Protection des données personnelles

La conformité RGPD a deux moments de vérité : celui où vous la construisez, et celui où elle est mise à l'épreuve — une violation de données, une réclamation, un contrôle de la CNIL. J'interviens sur les deux, pour des entreprises, des institutions et des start-ups, en France et à l'international.

Mon parti pris : une conformité proportionnée à vos risques réels. Pas de documentation d'étagère — des registres tenus, des décisions tracées, des procédures que vos équipes appliquent vraiment.

Construire : mettre votre conformité à niveau

• Audit et cartographie — état des lieux de vos traitements, identification des écarts, plan d'action hiérarchisé
• Registre des activités de traitement — création, refonte, maintien à jour
• Documentation — politiques de confidentialité, mentions d'information, procédures internes : droits des personnes, durées de conservation, violations
• Analyses d'impact (AIPD) — sur vos traitements à risque : RH et recrutement, scoring, vidéosurveillance, IA
• Sous-traitants et partenaires — clauses de l'article 28, responsabilité conjointe (art. 26), audits de vos prestataires
• Transferts internationaux — clauses contractuelles types, analyses d'impact de transfert, cartographie des flux hors Union européenne

Réagir : quand la conformité est mise à l'épreuve

• Violation de données — qualification juridique de l'incident, notification à la CNIL dans les 72 heures (art. 33), information des personnes concernées (art. 34), coordination avec vos prestataires techniques
• Contrôle CNIL — préparation en amont, assistance pendant le contrôle, rédaction des réponses, suivi de la procédure
• Mise en demeure et procédure de sanction — stratégie de réponse, observations, représentation devant la formation restreinte, recours
• Réclamations et demandes des personnes concernées — réponse aux demandes complexes ou contentieuses

Où regarde la CNIL en 2026

Les contrôles prioritaires 2026 visent notamment le recrutement : décision automatisée, information des candidats, durées de conservation — un sujet qui concerne toute organisation qui embauche. Côté sanctions, l'autorité a changé d'échelle : 325 millions d'euros pour Google, 150 millions pour SHEIN.

Besoin d'un pilotage continu ?

Si la conformité doit être portée dans la durée, la formule la plus efficace est souvent la désignation d'un DPO externalisé — un avocat, désigné auprès de la CNIL, sous secret professionnel.

‍