RGPD et logiciel métier sur mesure

Dès qu'un logiciel métier contient des noms, des adresses e-mail, des numéros de téléphone ou des informations sur vos salariés, il traite des données personnelles et le RGPD s'applique. Votre entreprise est responsable du traitement : c'est elle qui décide pourquoi et comment les données sont utilisées. Le développeur ou l'hébergeur qui y accède pour votre compte, même ponctuellement pour la maintenance, est un sous-traitant, et un contrat doit vous lier avant le début de la prestation.

Sources : CNIL, responsable de traitement et sous-traitant : 6 bonnes pratiques (8 juillet 2020) et sécurité : gérer la sous-traitance (14 mars 2024), consultés le 22 octobre 2026.

Le sur mesure a un avantage sur ce point : les règles peuvent être prévues dès le départ, sans contourner les limites d'un outil existant. Voici ce qu'il faut prévoir, d'après les pages de la CNIL. Je ne suis pas juriste : pour un traitement sensible, faites relire le projet par un juriste ou par votre délégué à la protection des données.

Le registre des traitements : votre logiciel y figure

Tout organisme qui traite des données personnelles tient un registre de ses traitements. Les entreprises de moins de 250 salariés bénéficient d'une dérogation, mais elle est étroite. Doivent quand même être inscrits les traitements non occasionnels (gestion des clients, paie), ceux qui présentent un risque pour les personnes (géolocalisation, vidéosurveillance) et ceux qui portent sur des données sensibles (santé). En cas de doute, la CNIL recommande d'inscrire le traitement.

Source : CNIL, le registre des activités de traitement, consulté le 22 octobre 2026.

Un logiciel métier utilisé tous les jours est un traitement non occasionnel. Il a donc sa place au registre, avec ses finalités, les catégories de personnes et de données, les destinataires, les durées de conservation et une description des mesures de sécurité. La CNIL propose un modèle de registre simplifié.

Le développement est le bon moment pour remplir cette fiche : les mêmes questions servent à écrire le cahier des charges du logiciel.

Le contrat avec le prestataire : l'article 28

L'article 28 du RGPD fixe ce que doit contenir le contrat entre le responsable de traitement et son sous-traitant, et la CNIL déconseille de commencer une prestation sans lui. Il précise notamment :

• l'objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées ;
• les conditions dans lesquelles le prestataire peut faire appel à un autre sous-traitant : autorisation écrite et information sur la liste des intervenants ;
• la mise à disposition des informations qui démontrent la conformité, et la possibilité d'audits ;
• l'aide du prestataire pour répondre aux demandes d'accès, de rectification ou d'effacement, qui doivent être traitées dans un délai d'un mois ;
• la gestion des incidents, avec une information rapide en cas de violation de données ;
• le sort des données en fin de contrat : au choix du client, suppression ou restitution, et destruction des copies.

Sources : CNIL, 6 bonnes pratiques, gérer la sous-traitance et texte du RGPD, chapitre IV (article 28), consultés le 22 octobre 2026.

Un point concret me concerne : je travaille avec un réseau de développeurs freelances roumains. Quand ils accèdent à des données personnelles, ce sont des sous-traitants ultérieurs au sens du RGPD. La Roumanie est membre de l'Union européenne, il n'y a donc pas de transfert hors de l'Union, mais leur intervention doit quand même être autorisée par écrit. Le plus simple est qu'ils travaillent sur des données de test, sans accès à vos données réelles, et que ce point soit écrit dans le contrat. Le guide développement nearshore en Roumanie détaille ce mode de travail.

Les durées de conservation, à programmer dès le départ

Les données personnelles ne se gardent pas indéfiniment. La CNIL distingue trois temps : la base active, le temps nécessaire à l'objectif ; l'archivage intermédiaire, quand les données ne servent plus au quotidien mais restent utiles pour une obligation légale ou un contentieux, consultables seulement par des personnes habilitées et séparées de la base active ; l'archivage définitif, réservé à quelques informations de valeur durable. Quand un texte fixe la durée, il s'impose ; sinon, c'est à vous de la fixer selon l'objectif du traitement.

