Le verdict en trois phrases
Pour un dirigeant grenoblois qui fait développer une application métier, la conformité RGPD coûte 8 à 15 % du budget de développement si elle est pensée dès la conception, et deux à trois fois plus si elle est ajoutée après la mise en production. Les postes incompressibles sont l'analyse d'impact (AIPD) quand les données sont sensibles, la journalisation des accès et la purge automatique des données arrivées à échéance. L'hébergement en France ou dans l'Union européenne, idéalement certifié HDS pour la santé, ferme le dossier.
Les exigences du RGPD traduites en fonctionnalités
Le RGPD ne demande pas de documents abstraits : la plupart de ses articles se traduisent en écrans, en tâches planifiées et en paramètres techniques. Voici les postes qu'un développeur doit chiffrer, en ordre de grandeur 2026.
| Exigence RGPD | Fonctionnalité concrète | Coût estimé |
|---|---|---|
| Minimisation (art. 5) | Revue des champs collectés, champs facultatifs justifiés | 500 à 1 500 € HT |
| Durées de conservation (art. 5) | Purge ou anonymisation automatique planifiée | 2 000 à 4 000 € HT |
| Sécurité (art. 32) | Chiffrement, journalisation des accès, MFA administrateur | 2 000 à 6 000 € HT |
| Droits des personnes (art. 15 à 21) | Export des données, rectification, suppression en libre-service | 1 500 à 4 000 € HT |
| Consentement (art. 7) | Gestion et preuve du consentement, bandeau cookies conforme | 800 à 2 500 € HT |
| Habilitations (art. 25 et 32) | Rôles fins, accès au strict nécessaire | 1 500 à 4 000 € HT |
| Violation de données (art. 33) | Alertes, procédure de notification sous 72 h | 500 à 1 500 € HT |
Sur une application à 60 000 € HT, ces postes représentent en général 5 000 à 9 000 €, soit 8 à 15 % du budget.
Le coût de la conformité autour du code
La conformité ne s'arrête pas au développement. Certains postes relèvent du juridique ou de l'hébergement et doivent être budgétés à part.
| Poste | Quand c'est nécessaire | Coût 2026 |
|---|---|---|
| AIPD (analyse d'impact) | Données de santé, surveillance de salariés, profilage, grande échelle | 2 000 à 6 000 € HT |
| DPO externalisé | Obligatoire pour certains traitements, conseillé au-delà de 50 salariés | 300 à 1 200 € HT par mois |
| Registre des traitements | Toujours (sauf rares exceptions) | 500 à 2 000 € HT à la création |
| Hébergement UE standard | Toujours recommandé | 80 à 400 € HT par mois |
| Hébergement certifié HDS | Données de santé | 300 à 1 500 € HT par mois |
| Contrats de sous-traitance (art. 28) | Chaque prestataire qui accède aux données | 300 à 800 € HT par contrat |
| Audit de conformité annuel | Recommandé | 1 500 à 4 000 € HT |
Côté risque, la CNIL peut sanctionner jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Pour les PME, les sanctions de 2024 à 2026 se chiffrent plutôt entre 10 000 et 150 000 €, souvent pour des défauts de sécurité ou des durées de conservation non respectées, précisément les points qui relèvent du code.
Les choix techniques qui font la différence
- Séparer les données identifiantes du reste de la base facilite l'anonymisation et réduit la gravité d'une fuite.
- Journaliser les consultations, et pas seulement les modifications, permet de répondre à la question « qui a vu ce dossier ? ».
- Éviter les transferts hors UE : outils d'analytics, d'e-mailing ou d'IA hébergés aux États-Unis exigent une analyse et des clauses spécifiques. Le Data Privacy Framework couvre certains acteurs, mais reste fragile juridiquement.
- Prévoir l'export des données dès la conception : le droit à la portabilité se traite en une heure avec un bouton, en une journée sans.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Julien, dirigeant d'une société grenobloise de 35 salariés qui accompagne des entreprises en santé au travail, fait développer une application de suivi des visites et des restrictions médicales pour 12 000 salariés suivis. Budget de développement : 72 000 € HT. Privacy by design : 8 500 € HT (12 %). AIPD : 4 500 € HT. Hébergement HDS : 600 € par mois, DPO externalisé : 500 € par mois, soit 13 200 € par an. Coût de conformité la première année : 26 200 € HT. Face à une sanction plausible de 50 000 à 150 000 € et à la perte d'un client grand compte, la décision a été prise en une réunion.
FAQ
Une AIPD est-elle obligatoire pour mon application ?
Elle l'est quand le traitement présente un risque élevé : données de santé à grande échelle, surveillance de salariés, profilage, données de personnes vulnérables. La CNIL publie une liste des cas concernés, et une AIPD coûte 2 000 à 6 000 € HT.
Dois-je nommer un DPO ?
C'est obligatoire pour les organismes publics et les entreprises dont l'activité principale implique un suivi à grande échelle ou des données sensibles. Un DPO externalisé coûte 300 à 1 200 € HT par mois selon le volume de traitements.
Puis-je héberger chez AWS ou Azure ?
Oui, en choisissant une région européenne et en signant leurs avenants de sous-traitance. Pour la santé, il faut un hébergeur certifié HDS, dont les offres démarrent autour de 300 € par mois.
Combien coûte la mise en conformité d'une application déjà en production ?
Comptez 15 à 30 % du budget initial, contre 8 à 15 % en privacy by design. La purge des données historiques et la refonte des habilitations sont les postes les plus lourds.
Combien de temps garder les données ?
La durée dépend de la finalité : 3 ans après le dernier contact pour un prospect, 10 ans pour les pièces comptables, 5 ans après la fin de la relation pour un client. Chaque durée doit être codée dans la purge automatique.
Parlons de votre projet. Nous développons votre application métier en privacy by design, avec registre, purge, journalisation et hébergement UE ou HDS chiffrés poste par poste. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
