Un logiciel de gestion des demandes de droits RGPD aide à recevoir, répartir et tracer les demandes d’accès, d’effacement, de rectification, d’opposition ou de portabilité. Sa valeur dépend moins d’une promesse d’automatisation que de sa capacité à montrer qui a fait quoi, quand, sur quelles données et après quelle validation. L’outil ne détermine pas à lui seul si une identité est suffisamment vérifiée, si une exception à l’effacement s’applique ou si une réponse contient les données d’un tiers.
Ce guide est une grille d’achat et de démonstration pour une équipe qui a déjà défini sa procédure de réponse. Les tarifs, intégrations et fonctions des éditeurs changent ; demandez une proposition et faites montrer le parcours complet avec vos systèmes avant de comparer les offres.
Pourquoi outiller la gestion des demandes de droits
Le délai est court et juridiquement dur. L’article 12 du RGPD (texte officiel) impose de répondre « dans les meilleurs délais et en tout état de cause dans un délai d’un mois », prolongeable de deux mois pour les demandes complexes — à condition d’en informer la personne dans le premier mois. Un délai manqué est une violation en soi, sans qu’il soit besoin de démontrer un préjudice.
La réponse doit être démontrable. La CNIL rappelle les conditions du droit d’accès : répondre dans le délai ne suffit pas si la copie est incomplète ou si les droits des tiers sont ignorés. Le journal permet de retrouver la recherche, la décision et la preuve d’envoi en cas de contestation.
Le traitement manuel ne passe pas à l’échelle. Une demande d’accès sérieuse suppose de vérifier l’identité, d’interroger tous les systèmes contenant des données de la personne (CRM, RH, support, logs, sous-traitants), de constituer la réponse, d’évaluer l’effet de la divulgation sur les droits des tiers et de masquer ce qui doit l’être, et de tracer chaque étape. Le temps varie fortement selon le nombre de systèmes, les archives et le droit invoqué. Mesurez-le sur vos propres dossiers avant de chiffrer un gain.
Ce qu’un bon logiciel DSAR doit faire
| Fonction | Pourquoi c’est indispensable | Exigence minimale |
|---|---|---|
| Point d’entrée unique | Les demandes arrivent par tous les canaux | Formulaire web + saisie manuelle (email, courrier) |
| Vérification d’identité proportionnée | Éviter l’erreur de destinataire et la collecte excessive | Niveaux de vérification configurables |
| Qualification de la demande | Accès, effacement, opposition… des workflows différents | Typologie des droits art. 15-22 |
| Suivi automatisé des délais | Le délai d’un mois court dès la réception | Compteurs, relances, alertes avant échéance |
| Orchestration interne | Les données sont chez le métier et les sous-traitants | Tâches assignables, rappels, périmètre par système |
| Inventaire des traitements | Savoir où chercher dans les systèmes | Accès à un registre des traitements à jour, même hors outil |
| Réponses et modèles | Qualité et constance des réponses | Modèles de courriers conformes, en français |
| Journal de preuve | Démontrer la conformité (accountability) | Horodatage complet, export pour contrôle |
Selon les systèmes et le volume, la recherche assistée par connecteurs et un portail de suivi peuvent être utiles. Demandez une démonstration de leur couverture réelle, des erreurs possibles et des étapes qui restent manuelles ; leur valeur ne se déduit pas d’un seuil universel de demandes.
Comparer les offres sur un cas vérifiable
Demandez à chaque éditeur de traiter la même demande fictive : une ancienne salariée veut accéder à ses données RH, corriger une adresse et s’opposer à une prospection envoyée sur son email personnel. Fournissez une date de réception par email, deux systèmes internes, un prestataire de paie, un document mêlant des données de collègues et une demande complémentaire reçue après l’ouverture du dossier. Observez ce que l’outil enregistre automatiquement et ce qui dépend d’une saisie humaine. Une démonstration qui ne montre que le formulaire d’entrée ne prouve presque rien sur la qualité de la réponse finale.
Vérifiez d’abord l’import d’une demande arrivée hors formulaire : courrier, téléphone, email au support. Le compteur doit conserver la réception initiale et calculer l’échéance en mois calendaires. Selon l’article 12 du RGPD, la prolongation de deux mois exige une raison liée à la complexité ou au nombre de demandes, communiquée dans le premier mois. Demandez à voir ce rappel et sa preuve d’envoi. Le produit doit permettre une réponse partielle et une vérification d’identité proportionnée, sans exiger systématiquement une pièce d’identité.
