10. Dans Complaica, le registre est généré comme rapport à partir des activités de traitement approuvées.

La loi fédérale allemande sur la protection des données utilise les clauses d’ouverture du RGPD. Entre autres, le § 38 BDSG impose la désignation d’un délégué à la protection des données lorsque, en règle générale, au moins vingt personnes sont occupées en permanence au traitement automatisé de données à caractère personnel ou lorsque sont effectués des traitements soumis à une analyse d’impact relative à la protection des données. Dans Complaica, la BDSG est évaluée comme catalogue d’exigences distinct à côté du RGPD.

Oui, comme prestation complémentaire. Nos experts en protection des données assument le rôle selon l’art. 37 du RGPD et le § 38 BDSG — comme interlocuteur de l’autorité de contrôle, des personnes concernées et de la direction, avec Complaica comme outil de travail. Nous conseillons en outre pour l’analyse d’écarts, le registre, l’AIPD, la sous-traitance et la formation.