Chercher une alternative à OneTrust ne revient pas à chercher le même catalogue de modules avec un autre logo. Il faut d’abord savoir ce que l’organisation utilise réellement : registre des traitements, analyses d’impact, demandes de droits, contrôle des prestataires, cookies ou plusieurs de ces tâches. Une solution spécialisée peut résoudre un besoin précis sans remplacer une suite entière. Une autre peut couvrir plusieurs processus, mais demander autant de travail de configuration que l’outil quitté. Ce guide propose cinq pistes de sélection et une démonstration commune, sans classement commercial ni prix invérifiable.
OneTrust présente sur sa page de privacy automation un ensemble de produits et de modules. Cette présentation de l’éditeur ne prouve ni que votre licence comprend toutes les fonctions ni qu’un concurrent est fonctionnellement équivalent. Commencez par votre contrat, la liste des modules actifs et trois dossiers récents. Une équipe qui n’utilise que le bandeau cookies devrait lire aussi le comparatif des plateformes de consentement ; la présente comparaison concerne le remplacement ou la simplification d’une organisation privacy plus large.
Formuler la décision avant de solliciter des offres
Distinguez trois objectifs. Le premier est de réduire une dépense : il faut alors connaître le coût complet de l’installation actuelle et les engagements de renouvellement. Le deuxième est de rendre un processus utilisable : documentez les tâches qui se perdent entre métiers, juristes et DPO. Le troisième est de changer de périmètre, par exemple après une acquisition ou la création de nouveaux services. Ces raisons n’appellent pas nécessairement le même fournisseur. Ajoutez la possibilité de réduire les modules OneTrust existants comme scénario de référence ; une migration n’est pas une fin en soi.
Écrivez ensuite une liste de résultats observables. Pour le registre, une activité doit avoir un propriétaire, un objectif, des catégories de données et de personnes, des destinataires, les informations relatives aux transferts et, lorsque possible, des délais d’effacement et une description générale des mesures de sécurité. L’article 30 du RGPD distingue le registre du responsable de celui du sous-traitant. Pour une AIPD, l’équipe doit pouvoir conserver les hypothèses, risques, mesures et décisions. Pour les droits, elle doit enregistrer une demande arrivée par courriel aussi bien que par portail. Ces résultats sont plus comparables qu’une colonne « module présent ».
Prévoyez les limites du champ. Une plateforme de consentement peut être excellente pour un site web mais ne gère pas nécessairement les demandes d’accès ou les analyses d’impact. Une solution GRC peut agréger des contrôles sans connaître la base juridique de chaque traitement. Un registre préparé à partir d’un modèle ne prouve pas que ses informations sont exactes. Consultez notre guide de choix d’un logiciel RGPD pour organiser les besoins avant la démonstration ; la présente page sert à comparer des voies de remplacement concrètes.
Cinq pistes à mettre à l’épreuve
Dastra décrit un registre et des fonctions associées à la gestion des traitements. Demandez à l’éditeur de reprendre une activité réelle anonymisée, de montrer la distinction entre responsable et sous-traitant et d’exporter l’historique. La documentation de l’éditeur fournit des questions utiles, pas la preuve que vos données seront importées sans correction. Vérifiez les modules effectivement inclus dans le devis et le rôle d’un administrateur chez vous.
Data Legal Drive documente des parcours RGPD, dont l’exercice des droits. Si plusieurs établissements traitent les mêmes demandes, demandez une démonstration de l’affectation, des rôles et des échéances. Le centre d’aide montre un périmètre annoncé, non la performance d’une intégration avec vos logiciels. Prévoyez un essai sur un dossier mêlant des données de plusieurs services et un refus partiel motivé.
Witik présente notamment registre, AIPD et gestion de demandes. Faites vérifier l’export d’un dossier complet et le suivi d’une mesure décidée après analyse d’impact. Une fonction mentionnée sur une page commerciale ne garantit ni la présence dans votre formule ni la bonne adaptation de ses modèles à votre contexte. Demandez qui actualise les modèles et comment votre équipe approuve une modification.
Didomi se présente comme une plateforme de gestion du consentement sur plusieurs canaux. Elle mérite une comparaison quand le problème principal est le recueil et la transmission des choix de cookies ou de préférences. Une CMP ne remplace pas à elle seule le registre, les AIPD et les contrats de sous-traitance. Faites contrôler les traceurs avant consentement, le refus, le retrait et l’export des preuves sur votre site. Le guide consacré aux cookies peut aider à définir cet essai, si cette destination correspond à votre politique de traceurs.
