Le coût d’un logiciel de conformité RGPD ne se résume pas à un abonnement mensuel. Il comprend les fonctions réellement nécessaires, la mise en place, la reprise des données, le temps des équipes, les éventuels services d’accompagnement et la sortie du contrat. Aucun tarif universel « TPE », « PME » ou « grand compte » ne peut être présenté comme un prix de marché fiable sans devis datés et comparables. En revanche, vous pouvez établir un coût complet pour votre organisation et voir exactement ce que chaque offre achète.
Ce guide propose une méthode de comparaison plutôt qu’une grille de prix inventée. Il distingue les outils gratuits de la CNIL, les logiciels de pilotage et les prestations humaines. Il donne des questions de devis et un calcul reproductible. Pour le choix fonctionnel, le guide pour choisir un logiciel RGPD complète cette analyse financière. Une solution coûteuse peut être justifiée si elle résout un vrai problème de coordination ; une solution gratuite peut suffire lorsque peu d’acteurs doivent maintenir peu de traitements.
Commencer par le périmètre, pas par l’effectif
Deux entreprises de même taille peuvent avoir des besoins très différents. Une société qui exploite quelques traitements stables avec un seul responsable n’a pas le même travail qu’un groupe avec plusieurs responsables de traitement, des données de santé, des sous-traitants nombreux et des demandes de droits fréquentes. Comptez donc les entités juridiques, les traitements, les utilisateurs contributeurs, les analyses d’impact, les contrats de sous-traitance, les langues et les intégrations. Ces unités peuvent déterminer le prix d’un devis, mais leur importance varie selon l’éditeur : n’inventez pas une loi selon laquelle tout prix suit nécessairement le nombre de traitements.
Décrivez le livrable attendu. Voulez-vous seulement tenir le registre des traitements, ou relier ce registre aux applications, aux contrats, aux AIPD, aux demandes de droits et aux incidents ? Une fonction de registre peut être suffisante pour un petit programme, tandis qu’un système de validation devient utile lorsque plusieurs métiers fournissent et corrigent les informations. La valeur se mesure à la qualité du dossier maintenu et à la facilité de le vérifier, non au nombre de modules affichés sur une page commerciale.
Séparez le budget de conformité global du prix de l’outil. La sécurité, le conseil juridique, la formation, le temps du DPO et les travaux de correction existent avec ou sans plateforme. Notre article sur le coût global de conformité RGPD aide à distinguer ces postes. Attribuer tout le budget privacy au logiciel gonfle artificiellement son coût ; lui attribuer toutes les économies futures gonfle sa rentabilité.
Ce qui est réellement gratuit
La CNIL propose un modèle de registre au format ODS, que l’organisme peut adapter à ses activités. Le format du registre est libre, sous réserve des exigences de l’article 30. La CNIL propose aussi un logiciel PIA open source, actualisé en avril 2026, pour aider à conduire et formaliser une AIPD. Ces outils constituent une vraie alternative de départ, pas une démonstration qu’il faut acheter une licence pour respecter le RGPD.
La licence gratuite n’efface pas le travail de collecte et de validation. Quelqu’un doit demander aux équipes quelles données elles utilisent, confronter les réponses aux systèmes, choisir une durée de conservation défendable et réviser le registre lorsqu’un traitement change. Un tableur peut être bien tenu si un responsable et un calendrier existent. Il peut aussi dériver si chaque service crée sa version. Comparez honnêtement ce travail avec celui nécessaire pour paramétrer et alimenter une plateforme payante. Le dossier sur les solutions RGPD gratuites examine cet arbitrage en détail.
L’outil PIA ne décide pas qu’une analyse d’impact est requise, ni qu’un risque résiduel est acceptable. Le responsable du traitement reste chargé de cette décision au regard de l’article 35. Une plateforme payante ne la prend pas automatiquement davantage. Le modèle d’AIPD et le guide des logiciels AIPD sont utiles pour comparer méthode, données d’entrée, approbation et export sans confondre formulaire et jugement juridique.
Pourquoi les prix publics ne suffisent pas
Un prix affiché peut ne couvrir qu’un palier, un nombre d’utilisateurs, une seule entité ou un module. Au 30 septembre 2026, la page officielle des offres Dastra décrit Starter, Pro et Entreprise ainsi que leurs périmètres, puis invite à demander une démonstration ou un devis ; elle ne permet pas d’affirmer ici un tarif universel de 79 € par mois. Pour tout éditeur, vérifiez la date de la grille, la devise, les taxes, les limites et les services inclus. Une capture de prix sans conditions n’est pas un devis exploitable.
