Devis de mise en conformité RGPD
ce qui est inclus, les délais, le volume de jours

Vous cherchez un montant. Cette page vous donne autre chose : la mesure du travail. Un devis de mise en conformité ne s'écrit pas en lots à la carte — un registre ici, une politique de confidentialité là — mais en volume de jours couvrant une séquence imposée : audit, rapport global et plan d'action priorisé, puis rédaction documentaire. Chaque phase dimensionne la suivante. Tant que l'inventaire des traitements n'est pas posé, personne ne peut annoncer sérieusement le nombre de jours de la mise en œuvre.

Le RGPD fixe les livrables, jamais le prix : registre des activités de traitement (art. 30), mesures de sécurité (art. 32), analyse d'impact lorsque le traitement est susceptible d'engendrer un risque élevé (art. 35), encadrement contractuel des sous-traitants (art. 28). Ce sont ces obligations qui composent le périmètre d'une mission de mise en conformité RGPD telle que SILEXO la conduit, et rien d'autre.

Vous trouverez ici ce qu'un cabinet montre rarement : les onze informations exigées pour qualifier une demande, les repères de durée mesurés par unité de travail, les délais contractuels qui pèsent sur votre organisation autant que sur le prestataire, et la liste de ce qu'un devis ne couvre jamais.

Ce que chiffre un devis de mise en conformité RGPD : un volume de jours, pas des lots à la carte

Un devis de mise en conformité chiffre un volume de jours pour une séquence complète, dont aucune étape ne s'achète isolément.

Une mission de mise en conformité se déroule en huit temps :

1. Échange initial : généralement en visio, pour qualifier l'organisme et estimer le crédit-jours.
2. Devis et contrat : le devis est valable un mois, retouché si besoin, puis contrat de mission ponctuelle et devis définitif à signer.
3. Atelier de démarrage : environ 1 h 30 avec les responsables de service — méthode, cadre, première sensibilisation.
4. Ateliers d'inventaire :1 à 2 h par chef de service si l'organisme part de zéro, regroupés sur une même journée quand c'est possible.
5. Registre des traitements : construction des fiches et analyse des besoins d'analyse d'impact.
6. Audits dédiés : sites web, applications et logiciels, sécurité des données — chacun avec son rapport.
7. Rapport d'audit global : niveau de conformité et plan d'action priorisé, présentés en atelier de restitution.
8. Mise en œuvre : procédures, guides, notice RGPD, charte informatique, propositions de politiques.

Pourquoi cette page publie la mesure du travail plutôt qu'une fourchette budgétaire

Une fourchette affichée hors périmètre n'engage personne et vous induit en erreur : deux organisations de même effectif peuvent différer d'un facteur important selon leur existant documentaire. Les lignes directrices WP243 sur les délégués à la protection des données, endossées par le CEPD, posent le principe : les ressources doivent être proportionnées à la complexité et à la sensibilité des traitements. Le raisonnement en crédit-jours applique ce principe. Voici les variables que le cabinet mesure avant de chiffrer.

Ce qu'un devis de mission ponctuelle ne couvre jamais

Six exclusions :

• L'hébergement des données : SILEXO n'héberge aucune donnée ni document de ses clients. Le cabinet peut orienter vers des partenaires techniques régionaux comme Trinaps ou Extendo, dont les certifications ISO 27001 et HDS leur sont propres.
• Les travaux techniques correctifs : développement, chiffrement, tests d'intrusion, migration d'outils restent à la charge de vos prestataires informatiques.
• La désignation d'un DPO : une mission ponctuelle ne vaut pas désignation auprès de la CNIL au sens de l'article 37 du RGPD.
• Les déplacements systématiques : la prestation est réalisée majoritairement à distance ; les déplacements portent sur les jalons, sont inscrits au devis, et leur temps de trajet est imputé au crédit-jours, frais au réel sur justificatifs.
• L'intervention immédiate : aucune promesse d'intervention le jour même. La réactivité s'organise dans le cadre des délais réciproques prévus au contrat.
• La garantie de résultat : le cabinet est tenu à une obligation de moyens ; la responsabilité de traitement reste la vôtre. Un devis garantit une méthode et des livrables, pas l'issue d'un contrôle. La responsabilité civile professionnelle est assurée à hauteur de 8 M€.

