Le meilleur logiciel RGPD est celui qui permet à votre équipe de tenir ses obligations et de vérifier son travail dans la durée. Pour le choisir, comparez des offres sur les mêmes situations : créer un traitement, traiter une demande d’accès, réviser un risque, suivre un fournisseur et récupérer les documents à la sortie. Une longue liste de fonctions ne montre ni leur qualité ni le travail qui restera à votre charge.
Ce comparatif propose une méthode pour départager plusieurs familles de solutions, construire une sélection et éprouver les offres. Il ne présente pas un classement de marques ou des prix de marché non vérifiés. Les références officielles ont été consultées le 29 septembre 2026. Les caractéristiques, tarifs et engagements d’un fournisseur doivent être confirmés dans l’offre effectivement soumise à votre organisation.
Comparer d’abord des solutions destinées au même travail
Les outils vendus autour du RGPD couvrent des besoins différents. Un registre documente des activités ; une plateforme de gouvernance organise plusieurs démarches ; une solution de demandes de droits gère des dossiers ; un outil de découverte recherche des données ; une plateforme de consentement gère des choix dans un contexte défini. Un produit spécialisé peut parfaitement remplir son rôle sans remplacer tous les autres.
Commencez par décrire le problème principal. Votre registre devient-il obsolète ? Les demandes des personnes se perdent-elles entre services ? Les analyses d’impact n’aboutissent-elles pas à des actions ? Cette question réduit les démonstrations sans rapport avec le besoin. Le guide pour choisir une solution RGPD permet de préparer ce cadrage avant d’inviter des prestataires.
La comparaison doit tenir compte du fonctionnement actuel. Une organisation déjà équipée d’un outil de gestion documentaire peut surtout avoir besoin de responsabilités et de procédures. Une autre doit coordonner plusieurs entités, leurs prestataires et des équipes dans différentes langues. L’effectif est un indice de complexité, sans constituer à lui seul un seuil justifiant une catégorie de logiciel.
Quatre approches à départager
Les modèles et outils distincts constituent une première approche. Ils permettent de conserver un contrôle direct sur les documents et de commencer progressivement. Leur limite apparaît lorsque les versions se multiplient ou que personne ne sait quelle décision est à jour. La CNIL propose un modèle de registre et précise que sa forme peut être papier ou électronique : acheter une application dédiée n’est pas une obligation générale.
Une plateforme de gouvernance rassemble plusieurs processus autour de références communes, par exemple les traitements et les fournisseurs. Son intérêt dépend de la qualité de ces relations et de leur mise à jour. Vérifiez si modifier un fournisseur alerte réellement les propriétaires des traitements concernés, ou s’il faut répéter la correction dans plusieurs écrans. La centralisation annoncée peut masquer des modules indépendants.
Un outil spécialisé répond à une tâche exigeante, comme les demandes de droits ou les analyses d’impact. Il peut être préférable à une suite généraliste si cette tâche concentre les difficultés. Une combinaison d’outils impose cependant de définir les échanges et la référence faisant autorité. Le comparatif des plateformes de consentement aide à examiner cette famille sans supposer qu’un bandeau de choix constitue tout le programme de conformité.
Enfin, une suite de gouvernance, risques et conformité peut être pertinente pour des équipes qui partagent plusieurs référentiels et circuits de validation. Elle demande d’examiner les droits d’administration, le paramétrage et les compétences internes nécessaires. Sa couverture étendue n’est utile que si les utilisateurs peuvent accomplir leurs tâches courantes sans dépendre constamment d’un consultant.
| Approche | Situation à vérifier | Limite à tester |
|---|---|---|
| Modèles et outils distincts | Peu de contributeurs et processus maîtrisés | Cohérence des versions et suivi des responsabilités |
| Plateforme RGPD intégrée | Plusieurs démarches reliées aux mêmes traitements | Réalité des liens entre modules et qualité des exports |
| Outil spécialisé | Besoin particulièrement complexe ou volumineux | Connexion au reste de la documentation |
| Suite de gouvernance étendue | Plusieurs référentiels et entités à coordonner | Charge de paramétrage et simplicité du travail quotidien |
Examiner le registre sur une activité représentative
Demandez de créer un traitement fictif avec des finalités, plusieurs catégories de personnes, un prestataire et des durées différentes selon les données. L’outil doit permettre une description fidèle de l’activité, sans confondre cette dernière avec le nom d’une application. Un modèle prérempli peut servir de point de départ, mais le fournisseur ne connaît pas vos pratiques sans les examiner avec vous.
