Outils du DPO : ressources gratuites et logiciels GRC en 2026

Choisir ses outils du DPO conditionne directement la qualité du pilotage de la conformité au Règlement général sur la protection des données (RGPD). Le Délégué à la protection des données (DPO, Data Protection Officer) doit tenir un registre, conduire des analyses d’impact, gérer les demandes des personnes concernées, suivre des incidents et coordonner des sous-traitants. Tout cela ne tient pas longtemps dans un fichier Word et un dossier partagé. La Commission nationale de l’informatique et des libertés (CNIL) met à disposition plusieurs ressources gratuites, et le marché propose une gamme de logiciels de gouvernance, risque et conformité (GRC) qui s’étend du forfait à 1 500 euros par an au déploiement à 15 000 euros et plus.

Les outils gratuits de la CNIL

La CNIL maintient une boîte à outils libre et téléchargeable qui couvre une bonne partie du quotidien d’un DPO en démarrage. Aucune raison de s’en priver, même quand un logiciel payant est envisagé en parallèle.

Le premier outil est le logiciel PIA, dédié aux analyses d’impact relatives à la protection des données (AIPD ou DPIA en anglais). Disponible en version desktop, en version web et en version open source sur GitHub, PIA guide l’utilisateur à travers les quatre phases d’une analyse selon la méthodologie CNIL : contexte, principes fondamentaux, risques, validation. Les rapports générés sont structurés et exploitables tels quels en comité. Pour aller plus loin sur la méthode et savoir quand l’AIPD devient obligatoire, le guide complet sur l’analyse d’impact RGPD détaille la démarche.

Le deuxième outil est le modèle de registre des activités de traitement publié par la CNIL au format tableur. Ce fichier sert de base solide pour les organisations qui débutent : il reprend les rubriques de l’article 30 du RGPD, propose des onglets pour les responsables de traitement et les sous-traitants, et inclut des exemples concrets. C’est un excellent point de départ avant un éventuel passage à un logiciel dédié. Notre article sur la tenue d’un registre des traitements RGPD avec modèle décrit en détail la structure attendue.

Le troisième outil est le MOOC Atelier RGPD, une formation en ligne gratuite et certifiante. Quatre modules couvrent les fondamentaux du règlement, les principes, les responsabilités et le rôle du DPO. Beaucoup d’organisations utilisent ce MOOC comme socle de sensibilisation pour leurs collaborateurs.

À ces trois ressources phares s’ajoutent les fiches pratiques sectorielles, les modèles de mentions d’information, les modèles de clauses contractuelles types et les outils de notification de violation de données accessibles depuis le portail professionnel de la CNIL. Pour une PME ou une association, ce socle gratuit suffit souvent à couvrir les six premiers mois de mise en conformité.

Les logiciels GRC payants : panorama du marché

Quand l’organisation grandit, que les traitements se multiplient ou que les sous-traitants se comptent par dizaines, le tableur trouve ses limites. Versions multiples, fichiers oubliés, absence de traçabilité, difficulté à produire un reporting consolidé : autant de signaux qu’il est temps de passer à un logiciel dédié. Le marché français et européen compte aujourd’hui une dizaine de solutions matures.

DataLegalDrive est l’un des acteurs français de référence. La plateforme couvre l’ensemble du cycle de conformité : registre, AIPD, gestion des droits des personnes, suivi des sous-traitants, formation, gestion des incidents. L’éditeur insiste sur la simplicité d’usage et sur l’accompagnement par des juristes spécialisés.

Witik propose une approche modulaire orientée GRC élargie, qui couvre la protection des données mais aussi la gestion des risques fournisseurs et la conformité réglementaire au sens large. C’est un choix pertinent pour les directions conformité qui cherchent à mutualiser plusieurs domaines.

Dastra est un éditeur français en croissance rapide, particulièrement apprécié pour son ergonomie et sa capacité à structurer rapidement un registre. Le logiciel intègre nativement un module de cartographie des traitements et un suivi visuel des sous-traitants.

OneTrust est le leader mondial du marché, basé aux États-Unis, avec une offre très complète qui couvre la confidentialité, la sécurité, l’éthique, les programmes ESG et l’IA. Sa puissance fonctionnelle se paie : c’est typiquement la solution choisie par les groupes internationaux qui ont besoin de couvrir plusieurs juridictions.

Mind7 Compliance s’adresse plutôt aux ETI et aux grands comptes français, avec une approche méthodologique forte et un accompagnement métier appuyé.

GDPR Toolbox se positionne sur le segment d’entrée de gamme, à destination des PME et des cabinets de DPO externalisés qui gèrent plusieurs clients depuis une même plateforme.

D’autres acteurs méritent d’être cités selon les contextes : Smart Global Privacy, Leto, Trustpair pour la partie sous-traitants, Data Privacy Manager, ou encore les offres conformité des éditeurs IT généralistes comme ServiceNow et Drata.

Critères de choix selon la taille de l’organisation et le budget

Aucun logiciel n’est universel. Le bon choix dépend de cinq variables : la taille de l’organisation, le nombre de traitements, le périmètre géographique, la maturité conformité existante, et le budget annuel disponible.

Pour une TPE ou une PME de moins de 50 salariés avec un seul site et une trentaine de traitements, le couple modèle CNIL plus PIA reste défendable la première année. À partir de la deuxième année, un logiciel d’entrée de gamme entre 1 500 et 4 000 euros par an apporte une vraie valeur en automatisant la mise à jour du registre et le suivi des sous-traitants.

Pour une ETI de 250 à 5 000 salariés, le forfait annuel grimpe à 5 000-12 000 euros selon les modules retenus. Les fonctionnalités les plus utiles à ce stade sont la gestion centralisée du registre multi-entités, la conduite des AIPD avec workflow de validation, le portail de gestion des droits des personnes concernées et le suivi contractuel des sous-traitants.