Le dépassement de périmètre suit la même logique : devis complémentaire, ou arrêt des travaux jusqu'au devis suivant. Aucun frais de mise en place n'est facturé ; les licences logicielles sont refacturées séparément.

L'audit RGPD ouvre la mission : c'est lui qui détermine le volume des phases suivantes

L'audit RGPD préalable au chiffrage conditionne tout : sans inventaire des traitements, le volume de jours de la mise en œuvre reste indéterminé.

Ateliers d'inventaire, registre des traitements et analyse des besoins d'AIPD

L'inventaire se fait en entretien, service par service, à raison de une à deux heures par chef de service. Rien ne remplace cet exercice : un questionnaire déclaratif produit un registre creux, qui ne résiste pas à un contrôle. Chaque fiche reprend le contenu minimal du modèle de registre publié par la CNIL : finalités, catégories de personnes et de données, destinataires, transferts hors UE, durées de conservation, mesures de sécurité.

Le registre construit, l'analyse des besoins d'analyse d'impact devient mécanique : on confronte chaque traitement aux deux listes de la CNIL — celle des traitements pour lesquels une AIPD est requise (délibération 2018-327) et celle des traitements qui en sont dispensés (délibération 2019-118) — données de santé, biométrie pour le contrôle d'accès, profilage d'un côté ; gestion de paie ou de fournisseurs de l'autre. Trois audits dédiés s'ajoutent selon votre périmètre : sites web, applications et logiciels, sécurité des données. Ce dernier se cale sur le guide de la sécurité des données personnelles de la CNIL et sur le guide d'hygiène informatique de l'ANSSI, pas sur un référentiel maison.

Rapport d'audit global et plan d'action priorisé : le document qui cadre la suite

Le rapport d'audit global énonce un niveau de conformité et un plan d'action priorisé, présentés en atelier de restitution. C'est la pièce qui transforme un constat en calendrier : elle classe les écarts par niveau de risque et fixe l'ordre des chantiers. C'est aussi elle qui permet de chiffrer précisément la phase de mise en œuvre — et, le cas échéant, d'établir un devis complémentaire.

Cette documentation a une seconde utilité, moins évoquée. Les lignes directrices 04/2022 du CEPD sur le calcul des amendes administratives retiennent parmi les facteurs atténuants la coopération et les mesures correctrices déjà engagées. Un plan d'action daté, un registre tenu et des procédures écrites constituent exactement ce type d'éléments. Face aux plafonds de l'article 83 du RGPD — 10 M€ ou 2 % du chiffre d'affaires annuel mondial pour les manquements documentaires et de sécurité, 20 M€ ou 4 % pour les manquements aux principes et aux droits des personnes — la traçabilité de la démarche pèse. L'action coordonnée du CEPD consacrée en 2023 à la position des DPO, dont le rapport a été publié en janvier 2024, pointe d'ailleurs le sous-dimensionnement des moyens comme difficulté récurrente identifiée par les autorités elles-mêmes.

Ce que produit la phase de mise en œuvre : procédures, notice RGPD, politiques, et les repères de durée par unité de travail

La mise en œuvre produit des livrables identifiables dont la durée se mesure par unité de travail, jamais au forfait global.

• Procédures et guides : exercice des droits, violation de données, contrôle CNIL, sous-traitance, transferts, information des personnes.
• Notice RGPD : le mode d'emploi interne de votre conformité, complété par la charte informatique.
• Propositions issues des audits : politique de confidentialité, politique cookies, mentions légales.