Distinguez les données du registre du responsable et celles du registre du sous-traitant : l’article 30 prévoit des contenus différents. Ajouter une base juridique, une justification ou un responsable de révision peut être utile au pilotage, sans transformer tous ces champs en minimum expressément imposé par cet article. Vérifiez que l’application accepte les cas particuliers et conserve une explication lorsque certaines informations ne peuvent être précisées immédiatement.
L’obligation de registre ne se résume pas à une règle « au-dessus de 250 salariés ». Pour les organismes en dessous de ce seuil, la dérogation ne couvre pas notamment les traitements non occasionnels, ceux susceptibles de comporter un risque pour les personnes, ni ceux portant sur les catégories particulières de l’article 9 ou les données de condamnations et infractions de l’article 10. La décision concerne les activités en cause. Un outil ne doit pas supprimer les fiches de paie au seul motif que l’entreprise est petite.
Vérifier la méthode d’analyse d’impact
L’article 35 impose une analyse d’impact lorsque le traitement est susceptible d’engendrer un risque élevé, selon les conditions applicables. Un questionnaire qui produit un score peut aider au tri initial ; il ne remplace pas le raisonnement sur les personnes, les risques et les mesures. Demandez de voir comment sont décrites la nécessité, la proportionnalité et les actions décidées après l’évaluation.
La CNIL met à disposition son outil open source PIA, destiné à accompagner et formaliser les analyses d’impact, avec des possibilités de déploiement local ou sur serveur. Il fournit un point de comparaison concret pour apprécier un module commercial. La valeur supplémentaire doit apparaître dans le travail : collaboration, validations, suivi des mesures ou adaptation à l’organisation, selon les fonctions réellement proposées.
Utilisez un modèle d’AIPD pour préparer un cas fictif, puis comparez le résultat obtenu dans chaque offre. Un logiciel d’AIPD devrait permettre de retrouver le raisonnement et son évolution. Vérifiez également qu’une analyse indiquant un risque élevé résiduel n’est pas classée automatiquement comme terminée : dans le cadre de l’article 36, la consultation préalable requise doit être effectuée avant le traitement.
Faire traiter une demande de droits de bout en bout
La gestion des demandes de droits RGPD constitue un bon exercice de comparaison. Présentez une demande reçue par un canal approprié autre que le formulaire du fournisseur. Observez comment l’équipe conserve sa date de réception, vérifie l’identité lorsque cela est nécessaire et répartit les recherches. Une belle interface d’accueil ne démontre pas que tous les systèmes utiles seront consultés.
Le délai général est d’un mois, sans retard injustifié ; une prolongation nécessaire de deux mois suppose une information motivée pendant le premier mois. Les refus d’agir suivent l’article 12, paragraphe 4 : raisons, réclamation et recours judiciaire, sans retard et au plus tard dans un mois. Le produit doit permettre ces décisions sans appliquer une prolongation systématique pour compenser une mauvaise organisation.
Testez ensuite une copie contenant des informations sur plusieurs personnes, une suppression partielle et une réponse qui revient en erreur. Qui vérifie le document final ? Comment l’action demandée au prestataire est-elle confirmée ? Le dossier reste-t-il accessible sous une forme compréhensible après export ? Ces observations permettent de départager les offres sur la qualité d’exécution plutôt que sur le seul nombre de boutons.
Contrôler les fournisseurs et les accès
Une plateforme peut réunir contrats, questionnaires et évaluations de sous-traitants. Examinez si elle distingue les fournisseurs de services ordinaires des sous-traitants au sens du RGPD, et si elle peut documenter d’autres rôles. Les conditions de traitement ne deviennent pas conformes parce qu’une case « contrat signé » apparaît en vert. Il faut pouvoir retrouver le contenu applicable, ses versions et les actions nécessaires.
