Logiciels RGPD : comparatif des solutions de conformité

Un logiciel RGPD aide une organisation à documenter et à piloter sa conformité au règlement général sur la protection des données : registre des traitements, demandes d’exercice des droits, violations de données, analyses d’impact, suivi des sous-traitants et, pour un site web, recueil du consentement aux cookies. Le marché se partage en deux familles qu’il vaut mieux ne pas confondre : les plateformes de gestion du consentement (CMP), qui pilotent le bandeau cookies d’un site, et les logiciels de pilotage de la conformité, conçus pour le délégué à la protection des données (DPO) ou la personne qui tient le registre et suit les obligations de l’organisation.

Ce comparatif présente les deux familles, rappelle ce que le texte impose réellement, article par article, et récapitule les offres et les prix affichés par les éditeurs (relevés en octobre 2026).

Logiciel RGPD : à quoi sert-il et pourquoi l’utiliser ?

Le RGPD (règlement (UE) 2016/679), signé le 27 avril 2016 et applicable depuis le 25 mai 2018, repose sur un principe de responsabilité : selon son article 5, paragraphe 2, le responsable du traitement doit être « en mesure de démontrer » qu’il respecte les principes de protection des données. Cette démonstration passe par une documentation tenue à jour, et c’est précisément ce que structure un logiciel RGPD.

• Centraliser : le registre, les fiches de traitement, les contrats de sous-traitance et les preuves au même endroit, au lieu de tableurs dispersés entre les services.

• Tracer : chaque demande d’accès, chaque incident et chaque analyse d’impact est daté et accompagné de ses pièces, ce qui facilite la réponse en cas de contrôle.

• Tenir les délais : rappels pour répondre aux demandes des personnes (un mois, prolongeable) et pour notifier une violation à la CNIL (72 heures si possible).

• Faire collaborer : les services métiers décrivent leurs traitements, le DPO ou le référent les valide et suit le plan d’action.

Un tableur peut suffire à une petite structure : la CNIL met d’ailleurs à disposition un modèle de registre gratuit au format ODS, destiné « en particulier » aux petites structures. Le logiciel devient utile lorsque le nombre de traitements, d’entités, de sous-traitants ou de demandes rend le suivi manuel fragile.

Ce que le RGPD impose et ce qu’un logiciel aide à documenter

Le registre des activités de traitement (article 30) et la cartographie

L’article 30 impose à chaque responsable du traitement de tenir un registre des activités de traitement. Pour chaque traitement, il mentionne notamment les finalités, les catégories de personnes et de données concernées, les destinataires, les transferts hors de l’Union européenne, les délais d’effacement prévus et une description générale des mesures de sécurité. Les sous-traitants tiennent eux aussi un registre des traitements qu’ils effectuent pour le compte de leurs clients.

Le texte prévoit une dérogation pour les organisations de moins de 250 employés, mais elle ne joue pas pour les traitements non occasionnels, à risque ou portant sur des données sensibles. La CNIL précise qu’« en pratique, cette dérogation est donc limitée à des cas très particuliers » : la gestion de la paie, des clients ou des fournisseurs doit figurer au registre, quelle que soit la taille de l’entreprise. Les logiciels proposent des modèles de fiches par activité, une cartographie des flux de données et un lien entre chaque traitement et ses sous-traitants.

Les demandes d’exercice des droits des personnes

Les articles 15 à 22 garantissent aux personnes un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi que des garanties face aux décisions automatisées. L’article 12 fixe le délai de réponse : un mois à compter de la réception de la demande, prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne. Les modules dédiés offrent un formulaire ou un portail de dépôt, un circuit de traitement entre services, un décompte du délai et un historique des réponses.

Les violations de données et incidents (articles 33 et 34)

En cas de violation de données personnelles, le responsable du traitement la notifie à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes. Lorsque le risque est élevé, les personnes concernées doivent aussi être informées (article 34). Dans tous les cas, la CNIL demande de documenter l’incident en interne. Un registre des violations intégré au logiciel conserve cette trace et prépare les informations exigées par la notification.

L’analyse d’impact AIPD / PIA (article 35)

Une analyse d’impact relative à la protection des données (AIPD, ou PIA en anglais) est obligatoire avant la mise en œuvre d’un traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’article 35 la requiert en particulier pour le profilage produisant des effets juridiques, le traitement à grande échelle de données sensibles ou la surveillance systématique à grande échelle d’une zone accessible au public ; la CNIL publie en outre la liste des traitements pour lesquels elle est requise ou non. La plupart des logiciels de pilotage intègrent un module d’AIPD, et la CNIL diffuse gratuitement son propre outil, PIA.