Comparez trois formes courantes de proposition sans prétendre qu’un fournisseur les applique toujours. Un forfait par palier peut limiter le nombre d’entités ou de contributeurs. Une tarification par module peut séparer registre, AIPD, demandes de droits et gestion des tiers. Un prix lié au volume peut dépendre du nombre de dossiers ou de requêtes. Demandez l’unité exacte, la mesure de dépassement, le prix du palier suivant et les droits d’accès en lecture. Deux propositions annuelles égales peuvent avoir des coûts très différents lorsque le programme s’étend.
Exigez que le vendeur nomme la version proposée et montre ses fonctions dans cette version, pas seulement dans la gamme entière. Si un vendeur affirme « AIPD inclus », demandez si cela couvre le questionnaire, l’évaluation des risques, les validations, les exports et la révision après changement. Si « registre inclus » signifie que les collaborateurs peuvent uniquement consulter un document importé, il faudra conserver ailleurs la mise à jour collaborative. Le comparatif des logiciels RGPD pour PME peut suggérer des candidats, mais seul un même scénario testé permet de comparer vos offres.
Construire le coût complet sur trois ans
Demandez un devis écrit qui sépare l’abonnement annuel, les frais de lancement, la migration, la formation, les connecteurs, l’assistance, l’hébergement particulier, les utilisateurs supplémentaires et les entités additionnelles. Ajoutez les jours internes réellement nécessaires pour fournir les données et relire les imports. Enfin, prévoyez la sortie : export des registres, AIPD, pièces, historiques et droits de reprise. Le contrat doit dire ce qui sera livré, dans quel format et à quel prix. Un droit vague de récupération peut masquer un projet de migration coûteux.
Une formule simple est : coût sur trois ans = licences et options des trois années + déploiement + travail interne valorisé + maintenance et changements prévus + coût de sortie estimé. Les taxes et coûts de sécurité spécifiques peuvent être ajoutés selon le périmètre. Comparez les devis sur une date et des hypothèses identiques. N’ajoutez pas des économies non mesurées pour rendre l’achat rentable. Si un prix est indexé, calculez le scénario selon la clause réelle, pas selon une « hausse habituelle » de 5 à 10 % qui n’est étayée par aucune série.
Prenons un exemple fictif de calcul, non un tarif de marché. L’offre A facture une licence annuelle hypothétique de 4 000 €, 2 000 € de mise en place et 20 heures internes la première année ; l’offre B propose 5 000 € par an, sans frais de lancement, mais nécessite 60 heures internes. Si le coût interne retenu par votre entreprise est de 50 € par heure, le coût de première année serait 7 000 € pour A et 8 000 € pour B, avant options et sortie. Changer l’hypothèse de temps ou de valeur horaire change le résultat. Demandez au fournisseur de tester une migration pour estimer ces heures au lieu de reprendre les nombres de cet exemple.
Le coût de renouvellement mérite une ligne distincte. Après l’import initial, qui corrige les traitements, qui crée les nouveaux utilisateurs et qui vérifie les alertes ? Certains contrats incluent un accompagnement continu ; d’autres facturent chaque demande. Un service inclus peut être utile, mais il faut savoir s’il s’agit de support technique, de paramétrage, de conseil juridique ou de DPO externalisé. Ce ne sont pas les mêmes responsabilités et aucun éditeur ne peut promettre de prendre les décisions du responsable du traitement à sa place.
Comparer avec le travail manuel et le DPO
Un bon calcul de rentabilité part de votre état actuel. Pendant quelques semaines, mesurez le temps nécessaire à une mise à jour du registre, une AIPD, une demande de droits et une préparation d’audit. Distinguez collecte, saisie, validation et recherche de preuves. Faites ensuite les mêmes tâches dans une démonstration avec les mêmes données. Si la plateforme réduit seulement la saisie mais ajoute deux validations inutiles, le gain sera plus faible que prévu. Si elle évite des versions contradictoires, le bénéfice peut être qualitatif avant d’être chiffrable.
Le DPO, interne ou externe, conseille et contrôle dans le cadre des articles 38 et 39 ; le responsable du traitement conserve ses décisions. Un logiciel ne remplace donc pas automatiquement un DPO et ses missions. À l’inverse, le temps d’un DPO externalisé peut être mieux utilisé si les métiers renseignent directement un registre contrôlable. Comparez le coût d’un DPO externalisé avec la proposition logicielle uniquement après avoir séparé expertise, production documentaire et administration de l’outil.
Un cabinet peut réaliser un audit ou une AIPD ponctuelle sans assurer leur maintenance. Une équipe interne peut bien maintenir des documents sans logiciel commercial si elle a une méthode et des responsables disponibles. Le bon choix peut être logiciel seul avec relecture juridique ponctuelle, logiciel et DPO, ou outils CNIL et responsabilité interne. Il n’existe pas de combinaison « presque toujours gagnante » pour toutes les PME. Le guide de mise en conformité aide à répartir les travaux entre ces acteurs.
