RGPD 2025 : arrêtez de cocher des cases

#22 Passez à une conformité utile, vivante et alignée avec vos enjeux

👋 Bonjour et bienvenue dans cette nouvelle édition de notre newsletter !

Et si le RGPD devenait (enfin) utile ?

On a tous coché des cases RGPD pour faire bonne figure. Mais en 2025, ça ne suffit plus. Et si, cette fois, on s’en servait vraiment pour mieux piloter nos outils, nos données… et nos risques ?

👉 C’est ce que je vous propose aujourd’hui : une lecture plus stratégique et plus concrète de ce que le RGPD 2025 implique vraiment — et surtout, comment ne pas passer à côté des vrais enjeux.

Au programme 👇

✅ Le RGPD 2025 : vers une conformité active (et prouvable)
🧭 Le RGPD comme outil de gouvernance numérique
👁️‍🗨️ Les angles morts à connaître
✨ IA, RGPD et AI Act : le nouveau trio à maîtriser
🛠️ Et maintenant ? On fait quoi, concrètement ?

📰 Brèves d’actus numériques
🔧 L’outil à la une : Dastra
⏭️ Ressources et bonus (avec une feuille de route RGPD)

Restez informé(e) : abonnez-vous à la newsletter !

Le RGPD 2025 : vers une conformité active (et prouvable)

La nouveauté majeure, c’est ça :
Le RGPD n’est plus un document qu’on range, c’est un système qu’on pilote.

La CNIL (et ses homologues européens) veulent maintenant des preuves concrètes :

• Registres mis à jour

• Journal des traitements

• Traces de consentement

• Plan d’action suivi dans le temps

On passe d’une logique déclarative à une logique de traçabilité.

🛠️ Une TPE qui utilise un CRM, collecte des emails sur son site et gère des salariés devra désormais montrer comment elle pilote tout ça, et pas simplement “avoir rédigé une politique de confidentialité”.

🎯 L’opportunité ? C’est une occasion en or pour :

• faire le tri dans ses outils numériques,

• repenser la circulation des données,

• documenter ce qui est déjà fait (et souvent bien fait, mais mal formalisé).

Le RGPD comme outil de gouvernance numérique

Je vais vous dire un truc : dans plusieurs missions que j’ai accompagnées, ce n’est pas le RGPD qui posait problème. C’était le manque de clarté sur qui fait quoi, avec quelles données, et dans quel outil.

📌 Une PME gérait ses commandes via trois outils, doublonnait les fichiers clients et stockait les données dans un Drive non sécurisé. C’est le RGPD qui a déclenché la remise en ordre.

🎯 Le RGPD, bien utilisé, devient un révélateur. Il vous force à vous poser les bonnes questions :

• Pourquoi collecte-t-on ces infos ?

• Où sont-elles stockées ?

• Sont-elles vraiment utiles ?

• Qui y accède ?

• Que se passe-t-il si on perd tout demain ?

C’est le contrôle technique de votre système d’information.

💡 Utilisez un outil comme Elemate pour vous aider à cartographier ses processus, mettre en lumière les endroits où la donnée est "à risque". Un module conformité permet de relier dynamiquement une liste d'exigences réglementaires à un ensemble de preuves.

Les angles morts à connaître

Et c’est là que ça se corse. Parce que dans le paysage réel des TPE/PME, il y a des usages dont personne ne parle mais qui posent problème :

Attention à la collecte des données

Il faut toujours avoir une base légale pour collecter et utiliser les données personnelles des prospects, clients et autres. Par exemple, pour envoyer des newsletters, tu dois obtenir leur consentement.

Liste de base légale : consentement, envoi de devis, exécution d'un contrat, mission d'intérêt public, obligation légale, intérêt légitime (à justifier).

Les outils hébergés hors UE

Des outils comme Airtable, Notion, Zapier, Trello… sont souvent hébergés hors UE. Ils exposent des données sensibles sans réelle gouvernance.

• Le traitement automatique de données personnelles via des automatisations non documentées est soumis au RGPD.