Source : CNIL, les durées de conservation des données, page du 2 avril 2026, consultée le 22 octobre 2026.

Dans un logiciel sur mesure, cela se traduit par des fonctions précises : une durée de conservation par type de donnée, un archivage séparé avec accès restreint, et une purge automatique à l'échéance. La CNIL cite d'ailleurs la purge automatique parmi les fonctions qu'un prestataire devrait proposer. Ajoutée après coup, elle coûte plus cher, parce qu'il faut retrouver tous les endroits où chaque donnée a été copiée.

Les demandes des personnes se préparent de la même façon. Toute personne dont les données sont dans votre logiciel peut demander à y accéder, à les faire corriger ou effacer, ou à les récupérer (c'est la portabilité), et la réponse est due dans un délai d'un mois. Un logiciel bien conçu permet de retrouver toutes les données d'une personne, de les exporter dans un format lisible, et de les effacer sans toucher aux documents qui doivent être conservés, comme les factures. La CNIL cite aussi, parmi les fonctions utiles, un modèle d'information des personnes, le recueil du consentement quand il est nécessaire et un lien de désinscription pour les envois commerciaux (CNIL, 6 bonnes pratiques).

Sécurité et protection dès la conception

L'article 25 du RGPD demande d'intégrer la protection des données dès la conception, et de ne traiter par défaut que les données nécessaires : en quantité, en durée de conservation et en accessibilité. Pour un logiciel métier, les points à vérifier sont connus :

• des droits d'accès par rôle, qui distinguent consultation, modification, suppression et export ;
• des exigences minimales d'authentification des utilisateurs ;
• le chiffrement des échanges (connexion HTTPS) et, selon leur sensibilité, des données stockées ;
• des journaux qui gardent la trace des accès et des actions ;
• un hébergement dont la localisation effective des données est connue et garantie (voir le guide hébergement d'une application métier).

Sources : CNIL, texte du RGPD, chapitre IV (articles 25, 33 et 35), gérer la sous-traitance et 6 bonnes pratiques, consultés le 22 octobre 2026.

En cas de violation de données susceptible de présenter un risque pour les personnes, vous devez la notifier à la CNIL dans les meilleurs délais, et si possible dans les 72 heures après en avoir pris connaissance. Le logiciel doit donc permettre de comprendre vite ce qui s'est passé : c'est le rôle des journaux.

Certains traitements demandent en plus une analyse d'impact (AIPD), quand ils sont susceptibles d'engendrer un risque élevé pour les personnes : évaluation systématique de personnes fondée sur un traitement automatisé, traitement à grande échelle de données sensibles, surveillance systématique à grande échelle d'une zone accessible au public. Posez la question dès le cadrage si votre outil évalue des personnes, suit des salariés en temps réel ou traite des données de santé.

Les questions à poser avant de signer

• Le contrat comprend-il des clauses de sous-traitance conformes à l'article 28 ?
• Qui, chez le prestataire, a accès aux données réelles, et à quel moment ? Le développement se fait-il sur des données de test ?
• Où sont hébergées les données, et chez qui ?
• Les durées de conservation et la purge sont-elles décrites dans le cahier des charges et chiffrées dans le devis ?
• Comment le logiciel permet-il de répondre à une demande d'accès ou d'effacement dans le délai d'un mois ?
• Que deviennent les données et leurs copies à la fin du contrat ?

La CNIL publie aussi un guide RGPD destiné aux développeurs, organisé par étapes de projet (développer en conformité avec le RGPD). Demandez à votre prestataire s'il le connaît.

Ces exigences ont un coût, et il vaut mieux le voir écrit dans le devis que le découvrir en fin de projet. Si vous avez déjà un devis, je peux vous dire sous 48 heures ouvrées ce qu'il couvre sur ces points, avec un prix fixe par étapes pour le même travail. Le guide lire un devis de développement aide à repérer ce qui manque, et la page prix d'un logiciel métier sur mesure donne les repères de prix.