Repères de méthode du cabinet, à jour au 10 septembre 2026 : des repères de dimensionnement, pas des moyennes observées.

Aucune durée de projet complet n'est publiée : elle n'est pas mesurée, et l'annoncer reviendrait à inventer.

Les informations à réunir pour obtenir un chiffrage

Dix informations sont demandées avant toute estimation : sans elles, un chiffrage n'est qu'une supposition.

Les dix points de qualification demandés avant toute estimation

1. Le nombre de personnes, salariés ou agents.
2. Le nombre estimatif de personnes à rencontrer pour couvrir l'ensemble des activités de traitement.
3. Le nombre de sites web.
4. La présence et le nombre de logiciels ou d'applications développés en propre.
5. Le périmètre d'activité : domaine, filiales françaises ou étrangères, rayonnement et volume de clientèle.
6. Le type d'activité.
7. L'utilisation, cadrée ou non, de l'intelligence artificielle — un agent conversationnel déjà en production constitue un lot identifié, avec ses obligations propres de transparence et de base légale, détaillées dans notre publication consacrée à la conformité RGPD des chatbots.
8. Le niveau actuel de conformité et les travaux déjà menés : registre existant, procédures, niveau de formation des équipes.
9. Le type de données manipulées (classiques ou sensibles), leur quantité, leur place dans l'activité.
10. La disponibilité des équipes pour avancer.

Le point 8 est celui qui pèse le plus. Un existant se reprend, il ne se reconstruit pas : un registre commencé ailleurs, même imparfait, se rationalise. Depuis 2020, plus de 150 organismes ont été accompagnés jusqu'à la conformité par SILEXO, selon cette méthode.

Disponibilité des équipes et délais contractuels : ce qui pèse sur le crédit-jours

Le contrat de mission fixe des délais réciproques. Côté client : 10 jours ouvrés pour transmettre une pièce ou valider un livrable, 5 jours ouvrés pour répondre à une sollicitation. Le contrat prévoit des conséquences sur le crédit-jours lorsque ces délais ne sont pas tenus. Ce n'est pas une clause d'intimidation : c'est la traduction d'une réalité de terrain, un calendrier ne tenant que si les interlocuteurs métier sont disponibles et si les contrats de sous-traitance sont accessibles en temps utile.

Avant l'échange de cadrage, réunissez : la liste de vos services et de leurs responsables, l'inventaire de vos outils et sites web, vos contrats de sous-traitance et leurs annexes de protection des données (art. 28), l'état de votre documentation existante, et le nom du référent unique qui pilotera la mission de votre côté. Ces cinq éléments suffisent à qualifier une demande et à produire un devis. Les délais légaux, eux, ne se négocient pas : 72 heures pour notifier une violation à la CNIL (art. 33), un mois pour répondre à une demande d'exercice de droits, prorogeable de deux mois en cas de complexité (art. 12 §3). Les procédures livrées en fin de mission ont précisément pour finalité de vous permettre de les tenir.

Devis projet ponctuel ou mandat de DPO externe : ce que couvre chacun

Le devis ponctuel borne un périmètre et un volume de jours fermé ; le mandat de DPO externe couvre une fonction continue et une désignation auprès de la CNIL.

La première année d'un mandat de DPO externe suit la même séquence qu'une mise en conformité : on ne pilote pas ce qu'on n'a pas cartographié. Environ un mandat sur trois embarque un volet de mise en conformité, et environ une mission sur deux confiée au cabinet est ponctuelle — l'audit RGPD et la mise en conformité en sont les deux formes les plus fréquentes. L'article 37 du RGPD rend la désignation obligatoire dans trois cas : organisme public, suivi régulier et systématique à grande échelle, traitement à grande échelle de données sensibles ou d'infractions. Hors de ces cas, l'arbitrage est structurel avant d'être budgétaire.

Questions fréquentes sur le chiffrage d'une mission

Les sept questions posées le plus souvent avant la signature d'un devis de mise en conformité.