Les formulaires “gratuits”

• Google Forms ou Typeform collectent et stockent des données hors UE si vous n’avez pas pris les options “pro” ou “entreprise”.

• Aucune DPA signée ? (Data Processing Agreement - Accord de traitement des données) : vous êtes techniquement hors-la-loi.

Le DPO “poudre aux yeux”

• Certaines entreprises nomment un DPO “parce qu’il faut en avoir un”… mais sans formation, sans rôle défini, sans moyens.

• Un DPO fictif n’est pas une protection. C’est une fragilité en cas de contrôle.

IA, RGPD et AI Act : le nouveau trio à maîtriser

En 2025, l'intelligence artificielle s'invite dans le quotidien des TPE/PME, que ce soit via des outils de recrutement, des assistants clients ou des systèmes d'analyse prédictive. Mais cette intégration n'est pas sans conséquences réglementaires.

Les principaux défis liés à l'IA et au RGPD

• Transparence des traitements automatisés : Le RGPD exige que les décisions prises par des systèmes automatisés soient explicables. Cela implique de comprendre et de pouvoir expliquer comment une IA parvient à une décision, ce qui est souvent complexe avec les modèles actuels.

• Consentement éclairé : L'utilisation de l'IA nécessite un consentement spécifique des personnes concernées, surtout si des données sensibles sont traitées. Il est crucial de s'assurer que ce consentement est libre, spécifique, éclairé et univoque.

• Droit à l'explication : Les individus ont le droit de savoir si une décision les concernant a été prise par une IA et peuvent demander une intervention humaine, exprimer leur point de vue et contester la décision.

• Sécurité des données : Les systèmes d'IA manipulent souvent de grandes quantités de données. Il est essentiel de garantir leur sécurité pour éviter les violations de données.

L'AI Act : un cadre réglementaire complémentaire

L'AI Act, entré en vigueur en août 2024 et applicable progressivement jusqu'en 2027, introduit une classification des systèmes d'IA en fonction de leur niveau de risque :

• Risque inacceptable : interdiction pure et simple (ex. : systèmes de notation sociale).

• Risque élevé : obligations strictes en matière de transparence, de documentation et de surveillance humaine.

• Risque limité : exigences minimales, principalement en matière de transparence.

• Risque minimal : pas d'obligations spécifiques.

Pour les TPE/PME, cela signifie qu'il est impératif :

• d’identifier les systèmes d'IA utilisés et leur niveau de risque.

• de mettre en place les mesures nécessaires pour se conformer aux exigences applicables.

• de documenter toutes les démarches entreprises pour démontrer la conformité.

Une cohabitation RGPD et AI Act à anticiper

Le RGPD et l'AI Act poursuivent des objectifs complémentaires : protéger les droits fondamentaux des individus tout en encadrant le développement et l'utilisation de l'IA. Cependant, leur cohabitation peut engendrer des complexités, notamment en matière de documentation et de conformité. Il est donc essentiel de :

• Former leurs équipes aux enjeux de l'IA et de la protection des données.

• Mettre à jour régulièrement leurs politiques de confidentialité et de traitement des données.

• Consulter des experts pour s'assurer de la conformité de leurs systèmes d'IA.

Le vrai risque : croire qu’on est trop petit pour être concerné

Je l’entends souvent : “On est une boîte de 7 personnes, on ne risque rien.”
C’est faux. Ce que regarde la CNIL, ce n’est pas votre taille.
C’est votre capacité à démontrer que vous prenez le sujet au sérieux.

Même un cabinet libéral ou une petite agence web peut faire l’objet d’un signalement ou d’un contrôle.

Et maintenant ? On fait quoi, concrètement ?

🎯 Pour moi, la bonne approche tient en 4 mots : simple, progressif, documenté, vivant.