Pour un groupe coté ou un grand établissement public, le ticket d’entrée se situe au-delà de 15 000 euros par an et peut atteindre plusieurs centaines de milliers d’euros pour des déploiements OneTrust internationaux. À ce niveau, les critères basculent : capacités multilingues, hébergement souverain ou non, intégrations natives avec les systèmes d’information existants, conformité aux normes ISO 27001 et ISO 27701, audits SOC 2.

Fonctionnalités à attendre d’un logiciel dédié

Six fonctions structurent l’évaluation d’un logiciel de conformité RGPD. La première est le registre des activités de traitement, avec gestion des versions, traçabilité des modifications et export conforme à l’article 30. La deuxième est le module AIPD, idéalement compatible avec la méthodologie CNIL et capable de produire un rapport prêt pour la consultation préalable. La troisième est la gestion des droits des personnes : portail public, qualification automatique des demandes, suivi des délais, traçabilité des réponses. La quatrième est la gestion des incidents et violations de données, avec workflow d’alerte, qualification du risque et préparation de la notification à la CNIL dans les 72 heures.

La cinquième fonction est la gestion des sous-traitants, qui inclut la cartographie, le stockage des contrats, le suivi des audits et la collecte des engagements de conformité. La sixième est la formation et la sensibilisation, soit nativement, soit par intégration avec une plateforme LMS (Learning Management System).

À ces six fonctions de base s’ajoutent des capacités avancées appréciées dans les grandes structures : tableau de bord de conformité avec indicateurs de pilotage, gestion des cookies et bannières, gestion des transferts hors Union européenne avec analyse d’adéquation, et plus récemment, modules dédiés à la gouvernance des modèles d’intelligence artificielle au titre de l’AI Act.

Tableurs contre logiciels dédiés : quand basculer

La question revient régulièrement dans les missions de conseil. Trois signaux indiquent qu’un tableur ne suffit plus.

Premier signal : le registre dépasse 50 traitements et plusieurs personnes contribuent à sa mise à jour. La gestion des versions devient ingérable et le risque d’erreur explose.

Deuxième signal : l’organisation reçoit régulièrement des demandes d’exercice des droits, plus d’une par mois en moyenne. Sans portail centralisé, la traçabilité des délais et des réponses devient un point faible auditable par la CNIL.

Troisième signal : un contrôle CNIL se profile ou un audit client exigeant approche. Les logiciels dédiés produisent des exports horodatés et structurés que les tableurs ne savent pas générer proprement.

Avant de basculer, il reste utile d’auditer la qualité du registre existant : un logiciel mal alimenté ne corrige pas un défaut de méthode. Beaucoup d’organisations passent par une phase de remise à plat de leur cartographie avant la migration.

Articulation avec les outils SI existants

Le logiciel de conformité ne vit pas seul. Son utilité dépend largement de sa capacité à dialoguer avec le système d’information de l’organisation. Trois familles d’outils sont concernées en priorité.

Le CRM (Customer Relationship Management) est la principale source de données personnelles dans la plupart des entreprises B2B et B2C. Une intégration permet d’identifier les traitements automatiquement, de cartographier les flux et de répondre plus vite aux demandes d’accès. Salesforce, HubSpot, Pipedrive et leurs équivalents disposent généralement de connecteurs vers les principaux logiciels GRC.

Le SIRH (Système d’information des ressources humaines) couvre les données salariés, qui appellent une vigilance particulière en raison du contexte de subordination. L’articulation avec les outils du DPO permet de consolider les durées de conservation, d’assurer la cohérence avec les politiques RH et de préparer les contrôles de l’inspection du travail.

L’ITSM (IT Service Management), typiquement ServiceNow, Jira Service Management ou Freshservice, gère les incidents informatiques. Une intégration ITSM-GRC permet de qualifier rapidement les incidents qui constituent une violation de données au sens du RGPD et d’enclencher la procédure de notification dans les délais réglementaires.

Outils complémentaires : CMP et gestion des cookies

Au-delà du logiciel central, un autre outil est incontournable pour toute organisation qui exploite un site web : la plateforme de gestion du consentement (CMP, Consent Management Platform). Trois acteurs dominent le marché européen.

Axeptio propose une CMP française réputée pour son design soigné et sa compatibilité avec le référentiel CNIL. Le tarif démarre autour de 25 euros par mois pour les sites à faible trafic et grimpe selon le volume.

Didomi est l’autre éditeur français de référence, plus orienté ETI et grands comptes, avec des modules avancés de gestion des préférences utilisateurs et de tracking serveur.

Cookiebot est un éditeur danois également très implanté en France, apprécié pour son scanner automatique de cookies et sa simplicité de mise en œuvre. Sa filiation avec Usercentrics depuis 2021 a élargi son catalogue.

Le choix d’une CMP doit tenir compte du référentiel CNIL relatif aux cookies, de la compatibilité avec les outils analytiques utilisés et de la capacité de l’outil à journaliser les consentements pendant une durée suffisante en cas de contentieux. C’est par cette articulation entre logiciel central, CMP et écosystème SI que un Délégué à la protection des données aguerri construit un dispositif de conformité tenable dans la durée.

Le bon outil n’est jamais celui qui coche le plus de cases sur une grille. C’est celui que les équipes utilisent réellement, qui s’intègre sans friction dans le quotidien et qui produit des éléments de preuve exploitables le jour d’un contrôle. Tester deux ou trois solutions sur un périmètre restreint avant de généraliser reste la meilleure manière d’éviter un investissement déçu.