La cinquième piste est un ensemble plus modeste : registre bien tenu, outil de suivi des droits et CMP si nécessaire. Cette combinaison peut convenir à une organisation peu complexe, à condition d’attribuer les responsabilités et de synchroniser les informations. Son coût est aussi celui de la coordination interne. L’intégration d’une suite n’est pas une obligation légale ; l’absence d’intégration ne dispense pas de tenir des documents cohérents. Le comparatif général des logiciels RGPD peut aider à comprendre les catégories, mais il ne remplace pas le test de vos propres dossiers.
Ces pistes n’ont pas toutes la même origine ni le même périmètre. Les pages citées sont des déclarations des fournisseurs. Aucune ne permet d’affirmer que toutes les solutions sont « européennes », hébergées dans une région donnée, qualifiées SecNumCloud ou moins chères que OneTrust. Demandez une fiche de service et des engagements contractuels pour l’offre précisément étudiée. Le comparatif documentaire avec OneTrust peut fournir d’autres questions de démonstration, sans préjuger du résultat entre plusieurs candidats.
Une démonstration identique pour chaque candidat
Imaginez une entreprise qui ouvre un portail de réservation. Elle collecte des coordonnées, confie l’hébergement à un prestataire, utilise un service d’analyse et reçoit une demande d’accès d’une personne. Demandez à chaque candidat de créer l’activité, de relier les prestataires, de signaler ce qui reste inconnu et d’affecter une décision à une personne nommée. Ajoutez ensuite une modification : le service d’analyse change de fournisseur. Le système doit conserver l’état antérieur et montrer les documents à revoir. Une démonstration faite sur un dossier préparé sans anomalie ne teste pas cette capacité.
Pour l’accès, faites entrer la demande par un courriel ordinaire. L’article 12 prévoit une communication sans retard injustifié et au plus tard dans un mois à compter de sa réception ; une prolongation de deux mois au maximum est possible si nécessaire en raison de la complexité ou du nombre de demandes, avec information motivée dans le premier mois. Si aucune mesure n’est prise, l’article 12, paragraphe 4, exige les raisons sans retard injustifié, au plus tard dans un mois, ainsi que les voies de plainte et de recours juridictionnel. L’outil doit conserver la date réelle et permettre une réponse partielle expliquée. Une case « demande close » ne suffit pas. Le guide de gestion des droits approfondit ce flux.
Pour l’AIPD, demandez au candidat de documenter une décision, pas seulement de remplir un questionnaire. La nécessité d’une AIPD dépend du risque élevé probable selon l’article 35 ; toute nouvelle application n’y est pas automatiquement soumise. S’il faut la réaliser, conservez les hypothèses, la description du traitement, l’appréciation de nécessité et proportionnalité, les risques et mesures. Un outil peut aider à organiser le travail ; il ne transforme pas une réponse automatique en décision juridique. Le guide AIPD détaille le raisonnement de fond.
Enfin, exportez les trois dossiers dans un format lisible hors de la plateforme. Vérifiez les pièces jointes, les dates, les auteurs de décisions et les liens entre activités. Demandez à une personne qui n’a pas assisté à la vente de reconstruire l’histoire. Si elle ne peut pas comprendre pourquoi une activité a été modifiée ou une mesure acceptée, l’interface masque plutôt qu’elle n’organise la responsabilité. Répétez le test avec un rôle qui n’a pas accès aux pièces sensibles afin de voir si les permissions sont réalistes.
Hébergement, souveraineté et sous-traitance
Le RGPD n’impose pas en général que tout logiciel de conformité soit hébergé exclusivement dans l’Union européenne, ni une qualification SecNumCloud universelle. Certains secteurs, marchés ou systèmes sont soumis à des règles supplémentaires ; identifiez leur texte et leur périmètre. L’ANSSI présente SecNumCloud comme une qualification d’offres cloud déterminées. Une nationalité de société ou un logo commercial ne prouve pas qu’une offre précise soit qualifiée. Vérifiez la liste et le certificat correspondant si cette exigence figure effectivement dans votre cahier des charges. Le guide sur le cloud souverain aide à poser les questions techniques.
Demandez où se trouvent les données, qui peut y accéder pour le support et quels sous-traitants interviennent. Une localisation UE annoncée n’exclut pas à elle seule un accès depuis un pays tiers. Examinez les flux concrets et, s’il y a transfert hors EEE, les conditions du chapitre V RGPD. Pour une relation de sous-traitance, l’article 28 prévoit un contrat écrit, y compris électronique, ou un autre acte juridique contraignant du droit de l’Union ou d’un État membre avec le contenu requis. Examinez instructions, confidentialité, sous-traitants ultérieurs, sécurité, assistance et sortie. Notre modèle de contrat de sous-traitance est une aide de revue, pas un certificat du fournisseur.
