RGPD pour startups : roadmap conformité MVP 2026

En une phrase. Une startup a deux fenêtres critiques RGPD : mise en marché du MVP (collecter dès l’origine de manière conforme évite la dette technique) et levée de fonds Series A+ (due diligence approfondie par les VC depuis 2022). Roadmap minimale : 0-3 mois registre des traitements + mentions information + cookies, 3-6 mois PIA pour traitements à risque + sécurité de base, 6-12 mois DPO + procédures + audit. Une startup non conforme valorisée 30 M€ peut voir sa valorisation amputée de 10-20 % par les VC lors de la due dil.

Les sanctions CNIL touchent maintenant les entreprises de taille modeste : Cityscoot, 125 000 € le 16 mars 2023 (délibération SAN-2023-003, dont 100 000 € au titre du RGPD) pour une géolocalisation quasi permanente de ses clients — un relevé toutes les 30 secondes — et un encadrement insuffisant de ses sous-traitants ; SAF Logistics, 200 000 € le 18 septembre 2023 (SAN-2023-013) pour une collecte excessive de données de salariés candidats à un poste interne, incluant des données sensibles, et un défaut de coopération avec la CNIL. Aucune de ces deux sociétés n’était un grand groupe. Les fonds et leurs LP institutionnels ont intégré le signal : la revue de conformité fait désormais partie de la due diligence juridique standard à partir de la Series A.

Ce guide s’adresse au fondateur ou au COO qui doit arbitrer, avec un budget contraint, entre ce qui est réellement exigible aujourd’hui et ce qui peut attendre. Il donne la séquence de mise en conformité dans l’ordre où elle produit de la valeur, ce que regarde un avocat de fonds en due diligence, et les défaillances que la CNIL relève systématiquement chez les entreprises de moins de cinq ans. Si vous cherchez un plan d’exécution resserré plutôt qu’une roadmap sur douze mois, voyez notre plan de conformité RGPD en 30 jours pour startups et PME.

Points clés

• Privacy by Design dès le MVP : 10x moins cher que rétro-conformer.
• Registre des traitements : obligatoire dès le 1er traitement (sauf moins de 250 salariés ET aucun traitement à risque).
• DPO obligatoire si traitement à grande échelle de données sensibles (santé, mineurs, biométrie).
• Due diligence VC : gap analysis RGPD systématique depuis Series A.
• Sous-traitants : DPA art. 28 signé avant production (Stripe, AWS, Mailchimp…).

1. La séquence qui marche : six chantiers dans l’ordre

L’erreur classique consiste à commencer par le document le plus visible — la politique de confidentialité — et à la rédiger avant de savoir quelles données on traite. On obtient un texte faux, qui devient une déclaration écrite de non-conformité le jour où un plaignant le compare à la réalité. L’ordre ci-dessous n’est pas académique : c’est celui qui minimise le travail refait.

Chantier 1 — le registre. Il n’y a pas de conformité sans inventaire. Listez les traitements par finalité, pas par outil : « gestion des comptes utilisateurs », « prospection sortante », « recrutement », « support client », « paie », « analytics produit ». Une startup early-stage en compte typiquement douze à vingt. Pour chacun, notez les catégories de personnes, les catégories de données, les destinataires, la durée de conservation et l’hébergement. Trois demi-journées suffisent si le CTO et le responsable des opérations sont dans la pièce. Le modèle de registre des traitements fixe les colonnes exigées par l’article 30.

Chantier 2 — les bases légales. Chaque ligne du registre reçoit une base parmi les six de l’article 6. C’est l’étape que les startups escamotent, et c’est celle qui décide de tout le reste : la base conditionne les droits dont dispose la personne, la possibilité de réutiliser la donnée, et la légalité de votre prospection. Le contrat couvre le service lui-même ; l’obligation légale couvre la comptabilité et la paie ; l’intérêt légitime couvre la sécurité, la prévention de la fraude et une partie du B2B ; le consentement couvre les cookies non essentiels et la newsletter. Si vous invoquez l’intérêt légitime, produisez le test de mise en balance — c’est trois paragraphes, pas trois pages. Notre guide des bases légales RGPD en pratique donne l’arbre de décision.

