Soixante-dix-huit pour cent. C'est la proportion d'organisations européennes qui se déclarent "conformes au RGPD" dans les enquêtes sectorielles — et qui présentent pourtant des lacunes documentées lors d'un audit de maturité approfondi. La conformité RGPD est devenue un marqueur identitaire, une case à cocher dans les questionnaires de risque fournisseur, un argument commercial. Elle est rarement le reflet d'une maîtrise réelle du cadre réglementaire.
La raison ? Trois piliers structurels du RGPD concentrent l'essentiel des non-conformités mais reçoivent une fraction de l'attention allouée à la gestion des consentements et à la politique de cookies. Dans cet article, vous découvrirez pourquoi la minimisation des données, la maîtrise des durées de conservation, et la gouvernance des sous-traitants constituent les angles morts les plus fréquents — et ce que les directeurs GRC qui les traitent font concrètement.
Le contexte : un RGPD à deux vitesses
Depuis l'entrée en vigueur du RGPD en 2018, les sanctions prononcées par les autorités de contrôle européennes ont progressé de manière régulière, avec une accélération notable entre 2023 et 2026. Deux catégories de manquements concentrent plus de 60 % des amendes significatives (supérieures à 500 000 €) : d'une part, les failles de sécurité avec violation de données (Article 32) ; d'autre part, les lacunes dans la base légale du traitement et le non-respect des droits des personnes concernées.
Ce qui est frappant, c'est ce que ces statistiques ne montrent pas : la plupart des organisations sanctionnées avaient une politique de confidentialité, une bannière de cookies, et un registre des traitements. Elles avaient coché les cases visibles. Les manquements sanctionnés portaient sur des dimensions moins visibles — précisément les trois piliers que nous allons examiner.
L'urgence réglementaire est réelle : la Commission européenne a annoncé un renforcement des capacités d'enquête des autorités nationales dans le cadre de sa stratégie numérique 2025-2027. Les audits croisés entre CNIL, BfDI, et Garante se multiplient. Le risque de sanction pour des manquements structurels — pas spectaculaires, mais persistants — augmente.
Pilier 1 : La minimisation des données, mal comprise et mal appliquée
L'Article 5(1)(c) du RGPD est l'un des plus cités et l'un des moins appliqués : les données à caractère personnel doivent être "adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées". En pratique, la minimisation est interprétée comme une obligation de collecte — ne pas collecter plus que nécessaire. C'est une lecture incomplète.
La minimisation s'applique aussi en conservation (ne pas conserver des données au-delà de leur utilité), en accès (ne pas exposer les données à plus d'acteurs que nécessaire), et en réutilisation (ne pas utiliser des données collectées pour une finalité A dans un contexte B sans base légale adaptée). Une organisation qui collecte uniquement les données strictement nécessaires à l'inscription mais qui les conserve indéfiniment dans son CRM, qui les expose à toutes les équipes commerciales, et qui les réutilise pour de la prospection non sollicitée viole l'Article 5(1)(c) sur trois des quatre dimensions.
L'erreur courante : traiter la minimisation comme un questionnaire à remplir lors de la mise en place du traitement, sans processus de réévaluation périodique. Les données nécessaires en 2022 pour une finalité donnée peuvent ne plus l'être en 2026 — mais elles restent dans les systèmes, faute de processus de revue. Un audit de maturité RGPD sérieux demande systématiquement : "Quand avez-vous réexaminé la pertinence des données que vous conservez dans votre CRM ?"
Ce que les organisations matures font différemment : elles intègrent une revue annuelle de minimisation dans leur programme GRC, par traitement, avec un responsable assigné et une preuve documentée. Ce n'est pas un projet de fond de données — c'est une gouvernance documentée.
Pilier 2 : Les durées de conservation, le parent pauvre du registre
L'Article 5(1)(e) impose une "limitation de conservation" : les données ne peuvent être conservées sous une forme permettant l'identification des personnes qu'aussi longtemps que nécessaire. En théorie, toutes les organisations qui ont construit un registre des traitements ont défini des durées de conservation. En pratique, ces durées sont rarement appliquées.
Les enquêtes de terrain révèlent trois patterns récurrents. Premier pattern : les durées sont définies dans le registre mais aucun système ne les applique automatiquement — la suppression est manuelle, donc elle n'est pas faite. Deuxième pattern : les durées légales de prescription sont confondues avec les durées de conservation RGPD. Un contrat doit pouvoir être produit pendant cinq ans en cas de litige commercial — cela ne signifie pas que les données personnelles du contractant doivent rester dans le CRM actif pendant cinq ans ; elles peuvent être archivées avec accès restreint. Troisième pattern : les durées sont appliquées dans la base de données principale mais pas dans les sauvegardes, les outils analytics, ou les exports partagés avec les partenaires.