Le prestataire de la plateforme doit lui aussi être évalué lorsqu’il traite des données pour votre compte. L’article 28 impose un contrat ou un autre acte juridique contraignant prévu par le droit de l’Union ou d’un État membre, sous forme écrite, y compris électronique. Vérifiez instructions, confidentialité, sécurité, sous-traitants ultérieurs, assistance et possibilités de contrôle. L’outil peut contenir des dossiers sensibles ou des détails sur vos vulnérabilités, même si son objet est la conformité.
Demandez une démonstration des droits d’accès. Un contributeur métier devrait pouvoir actualiser les informations qui le concernent sans consulter toutes les demandes de salariés. Un administrateur technique n’a pas automatiquement besoin de lire tous les documents. Vérifiez comment sont tracées les modifications, retirés les accès au départ d’un utilisateur et contrôlées les interventions du support.
Examiner l’hébergement au-delà de la nationalité du vendeur
Un fournisseur français ne garantit pas, par sa seule nationalité, que tous les traitements et accès restent en France ou dans l’Espace économique européen. Demandez les lieux d’hébergement, les sous-traitants, les opérations de support et les accès à distance. Un contrat peut prévoir plusieurs localisations selon le service ou l’option retenue. La réponse doit correspondre à votre offre, pas à une formule commerciale générale.
Lorsque des transferts vers des pays tiers existent, identifiez le mécanisme applicable et les vérifications nécessaires. Une décision d’adéquation, des garanties de l’article 46 et une dérogation de l’article 49 répondent à des conditions distinctes. Toutes les situations n’appellent pas le même dossier. L’absence de centre de données à l’étranger ne suffit pas à conclure sans examiner les autres flux.
Les qualifications et certifications doivent être lues avec leur périmètre, leur titulaire et leur validité. Une qualification portant sur un service d’hébergement ne couvre pas automatiquement toutes les fonctions d’une plateforme cliente. Les contraintes du secteur public ou d’un contrat peuvent imposer des exigences particulières ; évitez de présenter un même label comme obligatoire pour toutes les organisations traitant des données sensibles.
Comparer les coûts sur un scénario commun
Le coût d’un logiciel de conformité RGPD comprend davantage que l’abonnement. Pour comparer, demandez une offre couvrant le même nombre d’entités, de contributeurs, de processus et d’intégrations. Séparez licence, installation, reprise des données, paramétrage, formation, support et sortie. Une ligne « accompagnement » doit correspondre à des prestations et livrables identifiables.
Construisez aussi un scénario d’évolution : nouvelle filiale, hausse des demandes, ajout d’un connecteur ou besoin d’un export supplémentaire. Le mécanisme de prix peut suivre des unités différentes selon les produits. Il ne faut donc pas supposer que le nombre de traitements ou l’effectif explique toujours l’abonnement. Vérifiez les minimums, dépassements, modules optionnels et clauses d’indexation dans les documents proposés.
Évaluez le temps interne avec les futurs utilisateurs. Une solution moins chère peut exiger des ressaisies, tandis qu’une suite plus coûteuse peut créer une charge d’administration injustifiée. Le calcul doit intégrer ces tâches, sans les transformer en économies garanties. Un outil RGPD gratuit mérite également une estimation du support, de la maintenance et de l’organisation nécessaires à son usage.
Organiser une comparaison contradictoire des offres
Retenez un petit nombre de critères réellement décisifs et définissez la preuve attendue pour chacun. Vous pouvez distinguer un prérequis bloquant, une capacité démontrée et un confort d’utilisation. Une note globale ne devrait pas compenser l’impossibilité d’exporter les documents ou l’absence d’un engagement contractuel indispensable. Définissez cette règle avant les démonstrations pour éviter de déplacer les critères en faveur de la présentation la plus séduisante.
Un exemple fictif illustre la démarche. L’offre A couvre votre registre et permet des exports simples, mais demande une coordination manuelle des droits. L’offre B facilite ces dossiers, avec un coût d’intégration plus élevé. L’offre C couvre de nombreux référentiels, mais votre équipe ne sait pas encore les administrer. La meilleure décision dépend de la difficulté que vous devez résoudre et des moyens disponibles, sans qu’une offre soit supérieure dans tous les contextes.