Examinez ensuite la recherche et l’exécution. Le logiciel connaît-il les traitements et systèmes à interroger via le registre des traitements ? Les intégrations sont-elles réellement disponibles dans votre contrat et compatibles avec vos versions ? Une capture « connecteur CRM » ne démontre ni la couverture des archives ni l’effacement chez un sous-traitant. Demandez un résultat de recherche, son contrôle par un métier et la trace des actions manuelles. Pour les réponses d’accès, testez la relecture et le masquage des données de tiers. Pour l’effacement, vérifiez comment une exception légale et le cycle de sauvegarde sont consignés.
Enfin, exportez le dossier complet : chronologie, motifs de décision, pièces, modèle de réponse, destinataires informés, date de remise. Le format doit rester lisible sans licence active pour faciliter un contrôle et un changement de fournisseur. Testez aussi les habilitations : un agent du support n’a pas nécessairement à voir un dossier RH entier, et un administrateur technique n’a pas à valider une exception juridique. Le journal doit indiquer les corrections sans effacer la trace de la version précédente.
Chiffrer le besoin avant de demander un prix
Les prix publics ne couvrent pas toujours les connecteurs, le stockage, le volume de dossiers, l’accompagnement ni l’export des données. Comparez donc des devis portant sur le même périmètre : nombre d’utilisateurs, entités, systèmes, demandes, durée de conservation, hébergement, assistance et frais de sortie. Le temps d’installation mérite sa propre ligne : il inclut la cartographie des systèmes, la rédaction des réponses et la formation des personnes qui valident. Le coût des logiciels RGPD se comprend mieux en coût total qu’en prix mensuel isolé.
Mesurez sur quelques demandes récentes le temps consacré à retrouver les données, à attendre les réponses des métiers, à relire les documents et à communiquer avec la personne. Un outil peut réduire les relances et les oublis, mais il n’efface ni les données sources mal classées ni les questions juridiques. À faible volume, une procédure claire et un journal contrôlé peuvent suffire ; à volume élevé ou dans une organisation multi-entités, l’orchestration devient plus utile. La décision d’achat doit suivre cette mesure, pas une fourchette universelle d’heures économisées.
Questions à poser pendant la démonstration
Le compteur reflète-t-il les exceptions sans les inventer ?
Créez trois dossiers d’essai reçus le même jour : un accès simple, une demande complexe nécessitant plusieurs archives et une demande émanant d’une personne dont l’identité soulève un doute raisonnable. Vérifiez que l’outil montre la date de réception, le délai d’un mois, le motif et la date de toute prolongation, ainsi que l’information envoyée à la personne. Une demande d’identité supplémentaire doit être motivée et limitée au nécessaire ; elle ne doit pas devenir un bouton « pause » que l’équipe actionne pour gagner du temps. La CNIL déconseille la vérification d’identité systématique.
Testez le calcul sur une réception en fin de mois et sur une demande transmise tardivement par une équipe interne. Si le logiciel ne sait dater que l’ouverture du ticket, il peut afficher un délai rassurant mais faux. Demandez comment sont gérés les jours non ouvrés, les demandes reçues dans un autre fuseau horaire et les prolongations. Le responsable doit pouvoir corriger une date erronée en laissant une trace de la correction. La réponse de l’éditeur « nos clients gèrent cela manuellement » peut être acceptable si l’interface et la procédure le rendent explicite.
Peut-on prouver l’exécution chez un prestataire ?
Une demande d’effacement peut toucher le CRM, une plateforme d’emailing et un hébergeur. Le droit n’exige pas qu’un même logiciel dispose d’un connecteur natif pour tout ; il faut que le responsable puisse identifier qui agit, transmettre l’instruction et vérifier la réponse. Demandez à voir la tâche adressée au prestataire, sa confirmation et la manière dont l’outil gère une exception : par exemple, certaines données doivent rester conservées pour une obligation comptable alors que le profil marketing doit être supprimé. Une simple case « effacé » n’explique ni le périmètre ni les sauvegardes.