Chantier 3 — l’information des personnes. Maintenant seulement, la politique de confidentialité s’écrit — en la dérivant du registre, ligne par ligne. Elle doit couvrir les mentions des articles 13 et 14 : identité du responsable, finalités et bases légales, destinataires, transferts hors UE, durées, droits, réclamation auprès de la CNIL. Ajoutez les mentions courtes aux points de collecte (formulaire d’inscription, formulaire de contact, page carrières), là où la CNIL vérifie réellement.

Chantier 4 — les sous-traitants. Une startup moderne opère avec trente à soixante fournisseurs SaaS. Chacun qui touche une donnée personnelle pour votre compte est un sous-traitant au sens de l’article 28 et exige un DPA. Le modèle de DPA article 28 précise les clauses obligatoires ; la checklist d’audit des sous-traitants sert à trier ceux qui méritent une vérification approfondie. Pour les fournisseurs américains, vérifiez la certification Data Privacy Framework ou l’existence de clauses contractuelles types à jour : c’est le sujet des transferts internationaux, et le premier point qu’un juriste de fonds ouvrira.

Chantier 5 — la sécurité. L’article 32 n’exige pas l’état de l’art absolu, mais des mesures appropriées au risque, et surtout des mesures documentées. Pour une startup : MFA sur tous les accès administrateurs, chiffrement en transit et au repos, revue trimestrielle des habilitations, sauvegardes testées, journalisation des accès aux données de production, et une procédure de gestion des violations. Les attentes concrètes sont détaillées dans notre guide de la sécurité des données au titre de l’article 32. Le seul document non négociable à ce stade est la procédure de violation de données : le délai de 72 heures de l’article 33 ne laisse pas le temps d’improviser un dimanche soir.

Chantier 6 — les droits des personnes. Une adresse de contact qui aboutit à quelqu’un, un délai d’un mois tenu, et une trace écrite de chaque demande. C’est peu, et c’est pourtant la première cause de plainte : la CNIL sanctionne quasi mécaniquement une demande d’accès restée sans réponse, indépendamment du reste de la conformité. La procédure d’exercice des droits tient sur deux pages.

Traiter ces six chantiers dans cet ordre coûte, pour une équipe de moins de trente personnes, entre trois et six semaines de travail réparties sur un trimestre. Les traiter dans le désordre coûte le double, parce que chaque document produit trop tôt devra être réécrit.

2. Pourquoi le RGPD est un sujet startup

Trois raisons :

1. Légal : sanctions 4 % CA mondial ou 20 M€
2. Commercial : grands comptes (CAC40) exigent conformité prouvée
3. Capital : VC font auditer la conformité depuis 2022 (impact valorisation 10-20 %)

Pour une startup B2C, le risque CNIL domine le risque investisseur. Pour une startup B2B SaaS, le risque investisseur et le risque commercial dominent le risque CNIL.

3. Roadmap 0-3 mois (pré-MVP / MVP)

Budget total : 5-10 K€ pour démarrer conforme.

4. Roadmap 3-6 mois (croissance)

À ajouter :

• PIA si traitement à risque (scoring, IA, mineurs, santé, géolocalisation)
• Politique de sécurité documentée (ANSSI guide PME)
• Procédure violation de données en moins de 72 heures
• Procédure exercice droits (formulaire, traitement en moins de 30 jours)
• Audit cookies trimestriel (chrome devtools, Cookie Quick Check)
• Sous-traitants : signer DPA pour chaque (AWS, Stripe, Twilio…)

Budget : 10-25 K€ pour cette phase.

5. Roadmap 6-12 mois (pré-Series A)

À finaliser :

• DPO désigné (externe = 500-1500 €/mois mutualisé, interne = part-time)
• PIA documenté pour chaque traitement à risque
• Cartographie flux extra-UE + clauses contractuelles types (CCT)
• Politique conservation par type de donnée
• Plan de continuité d’activité (PCA léger)
• Audit blanc par cabinet ou DPO externe
• Formation équipes RH + Sales + Tech

Budget : 20-50 K€ pour cette phase.

6. Due diligence VC : ce qu’ils regardent

Checklist type Series A 2025-2026 :

1. Registre des traitements : à jour, exhaustif
2. DPO : désigné, opérationnel, indépendant
3. PIA : présent pour traitements à risque
4. Mentions information : conformes sur tous canaux
5. Sous-traitants : DPA signés
6. Transferts hors UE : encadrés (DPF, CCT, BCR)
7. Cookies : bandeau CNIL-compliant
8. Violation historique : déclarée CNIL
9. Sanctions ou plaintes pendantes : aucune
10. Charte sécurité : présente

Un audit RGPD défaillant peut conduire à : (a) demande de remédiation post-investissement, (b) baisse valorisation 10-20 %, © abandon du deal (rare mais arrive).