Les comparaisons pour PME et TPE permettent d’adapter ces critères aux petites équipes. Pour un projet de remplacement, examinez aussi les alternatives à une suite existante en tenant compte des données et procédures à reprendre. Une migration complexe peut modifier le choix final ; elle doit être estimée avant l’engagement, sans rendre le changement impossible par principe.
Mettre les automatismes et l’intelligence artificielle à l’épreuve
Demandez ce qu’une fonction automatique observe réellement. Un scanner de site peut identifier certains éléments techniques sans connaître la finalité d’un fichier interne. Un connecteur peut synchroniser un inventaire sans vérifier la base juridique du traitement. Un assistant peut rédiger un texte cohérent en apparence tout en inventant une durée ou une obligation. Le résultat doit donc être relié à des éléments vérifiables et à une validation appropriée.
Pour une démonstration, utilisez des données fictives et introduisez une contradiction volontaire, par exemple deux durées différentes pour le même dossier. Observez si l’outil la détecte, conserve l’historique et permet une correction compréhensible. Vérifiez qui voit les données envoyées à un modèle externe et pour quels usages elles peuvent être conservées. La fonction doit être évaluée dans ses conditions contractuelles et techniques réelles.
L’automatisation peut réduire une tâche répétitive, mais la qualité dépend aussi du contenu initial et de l’organisation. Demandez une distinction claire entre fonctionnalité livrée, configuration à réaliser et développement futur. Une feuille de route ne doit pas être notée comme une fonction disponible. Inscrivez les engagements essentiels au contrat et prévoyez comment sera constatée leur réalisation.
Prévoir le changement d’outil avant l’achat
La sortie doit préserver les informations nécessaires : traitements, pièces jointes, analyses, décisions, dates et liens utiles entre objets. Un export qui contient les titres mais perd les justifications ne restitue pas vraiment le dossier. Essayez de lire un échantillon en dehors de l’application et vérifiez si les formats sont exploitables par votre équipe ou votre futur prestataire.
L’article 28 prévoit, à la fin du service, la restitution ou la suppression selon le choix du responsable, ainsi que la suppression des copies, sauf conservation exigée par le droit de l’Union ou d’un État membre. Le contrat doit préciser les modalités pratiques, notamment pour les sauvegardes et les accès résiduels. La fermeture du compte utilisateur ne prouve pas à elle seule que ces opérations ont été réalisées.
Le choix entre gratuit, open source et offre payante comporte aussi cette dimension de maîtrise. Chaque modèle a ses exigences : compétences techniques, maintenance, disponibilité d’un support ou engagement contractuel. Demandez qui prendra le relais si le référent interne quitte l’organisation. Une documentation exploitable et un export testé réduisent la dépendance à une seule personne.
Vérifier la valeur après la mise en service
Fixez quelques résultats observables : une modification de traitement est validée par le bon service, un dossier de droits retrouve ses justificatifs, une mesure issue d’une analyse d’impact est suivie jusqu’à son exécution. Le nombre de fiches importées ou de connexions ne suffit pas. Comparez la qualité du travail avant et après, en tenant compte du temps de prise en main et des tâches qui restent manuelles.
En cas de contrôle de la CNIL, l’organisation doit expliquer ses pratiques et fournir les éléments pertinents. Un logiciel ne transforme pas cette vérification en formalité garantie. Un tableur n’est pas non plus dépourvu de valeur probante par nature : sa fiabilité dépend notamment de la gestion des versions, des accès et des validations. C’est l’ensemble de l’organisation documentaire qui doit être examiné.
Réévaluez l’adéquation de l’outil lorsqu’un besoin change, sans attendre nécessairement le renouvellement commercial. Si un module reste inutilisé, cherchez si le besoin n’existe pas, si le paramétrage est incomplet ou si le processus manque de responsable. Une décision d’achat solide reste explicable après la démonstration : elle repose sur un besoin défini, des preuves obtenues et des engagements que l’équipe peut suivre.