Le délégué à la protection des données DPO (article 37)

La désignation d’un DPO est obligatoire dans trois cas : pour les autorités et organismes publics, pour les organismes dont l’activité de base exige un suivi régulier et systématique à grande échelle des personnes, et pour ceux qui traitent à grande échelle des données sensibles ou relatives aux condamnations pénales. En dehors de ces cas, elle reste facultative. La désignation se fait en ligne auprès de la CNIL. Un « logiciel DPO » est simplement un logiciel de pilotage pensé pour le DPO, interne ou externe ; certaines solutions permettent à un DPO externalisé ou à un cabinet de gérer plusieurs organisations clientes depuis un même compte.

Les sous-traitants et l’évaluation des tiers (article 28)

Selon l’article 28, le responsable du traitement ne fait appel qu’à des sous-traitants « qui présentent des garanties suffisantes », et la relation est encadrée par un contrat qui précise notamment l’objet, la durée et la finalité du traitement. Les logiciels de pilotage proposent des questionnaires d’évaluation des fournisseurs, le suivi des contrats et, chez certains éditeurs, une base de sous-traitants déjà documentés. L’éditeur du logiciel RGPD est lui-même un sous-traitant : son contrat mérite la même vérification.

Le consentement aux cookies

Le dépôt de cookies et autres traceurs relève de l’article 5, paragraphe 3, de la directive 2002/58/CE, transposé en droit français par l’article 82 de la loi Informatique et Libertés. Un consentement préalable est requis, sauf pour les traceurs strictement nécessaires au service demandé (panier d’achat, authentification, mémorisation du choix de l’internaute, etc.). La CNIL rappelle que l’utilisateur doit pouvoir accepter ou refuser « avec le même degré de simplicité ». Comme l’article 7 du RGPD impose de pouvoir démontrer le consentement, une CMP conserve aussi la preuve des choix exprimés. Le détail des solutions de bandeau figure dans le comparatif des logiciels de gestion des cookies.

Comparatif des logiciels RGPD

Les logiciels de pilotage de la conformité RGPD

Ces logiciels s’adressent au DPO, au juriste ou au référent chargé de la conformité. Ils couvrent le registre, les demandes de droits, les violations, les analyses d’impact et les sous-traitants, avec des tableaux de bord pour suivre l’avancement.

Dastra

Dastra structure son offre en trois niveaux. Starter réunit un registre de traitement augmenté, des questionnaires privacy by design, un registre des actifs et des acteurs, une cartographie des données, l’audit des tiers et de la veille. Pro ajoute la gestion des demandes d’exercice des droits, des violations de données et des contrats et politiques. Entreprise ajoute notamment l’automatisation des preuves, la gestion des risques et l’authentification unique (SSO). L’éditeur propose aussi un module CMP pour les cookies. Les prix sont établis sur devis.

Leto

Leto mise sur l’automatisation. La formule Essentiel comprend la cartographie des données personnelles à partir des outils utilisés, des registres des traitements automatisés à partir de modèles, une base de plus de 6 000 sous-traitants pré-audités, des modèles de documents et 2 coachings RGPD. La formule Business ajoute un portail d’exercice des droits, l’audit automatisé des sous-traitants et l’analyse des risques ; l’offre sur mesure ajoute l’AIPD, l’accès API, le SSO et la gestion multi-entités. L’éditeur couvre aussi la sensibilisation et l’AI Act. Aucun prix n’est affiché en clair sur sa page de tarifs.

Witik

Witik propose une version Starter gratuite, limitée à 30 éléments de registre, 2 analyses d’impact, 2 audits, 10 demandes de droits et 10 incidents par an. L’offre Premium, sans ces limites, est affichée à partir de 240 € HT par mois pour un engagement de 36 mois et un paiement annuel, avec 14 jours d’essai gratuit ; l’éditeur précise qu’un engagement plus court ou un paiement mensuel entraîne un supplément. Witik propose aussi un usage dédié aux DPO externalisés et aux cabinets de conseil, avec un espace par client et un tableau de bord multi-clients.

Data Legal Drive (EQS Group)

Data Legal Drive est désormais intégré à EQS Group : l’ancien site redirige vers celui d’EQS, qui présente sa plateforme de conformité RGPD autour du registre, des AIPD, des demandes de droits et des violations de données, avec une gestion adaptée aux organisations multi-entités. Aucun prix n’est affiché.

OneTrust

OneTrust est une suite de gouvernance des données plus large qu’un logiciel RGPD : consentement et préférences, automatisation des processus de protection des données, gestion des tiers, gouvernance de l’IA, risques technologiques et conformité. Sa page de tarifs ne mentionne aucun prix ; l’accès passe par une démonstration.

Data Comply One

Data Comply One, anciennement Mission RGPD (l’ancien domaine redirige vers le nouveau site), se présente comme un « logiciel RGPD, AI Act & DPO externalisé » : il associe l’outil à une prestation de délégué externe. Ses tarifs n’ont pas pu être vérifiés sur sa page officielle.