N’utilisez pas le plafond des amendes comme une économie garantie. Les sanctions de la CNIL dépendent des faits, de la règle violée et de la procédure. Une licence ne protège pas contre un traitement sans base légale ou une mauvaise réponse à une personne. La procédure simplifiée a elle-même des plafonds différenciés selon le chiffre d’affaires ; le chiffre de 20 000 € présenté autrefois comme plafond général n’est pas une base de calcul de retour sur investissement. Évaluez les améliorations vérifiables de votre propre programme.
Tester le livrable avant de payer
Soumettez aux éditeurs un petit dossier commun : une activité RH, un prestataire, une application, une durée à justifier et une demande d’accès fictive. Demandez de créer le registre, de lancer une revue AIPD, de lier le contrat et d’exporter les preuves. Une démonstration de trente minutes peut révéler si les liens entre objets sont réels ou si l’utilisateur doit recopier les mêmes faits partout. Pour approfondir les rôles et contrôles, consultez la fiche sur les sous-traitants RGPD.
Lisez l’export sans le vendeur. Est-il en français compréhensible ? Les dates et responsables apparaissent-ils ? Peut-on distinguer une proposition générée automatiquement d’une décision validée ? Un tableau de bord coloré ne suffit pas si l’on ne peut pas produire le dossier. Demandez également comment le système traite une correction : conserve-t-il l’ancienne version et la raison du changement, ou écrase-t-il la trace ? Ces points déterminent si le coût de mise en place fournit une capacité durable.
Éprouvez aussi les limites de l’offre. Ajoutez une deuxième entité, un contributeur occasionnel et une nouvelle demande de droits. Demandez ce qui devient payant. Examinez les droits d’accès : une licence peu chère qui limite fortement les métiers à consulter ou corriger les données peut augmenter le travail du DPO. Les rôles doivent rester compatibles avec la confidentialité des dossiers, notamment lorsqu’une AIPD ou un incident contient des informations sensibles.
Négocier sans imposer de fausses règles
Une négociation utile porte sur le périmètre et la réversibilité. Faites préciser les conditions de hausse, les changements de palier, les services inclus, les délais de support, les sauvegardes et la restitution des données. Ne proclamez pas qu’un préavis court, une durée de contrat de douze mois ou un hébergement dans l’UE sont des obligations universelles du RGPD. Ce sont des paramètres à discuter selon le besoin et les flux de données. Pour les transferts éventuels hors EEE, une adresse d’hébergement européenne ne dispense pas d’examiner les accès réels et les sous-traitants.
Vérifiez qui répond en cas d’incident de sécurité, ce qui peut être exporté en fin de contrat et ce qui sera supprimé. Demandez une description du support pour vos intégrations concrètes, pas seulement une promesse de « connecteurs ». Une entreprise qui utilise déjà un annuaire, un outil de tickets et plusieurs registres doit chiffrer leur rapprochement. Le guide de choix d’une solution de conformité transforme ces questions en critères de réception.
Pour garder la comparaison loyale, consignez aussi les écarts que vous acceptez. Un outil peut ne pas disposer d’un module de gestion des droits mais s’intégrer correctement à votre procédure existante. Un autre peut offrir une AIPD très structurée mais demander plus de paramétrage. Le coût additionnel de cet écart doit être explicite. Les alternatives à OneTrust et le comparatif de fournisseurs sont des points de départ, pas des preuves de prix ou d’équivalence fonctionnelle.
Questions fréquentes
Quel est le prix d’un logiciel RGPD pour une PME ?
Il dépend du périmètre et des conditions commerciales actuelles. Exigez au moins deux devis comparables indiquant modules, entités, utilisateurs, déploiement, assistance, renouvellement et sortie. Les anciennes fourchettes de cette page n’étaient pas sourcées ; elles ne doivent pas servir de budget de référence.
Un outil gratuit suffit-il ?
Oui, dans certaines organisations qui peuvent maintenir correctement le modèle de registre CNIL et, si nécessaire, son outil PIA. Testez la capacité à collecter les faits, contrôler les versions et suivre les changements. Le coût nul de licence n’est pas le coût nul de travail.
Faut-il acheter un DPO avec la plateforme ?
Non. La désignation d’un DPO répond aux critères de l’article 37 et à d’éventuelles règles particulières, indépendamment de l’achat. Si vous combinez logiciel et prestation de DPO, décrivez distinctement les tâches, l’indépendance, les disponibilités et le prix de chaque composante.
Comment calculer le retour sur investissement ?
Mesurez les tâches actuelles et reproduisez-les en essai. Comparez heures internes, qualité des preuves, coûts de licence, de migration et de sortie. N’intégrez pas de sanction « évitée » comme recette certaine ni des centaines d’heures économisées sans mesure locale.