L'exemple concret : une entreprise qui conserve les données de candidats non retenus "jusqu'à ce que quelqu'un pense à les supprimer" — pratique extrêmement courante — est en violation de l'Article 5(1)(e). La CNIL recommande une durée maximale de deux ans après le dernier contact pour les données de candidature. Si votre ATS ne supprime pas automatiquement ou n'alerte pas le responsable RH après deux ans, vous avez une non-conformité documentable.
La solution opérationnelle : définir des durées de conservation réalistes et applicables par catégorie de données, implémenter des alertes automatiques à l'échéance (pas forcément une suppression automatique, mais une décision documentée de suppression ou d'archivage), et étendre la règle aux backups et exports. Trois étapes, aucune n'est technologiquement complexe.
Pilier 3 : La gouvernance des sous-traitants, l'angle mort contractuel
L'Article 28 du RGPD impose que tout traitement confié à un sous-traitant soit encadré par un contrat ou un acte juridique qui précise les obligations du sous-traitant en matière de protection des données. En théorie, les DPA (Data Processing Agreements) sont devenus standard depuis 2018. En pratique, la gouvernance des sous-traitants va bien au-delà du contrat initial.
Trois lacunes dominent dans les audits. La première : les DPA existent pour les sous-traitants principaux (cloud, CRM, messagerie) mais pas pour les prestataires secondaires — l'agence web qui gère le formulaire de contact, l'outil d'emailing marketing, la plateforme de support client. Or le RGPD ne fait pas de distinction par taille ou criticité : tout traitement confié à un tiers nécessite un DPA. La deuxième lacune : les DPA ne sont pas révisés lors des renouvellements de contrat ou des changements de scope. Un DPA signé en 2021 ne couvre pas nécessairement les nouveaux traitements ajoutés en 2024 — et personne n'a vérifié. La troisième lacune : les sous-traitants de vos sous-traitants (les "sous-sous-traitants" au sens de l'Article 28.2) ne sont pas tracés.
La métrique révélatrice : dans les audits RGPD conduits sur des PME et mid-market européennes en 2025-2026, le nombre moyen de sous-traitants identifiés lors d'un mapping approfondi est 2,7 fois supérieur au nombre déclaré dans le registre des traitements initial. Les organisations "oublient" systématiquement des prestataires qui traitent des données personnelles — pas par mauvaise foi, mais parce qu'elles n'ont pas de processus de détection des nouveaux traitements confiés à des tiers.
Ce que les équipes GRC matures ont mis en place : un processus de qualification systématique des nouveaux prestataires (toute nouvelle commande IT ou marketing déclenche une vérification DPA), une revue annuelle de la liste des sous-traitants actifs avec validation du DPA, et un registre des sous-sous-traitants tenu à jour par les sous-traitants principaux (clause contractuelle).
Évaluer votre maturité sur ces trois piliers
Trois questions à poser à votre équipe lors de votre prochain comité GRC :
- Minimisation : Quand avez-vous conduit la dernière revue de pertinence des données dans votre CRM principal ? Qui en était responsable, et où est la preuve documentée ?
- Conservation : Vos durées de conservation sont-elles appliquées automatiquement, ou dépendent-elles d'une action manuelle ? Vos sauvegardes et exports sont-ils dans le périmètre ?
- Sous-traitants : Combien de prestataires actifs traitent des données personnelles pour votre compte ? Ce nombre correspond-il à ce que déclare votre registre ?
Si l'une de ces trois questions ne peut pas recevoir une réponse documentée en moins de 48 heures, vous avez une lacune de gouvernance — pas nécessairement une violation, mais une zone d'exposition que les auditeurs trouveront. Presidio automatise le registre des traitements, les alertes de conservation, et la gestion des DPA dans un flux unique : contactez notre équipe pour un diagnostic de 45 minutes. Lire aussi : IAM et NIS2/DORA : le contrôle d'accès que votre audit signalera en premier.
Conclusion
La conformité RGPD ne se résume pas à une bannière de cookies et un registre des traitements. Les trois piliers que nous avons examinés — minimisation des données dans toutes ses dimensions, application effective des durées de conservation, gouvernance active des sous-traitants — concentrent l'essentiel des non-conformités réelles et des amendes significatives. Ils ne font pas la une des guides pratiques parce qu'ils sont moins visibles et plus exigeants en termes de gouvernance que de technologie.
Trois enseignements pour votre programme GRC : intégrez une revue annuelle de minimisation par traitement dans votre calendrier ; implantez des alertes automatiques à l'échéance de conservation pour chaque catégorie de données ; instituez un processus de détection systématique des nouveaux sous-traitants. Et dans votre contexte — si un auditeur CNIL demandait demain la liste de vos sous-traitants actifs avec DPA à jour, combien de temps vous faudrait-il pour la produire ?