Adequacy

Adequacy se décline en trois offres. Start couvre le registre, l’analyse d’impact, la cartographie des transferts, le plan d’action et les tiers. Essentiel ajoute l’exercice des droits, les contrats, les mentions d’information et les incidents et violations. Expert ajoute l’évaluation, le bilan du DPO, l’audit et la gestion des risques. L’éditeur se présente comme « 100 % français avec un hébergement chez OVHcloud ». Les prix sont communiqués sur devis.

PIA, l’outil gratuit et open source de la CNIL

Le logiciel PIA de la CNIL est gratuit, publié sous licence libre et disponible en 20 langues. Il guide pas à pas la conduite d’une analyse d’impact selon la méthode de la CNIL. Il existe en version à installer (Windows, Linux, macOS) et en version web à déployer sur les serveurs de l’organisation. Il ne couvre que l’AIPD : ni registre, ni demandes de droits.

D’autres solutions de pilotage existent, comme Legiscope, dont l’offre Essentiel est affichée à 1 500 € HT par an (engagement de 12 mois), ou Iziro, affiché à partir de 28 € HT par mois avec un essai gratuit de 15 jours.

Les plateformes de gestion du consentement

Une CMP affiche le bandeau cookies, bloque les traceurs soumis à consentement tant que l’internaute n’a pas fait son choix, enregistre ce choix et le transmet aux outils de mesure et de publicité. Elle couvre une obligation précise, le consentement aux traceurs, mais ne remplace ni le registre ni la gestion des demandes de droits.

Axeptio

Axeptio est une CMP dont les offres se distinguent par le volume de pages vues et le nombre de domaines. L’offre Extra Small est affichée à 90 € par an pour un domaine et jusqu’à 30 000 pages vues par an, avec registre de consentements, personnalisation graphique et Google Consent Mode v2. Le TCF de l’IAB Europe et le scanneur de cookies apparaissent à partir de l’offre Small ; une offre Enterprise est proposée sur mesure.

Didomi

Didomi dépasse le seul bandeau cookies : sa plateforme couvre la gestion du consentement multi-réglementaire, les CMP pour applications mobiles et télévisions connectées, la gestion des préférences, la surveillance de la conformité et le traitement des demandes relatives à la confidentialité. Ses trois offres, Essential, Advanced et Premium, sont proposées sur contact, sans prix public.

Iubenda

Iubenda associe le bandeau cookies à la génération de documents juridiques (politique de confidentialité et de cookies). Un plan gratuit permet de démarrer. L’offre Essentials est affichée à 4,99 € par site et par mois en facturation annuelle (5,99 € en mensuel) jusqu’à 25 000 pages vues par mois, puis 0,05 € par tranche de 1 000 pages vues supplémentaires ; les offres Advanced et Ultimate montent à 19,99 € et 79,99 € par site et par mois en facturation annuelle. La preuve du consentement recueilli via les formulaires est une option facturée 5 € par mois par tranche de 1 000 consentements.

D’autres CMP sont référencées sur La Fabrique du Net, dont Cookiebot, affiché à partir de 7 € par mois avec 14 jours d’essai gratuit et une offre gratuite limitée à un seul domaine.

Comment choisir un logiciel RGPD : les critères

• Le besoin réel : un site qui dépose des traceurs publicitaires a d’abord besoin d’une CMP ; une organisation qui doit tenir un registre, répondre aux demandes et suivre ses sous-traitants a besoin d’un logiciel de pilotage. Les deux peuvent coexister.

• Les modules indispensables : registre (article 30), demandes de droits (articles 12 à 22), violations (articles 33 et 34), AIPD (article 35), sous-traitants (article 28). Vérifiez dans quelle offre chaque module est inclus : chez plusieurs éditeurs, les demandes de droits ou les violations ne figurent pas dans l’offre d’entrée.

• Le profil des utilisateurs : DPO interne, DPO externalisé qui gère plusieurs clients, services métiers qui alimentent le registre. La gestion des rôles et le mode multi-entités font la différence dans les groupes.

• L’hébergement et la sécurité : le logiciel contiendra la cartographie de vos données et des incidents. Demandez où les données sont hébergées, quelles mesures de sécurité sont appliquées (l’article 32 cite notamment le chiffrement et la pseudonymisation) et lisez le contrat de sous-traitance.

• Les contenus juridiques : modèles de fiches, bibliothèque de sous-traitants, veille réglementaire. Ils font gagner du temps, mais doivent être adaptés à vos traitements.

• L’accompagnement : support, séances de coaching, ou formule associant logiciel et DPO externalisé si personne en interne ne dispose du temps ou de l’expertise nécessaires.

• Les autres réglementations : plusieurs éditeurs couvrent aussi l’AI Act ou la cybersécurité. Utile si ces sujets relèvent de la même équipe.