Si un fournisseur promet l’effacement automatique, demandez un essai en environnement maîtrisé : quelles données sont visées, quel identifiant sert à faire correspondre la personne, que se passe-t-il en cas de doublon ou d’échec du connecteur ? Le risque d’effacer le dossier d’un homonyme est aussi réel que celui de laisser une copie dans un système oublié. Les actions irréversibles devraient rester soumises à des validations adaptées. La documentation des sous-traitants aide à connaître les contacts et engagements utilisables dans ce workflow.
La réponse exportée reste-t-elle intelligible ?
Un dossier exporté uniquement en captures d’écran est pénible à relire. Demandez un fichier de données structuré pour le journal et une version lisible de la réponse envoyée, avec pièces jointes et preuve de remise. Pour la portabilité, un format structuré, couramment utilisé et lisible par machine peut être nécessaire dans les conditions de l’article 20 ; ce droit ne se confond pas avec la copie d’accès de l’article 15. Une bonne interface aide à choisir la bonne sortie et à expliquer ce qui a été exclu.
Prévoyez aussi le départ de l’outil. Qui récupère les dossiers ouverts, les modèles de réponse, les règles de calcul et les preuves anciennes ? Dans quel délai le fournisseur supprime-t-il ses copies après restitution ? Ces questions relèvent du contrat de sous-traitance et de votre politique de conservation, pas d’une fonctionnalité cosmétique. Le choix d’un outil doit améliorer la capacité à répondre aux personnes même pendant une migration ou une panne.
Les pièges classiques
- Traiter les DSAR dans l’outil de ticketing. Un helpdesk généraliste peut fonctionner si vous y configurez la vérification, les délais et la preuve ; sans ces éléments, il risque de perdre les échéances ou de diffuser des pièces sensibles à des personnes non habilitées.
- Sur-vérifier l’identité. Exiger systématiquement une pièce d’identité pour toute demande est une faute : la vérification doit être proportionnée aux doutes et aux enjeux — la CNIL l’a rappelé à plusieurs reprises dans ses référentiels sur le droit d’accès.
- Oublier les sous-traitants. Pour l’effacement, identifiez les sous-traitants concernés, transmettez les instructions nécessaires et conservez leur retour ; un outil peut aider à coordonner ces étapes.
- Ignorer les droits des tiers. Un document peut concerner à la fois le demandeur et une autre personne. Suivez les lignes directrices du CEPD sur le droit d’accès : évaluez si sa communication porterait atteinte aux droits de cette dernière ; masquez les éléments nécessaires, sans supprimer automatiquement tout passage qui la mentionne.
- Négliger la portabilité : rare, mais exigeante techniquement (format structuré, couramment utilisé, lisible par machine) — vérifiez que l’outil sait produire l’export.
FAQ
Quel est le coût d’un logiciel de gestion des demandes de droits RGPD ?
Il dépend du volume de demandes, des utilisateurs, des connecteurs et des services compris. Faites établir un devis sur un périmètre identique pour chaque éditeur et ajoutez les coûts d’installation, d’export et de sortie. Une fourchette générale de prix ne permet pas de comparer des offres dont les intégrations diffèrent.
Quel est le délai légal pour répondre à une demande de droits ?
Un mois à compter de la réception (article 12(3) RGPD), prolongeable de deux mois pour les demandes complexes ou nombreuses, à condition d’informer la personne de la prolongation et de ses motifs dans le premier mois. Le logiciel doit faire courir le compteur automatiquement dès la réception, quel que soit le canal d’entrée.
Faut-il un formulaire dédié sur le site web ?
C’est fortement recommandé : un point d’entrée structuré qualifie la demande, déclenche la vérification d’identité et le compteur de délai. Mais attention : vous ne pouvez pas imposer un canal exclusif — une demande envoyée par email ou courrier reste valable et doit être intégrée au suivi.
Un module DSAR suffit-il sans registre des traitements à jour ?
Le responsable doit connaître les traitements et systèmes pertinents pour rechercher les données. Un registre des traitements à jour est une aide, mais un module DSAR et le registre n’ont pas à être techniquement intégrés pour produire une réponse complète. Vérifiez la couverture par un essai et tracez les recherches, y compris celles réalisées hors outil.
Conclusion
Choisissez l’outil à partir d’un dossier d’essai complet : réception hors formulaire, calcul du délai, recherche dans vos systèmes, vérification d’identité proportionnée, décision humaine, réponse sécurisée et export de preuve. La qualité des données sources et la procédure d’exercice des droits restent déterminantes. Le bon achat est celui qui rend les responsabilités et les décisions vérifiables dans votre organisation.