Ce qui compte vraiment dans une data room

La checklist ci-dessus est celle que l’avocat déroule. Mais dans les faits, quatre points seulement déplacent la négociation.

Le premier est la chaîne contractuelle côté clients. Si vous êtes éditeur SaaS B2B, vous êtes sous-traitant de vos clients, et vos propres fournisseurs sont vos sous-traitants ultérieurs. L’acquéreur vérifie que vos conditions générales contiennent bien un DPA côté client, que ce DPA autorise le recours à des sous-traitants ultérieurs, et que la liste publiée correspond à ce que vous utilisez réellement. Une divergence entre la liste publiée et la stack effective est le défaut le plus fréquent, et le plus facile à corriger avant la levée. La distinction responsable de traitement / sous-traitant doit être tranchée par écrit, pas laissée implicite.

Le deuxième est la localisation des données et les transferts. Un fonds anglo-saxon ne s’inquiète pas d’un hébergement américain ; un acquéreur industriel européen ou un client public, si. Ce qui est examiné, c’est la cohérence : votre politique de confidentialité annonce-t-elle les transferts que vous opérez effectivement, et avec quel mécanisme ?

Le troisième est l’historique des incidents. Une violation notifiée, documentée et clôturée est un signal de maturité. Une violation non notifiée découverte en due diligence est un passif : elle expose l’acquéreur à une action postérieure, et se traduit par une clause de garantie spécifique ou une retenue sur prix.

Le quatrième est la conformité de l’acquisition d’utilisateurs. C’est le point aveugle des startups en croissance : bases achetées, scraping LinkedIn, prospection sortante sans base légale documentée, cookies déposés avant consentement. Ce ne sont pas des détails juridiques — ce sont des questions sur la légalité du canal d’acquisition qui produit la courbe de croissance présentée aux investisseurs. Voir nos règles applicables au marketing direct et à la prospection et au bandeau cookies.

Ce qui compte moins qu’on ne le croit : la certification ISO 27001 (utile commercialement, hors sujet en due diligence RGPD), l’existence d’un DPO quand il n’est pas obligatoire, et le volume documentaire. Vingt pages exactes valent mieux que deux cents pages génériques.

Ce que la CNIL reproche aux entreprises jeunes

Les manquements relevés lors des contrôles portant sur des sociétés de moins de cinq ans se concentrent sur cinq points, et ils ne sont pas ceux que les fondateurs anticipent.

La conservation. C’est le motif dominant, et celui de la sanction Spartoo. La culture produit pousse à tout garder ; l’article 5 §1 e) impose une durée justifiée par la finalité. Les comptes inactifs, les CV de candidats non retenus, les logs applicatifs et les tickets de support sont les quatre gisements où la CNIL trouve systématiquement des données trop anciennes. Fixez les durées dans le registre, puis vérifiez qu’un job de purge existe réellement : la durée de conservation doit être une règle exécutée, pas une intention.

La minimisation. Collecter « au cas où » est un réflexe de croissance. Le formulaire d’inscription qui demande la date de naissance sans finalité, le champ « genre » dans un CRM B2B, la géolocalisation continue quand un relevé par trajet suffisait — c’est exactement ce que la CNIL a reproché à Cityscoot. Le principe de minimisation des données se vérifie champ par champ.

Les droits. Absence de canal identifié, délais dépassés, réponses partielles. Une plainte pour non-réponse à une demande d’accès est le déclencheur le plus fréquent d’un contrôle chez une petite structure.

L’information. Politique de confidentialité recopiée d’un concurrent, mentionnant des traitements inexistants et omettant les vôtres. Le décalage entre le texte publié et la réalité technique est immédiatement visible pour un contrôleur qui inspecte le code de la page.

Les cookies et traceurs. Dépôt avant consentement, refus plus difficile que l’acceptation, finalités décrites en termes vagues. Les contrôles cookies sont en partie automatisés du côté de la CNIL, ce qui les rend peu coûteux à mener et donc fréquents.

Aucun de ces cinq points ne demande un budget significatif. Ils demandent une décision et un propriétaire interne, ce qui est précisément ce qui manque dans une organisation en hypercroissance. C’est aussi pourquoi la mise en œuvre du privacy by design de l’article 25 au moment de la conception coûte structurellement moins cher que la reprise ultérieure.