Le dossier de conformité peut lui-même contenir des informations délicates : incidents, coordonnées de personnes concernées, faiblesses de sécurité, contrats. Limitez les accès à ces données et vérifiez la journalisation. Une démonstration ne doit pas utiliser une vraie plainte ou une liste de salariés. Des données fictives avec les mêmes relations métier suffisent. Demandez au prestataire les durées de conservation des essais et leur suppression à la fin de l’évaluation.
Prix complet et projet de sortie
Comparez des offres écrites sur le même périmètre : entités, utilisateurs, modules, stockage, migration, formation, support, intégrations et sortie. Un prix d’appel public ne dit pas combien coûte votre configuration. Mesurez les heures internes pour nettoyer le registre, qualifier des historiques de demandes et tester les exports. Une offre annuelle inférieure peut nécessiter davantage de configuration ou perdre des preuves ; une offre plus large peut être utile si les équipes se servent réellement de ses fonctions. La méthode de calcul du coût d’un logiciel RGPD aide à rendre les devis comparables sans inventer de tarif de marché.
Négociez la continuité avant de migrer. Faites une exportation test des registres, AIPD, demandes et preuves, puis importez un petit échantillon dans un environnement neutre. Prévoyez qui corrigera les champs ambigus et comment les échéances seront suivies pendant la bascule. Fixez une période de double vérification, sans promettre que tous les consentements anciens pourront être réutilisés automatiquement : leur contexte, leur preuve et la nouvelle architecture doivent être examinés. Une migration de CMP demande un essai technique spécifique, différent de la reprise d’un registre.
Dans le contrat, précisez ce qui est rendu ou effacé à la fin du service et le traitement des copies, sous réserve d’une obligation légale de conservation applicable au prestataire. Demandez le délai et le format d’export, le prix éventuel d’assistance et la disponibilité d’un accès limité en phase de transition. Le responsable du traitement doit pouvoir expliquer ses décisions après la fin de l’abonnement. Un tableau de bord inaccessible après expiration de la licence n’est pas une archive exploitable.
Questions fréquentes
Une PME doit-elle forcément quitter OneTrust ?
Non. La taille de l’entreprise ne détermine pas à elle seule l’intérêt d’un outil. Si les modules utilisés apportent une valeur mesurable et que le contrat convient, simplifier la configuration actuelle peut suffire. Si des besoins essentiels ne sont pas servis, comparez d’autres pistes avec le même scénario et un coût complet. Aucune frontière de mille salariés n’est inscrite dans le RGPD pour ce choix.
Toutes les alternatives citées sont-elles équivalentes ?
Non. Une CMP traite d’abord les choix de consentement, tandis qu’une suite privacy peut couvrir registre, AIPD et demandes. Vérifiez le périmètre de chaque devis, les intégrations et les résultats du test. Les déclarations des éditeurs ne prouvent ni une égalité fonctionnelle ni une conformité automatique.
Faut-il imposer l’hébergement UE ou SecNumCloud ?
Cela dépend des textes applicables, du marché, du risque et des données. Le RGPD demande une analyse de la sécurité, de la sous-traitance et des transferts ; il n’impose pas à toute organisation une qualification SecNumCloud. Si une exigence sectorielle ou contractuelle s’applique, identifiez l’offre qualifiée et son périmètre exact. Une simple mention « cloud souverain » ne suffit pas.
Comment éviter de perdre les preuves pendant la migration ?
Testez l’export sur quelques dossiers complets, avec versions, pièces et décisions. Distinguez les données à conserver de celles qu’il faut effacer. Documentez l’import, les écarts et les contrôles humains. Gardez une procédure pour les demandes et incidents ouverts durant la transition. Une promesse d’import automatique ne dispense pas de comparer le résultat aux sources.
Décider sur une preuve commune
Une alternative à OneTrust vaut la peine si elle prend en charge les tâches nécessaires, laisse des décisions vérifiables et permet de sortir sans perdre l’histoire utile. Comparez les cinq pistes sur un même dossier, une offre complète et une extraction réelle. La bonne réponse peut être un autre fournisseur, un ensemble d’outils plus simple ou une configuration resserrée de la solution actuelle. Le RGPD exige des traitements maîtrisés et démontrables ; il ne désigne aucun gagnant commercial.