• L’engagement et la réversibilité : durée minimale (36 mois pour le tarif affiché de Witik Premium, par exemple) et possibilité d’exporter le registre et l’historique à la fin du contrat.

Combien coûte un logiciel RGPD ? Prix et offres gratuites

Les deux familles ne suivent pas la même logique tarifaire. Les CMP facturent selon le trafic et le nombre de domaines : 90 € par an pour la plus petite offre d’Axeptio, 4,99 € par site et par mois pour l’offre Essentials d’Iubenda en facturation annuelle, à partir de 7 € par mois chez Cookiebot. Les logiciels de pilotage facturent selon les modules, le nombre d’entités et l’accompagnement : beaucoup d’éditeurs (Dastra, Didomi, OneTrust, EQS, Adequacy) ne publient pas de prix, tandis que d’autres affichent un point d’entrée, de 28 € HT par mois chez Iziro à 240 € HT par mois pour Witik Premium, ou 1 500 € HT par an pour l’offre Essentiel de Legiscope.

Pour démarrer sans budget, plusieurs ressources sont gratuites :

• le modèle de registre de la CNIL, au format ODS ;

• l’outil PIA de la CNIL pour les analyses d’impact ;

• la version Starter de Witik, limitée en volume ;

• le plan gratuit d’Iubenda et l’offre gratuite de Cookiebot (un seul domaine) pour le bandeau cookies.

Ces prix sont ceux affichés par les éditeurs lors du relevé d’octobre 2026 ; ils évoluent souvent et s’entendent selon les conditions de chaque offre (hors taxes ou non, engagement, volume).

Sanctions et contrôles : ce que risque une organisation non conforme

L’article 83 du RGPD prévoit deux plafonds d’amendes administratives, en retenant le montant le plus élevé :

• jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les manquements aux obligations des articles 25 à 39, qui comprennent notamment le registre, la sécurité, la notification des violations, l’AIPD et le DPO ;

• jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements aux principes de base, y compris aux conditions du consentement, aux droits des personnes (articles 12 à 22) et aux règles de transfert hors de l’Union.

La liste des sanctions publiée par la CNIL montre que les montants varient fortement selon la taille de l’organisme et la gravité des faits. Le 8 janvier 2026, un opérateur de téléphonie mobile a reçu une amende de 27 millions d’euros (durée de conservation, sécurité des données, communication d’une violation aux personnes concernées). Le 12 mars 2026, une société de vente à distance a été sanctionnée de 5 000 euros, en procédure simplifiée, pour non-respect du droit d’accès. Le contrôle ne concerne donc pas que les grands groupes.

Le RGPD en bref : principes, droits, formation et sécurité

Le RGPD s’applique à tout traitement de données personnelles effectué dans le cadre des activités d’un établissement situé dans l’Union, mais aussi aux organisations établies hors de l’Union lorsqu’elles proposent des biens ou des services à des personnes qui s’y trouvent ou suivent leur comportement (article 3). Une donnée personnelle est « toute information se rapportant à une personne physique identifiée ou identifiable » (article 4).

L’article 5 énonce les principes applicables à tout traitement :

• licéité, loyauté et transparence ;

• limitation des finalités : des finalités déterminées, explicites et légitimes ;

• minimisation des données : seules les données nécessaires à ces finalités ;

• exactitude : des données exactes et tenues à jour ;

• limitation de la conservation : pas plus longtemps que nécessaire au regard des finalités ;

• intégrité et confidentialité : une sécurité appropriée ;

• responsabilité : la capacité de démontrer le respect de ces principes.

L’article 25 ajoute la protection des données dès la conception et par défaut (privacy by design et privacy by default). L’article 32 impose des mesures de sécurité adaptées au risque. La sensibilisation et la formation du personnel figurent parmi les points que le DPO contrôle (article 39) : plusieurs logiciels de pilotage proposent à ce titre des modules de formation en ligne.

Ce qu’un logiciel ne fait pas à votre place

Aucun logiciel ne rend une organisation conforme par sa seule installation. L’article 24 laisse au responsable du traitement la charge de mettre en œuvre les mesures appropriées et d’être en mesure de les démontrer. Le choix d’une base légale, la fixation des durées de conservation, l’appréciation du risque d’un traitement ou la décision de notifier une violation restent des décisions humaines, souvent juridiques. Le logiciel structure la démarche, rappelle les échéances et conserve les preuves ; la qualité du résultat dépend des informations qui y sont saisies et de leur mise à jour.

Lorsque l’expertise manque en interne, une prestation de DPO externalisé peut compléter l’outil : certains éditeurs, comme Data Comply One, associent les deux, et des cabinets spécialisés proposent un accompagnement par des juristes. Un DPO externe peut aussi être désigné auprès de la CNIL, une personne morale pouvant exercer cette fonction.