7. Quand désigner un DPO ?

DPO obligatoire (RGPD art. 37) si :

• Autorité publique
• Suivi régulier à grande échelle
• Traitement à grande échelle de données sensibles (art. 9, 10)

Pour la majorité des startups B2B SaaS de moins de 50 salariés : non obligatoire mais recommandé fortement dès Series A.

Options :

• DPO interne : COO/Legal Lead avec formation (1-2 jours)
• DPO externe mutualisé : 500-2000 €/mois (cabinets DPO, avocats spécialisés)
• DPO freelance : 1500-4000 €/mois selon mission

8. Stack outils français pour startup

Privilégier souverain quand fonctionnellement équivalent.

9. Sous-traitants : le réflexe DPA

Avant de mettre en production tout outil tiers :

1. DPA (Data Processing Agreement) signé ou accepté (clic + archive)
2. Vérifier localisation des données
3. Vérifier garanties transferts hors UE (DPF, CCT)
4. Vérifier certifications (SOC 2, ISO 27001, HDS si santé)
5. Inscrire dans le registre des sous-traitants

Stripe, AWS, Mailchimp, Hubspot, Slack, Google Workspace : tous proposent un DPA standard à signer/accepter.

10. Cookies : conformité 2026

Bandeau CNIL-conforme :

• Refuser aussi simple qu’accepter (boutons côte à côte)
• Pas de cookies déposés avant consentement
• Pas de murs cookies forcés
• Information détaillée des finalités
• Retrait du consentement à tout moment

Solutions : Axeptio (FR), Didomi (FR), Tarteaucitron (open source FR), Cookiebot (DK).

Sanctions CNIL cookies 2021-2026 : Google 150 M€, Meta 60 M€, Microsoft 60 M€, Yahoo 10 M€, Yves Rocher 800 K€.

11. Sanctions startup notables

12. Erreurs fréquentes startup

• Copier-coller CGU d’un concurrent sans audit (mention vide)
• Ne pas signer DPA avec sous-traitants (responsabilité directe)
• Stocker données hors UE par défaut (AWS US, Heroku EU vs US)
• Trop conserver (« on garde tout au cas où »)
• Ne pas former l’équipe (responsable de violation involontaire)
• Ignorer les demandes d’exercice de droits (sanction CNIL quasi automatique)
• Surveillance excessive des employés (RGPD + Code travail)

13. Outillage RGPD pour startup

Outil simple suffit en phase MVP ; outil avancé après Series A.

FAQ

Une startup en seed doit-elle être RGPD-conforme ?

Oui dès le 1er utilisateur traité. Mais la conformité est proportionnée au risque : un MVP B2B SaaS avec 10 clients ne nécessite pas le même investissement qu’une fintech B2C avec 100 000 utilisateurs. Priorités seed : mentions information + cookies + DPA sous-traitants + registre minimal.

Quel budget RGPD pour une startup ?

Seed (0-12 mois) : 5-15 K€ (templates, conseils ponctuels). Série A (12-24 mois) : 20-50 K€ (DPO part-time, PIA, audit). Série B+ : 50-200 K€/an (DPO temps plein, outils, audits, certifications). Coût d’un défaut de conformité (sanction + réputation + impact deal) dépasse 10 fois ces montants.

Faut-il un DPO en startup ?

Pas avant 20-30 salariés ou traitement sensible. Pour la majorité des startups : DPO mutualisé externe (500-2000 €/mois) est suffisant. Dès Series A, certains VC l’exigent. Pour startups santé/fintech/IA : DPO dès le démarrage.

Comment gérer les transferts USA depuis 2023 ?

Data Privacy Framework (DPF) en vigueur depuis juillet 2023 : vérifier que le sous-traitant US est certifié DPF (dataprivacyframework.gov). Sinon : Clauses Contractuelles Types (CCT) + mesures supplémentaires (chiffrement, pseudonymisation). À défaut : alternative UE.

Que faire en cas de violation de données dans une startup ?

(1) 72h pour notifier CNIL via téléservice, (2) Documenter (timeline, données, mesures), (3) Notifier personnes concernées si risque élevé, (4) Inscrire dans registre violations, (5) REX et plan d’actions. Avocat spécialisé RGPD recommandé (1-5 K€). Une violation bien gérée n’aboutit pas systématiquement à sanction.