Voici une mini-feuille de route en 5 étapes réalistes :

1. Lister vos outils et les données qui sont manipulées

2. Créer un registre simple

3. Définir un plan d’action : 1 tâche/mois, c’est déjà un bon début

4. Former votre équipe : 1 heure de sensibilisation vaut mieux qu’un PDF ignoré

5. Mettre à jour régulièrement : une fois par trimestre, en 30 minutes

💡 Utilisez un outil comme Dastra peut vous aider à structurer ça sans être juriste.

En résumé

• Le RGPD 2025 n’est pas une révolution, mais une exigence de maturité.

• Il peut devenir un vrai outil de gouvernance et de structuration.

• Les TPE/PME ont tout à gagner à l’aborder avec méthode, lucidité et pragmatisme.

• Attention aux zones grises (outils hébergés hors UE, faux DPO, …) qui fragilisent sans qu’on s’en rende compte.

Conclusion

A mon avis le RGPD devrait être un allié stratégique des petites structures.
Pas une injonction culpabilisante ou une case à cocher.

Il est possible d’utiliser ce cadre pour renforcer la maîtrise de vos outils et faire de votre structure une entreprise pionnière d’un numérique responsable 😉

---

Brèves d’actus numériques

• L’IA au cœur des préoccupations réglementaires

  Le Sommet pour l'action sur l'intelligence artificielle, coorganisé par la France et l'Inde, a réuni en février 2025 des leaders mondiaux pour discuter d'une IA éthique et durable. Une déclaration commune a été signée par 61 pays, à suivre.

• Le smartphone, roi incontesté du numérique

  Selon le baromètre 2025 du numérique, 94 % des Français utilisent désormais un smartphone, contre 91 % en 2023. Cette progression confirme que le mobile est devenu l’outil principal d’accès aux services numériques, y compris pour les démarches administratives et les achats en ligne.

• Risque de tempête solaire : une menace pour les infrastructures numériques

  Des experts mettent en garde contre une possible tempête solaire d'envergure prévue dès 2025, qui pourrait perturber gravement les réseaux électriques et de communication mondiaux pendant plusieurs jours, voire des semaines - le réchauffement climatique ne perturbe pas que le vivant. Cette menaces est surveillée activement. Une telle crise pourrait coûter jusqu'à 900 millions de dollars par jour à la France, selon l'ONG NetBlocks.

---

L’outil à la une : Dastra

Vous préférez une solution tout en un pour votre conformité ? Dastra propose une plateforme complète pour piloter efficacement vos obligations RGPD.​

Avec Dastra vous disposez des fonctions :

• Registre des traitements : cartographiez vos traitements de données en collaboration avec vos équipes.

• Gestion des droits : automatisez les demandes d'accès, de rectification ou de suppression des données personnelles.​

• Analyses d'impact (PIA) : évaluez les risques liés à vos traitements et documentez vos mesures de protection.​

• Gestion des consentements : intégrez facilement des bannières de consentement conformes sur votre site web.​

• Suivi des incidents : centralisez et documentez les violations de données pour une réaction rapide et conforme.​

Avec une interface intuitive et des fonctionnalités collaboratives, Dastra s'adapte aux besoins des DPO et des équipes de conformité, simplifiant la gestion quotidienne du RGPD.

• 🔍 Découvrir Dastra

---

Ressources et bonus

📂 Téléchargez la feuille de route RGPD, le récapitulatif des obligations,

📰 Les derniers articles : Les vrais tendances de la gestion de projet en 2025, les nouvelles frontières du cloud, le retour en force de l’open source, no-code accélérez votre transformation numérique, …

💬 Rejoignez-moi sur LinkedIn pour échanger et poser vos questions.

📝 Faites connaître vos besoins ! Remplissez ce formulaire ou laissez un commentaire.

🗞️ Abonnez-vous à la newsletter pour recevoir des conseils et des mises à jour

🎬 A vous de jouer !

J’aimerais beaucoup avoir votre avis :

• Un like ❤️, un commentaire ou un partage, ça fait toujours plaisir !

• Restez à jour sur le numérique : abonnez-vous à la newsletter !

👉 Et si cet article vous a été utile, pensez à le partager !

A très bientôt,
Tony