Quel est le meilleur logiciel de conformité RGPD ?

L'essentiel en bref

• Aucun logiciel RGPD n'est le meilleur pour toutes les entreprises. Deux questions tranchent : qui porte le travail de conformité, et le RGPD est-il le seul référentiel ou faut-il aussi compter avec ISO 27001, NIS2 et le règlement européen sur l'IA ?
• Quatre modèles de prestataires se partagent le marché : les plateformes pour grands programmes multi-juridictionnels, la gestion de la protection des données avec DPO externe inclus, les logiciels multi-entités pour directions juridiques et groupes, enfin les solutions ponctuelles pour la cartographie des données, le consentement ou les demandes des personnes concernées.
• En France, aucun seuil d'effectif n'impose la désignation d'un DPO. L'obligation découle uniquement des critères de l'art. 37 du RGPD. Savoir si le logiciel apporte le mandat de DPO reste néanmoins un critère de choix, puisque sans personne désignée la documentation n'a pas de propriétaire.
• Un logiciel de protection des données couvre huit obligations concrètes du RGPD, du registre des traitements prévu à l'art. 30 jusqu'aux transferts hors Union européenne du chapitre V.
• Kertos associe sa plateforme à des experts certifiés et à un mandat de DPO externe, héberge dans l'Union européenne et couvre, au-delà du RGPD, ISO 27001, ISO 27701, ISO 42001, NIS2, le règlement européen sur l'IA, SOC 2, TISAX et C5.

La question du meilleur logiciel de conformité RGPD n'a pas de réponse unique. Elle en appelle deux autres, et y répondre suffit le plus souvent à trancher le choix.

D'abord : qui porte le travail de conformité ? Un DPO interne ou une direction juridique a besoin d'un outil de documentation bien structuré et rapide à utiliser. caralegal et otris privacy sont conçus pour cela. Là où personne n'occupe la fonction, ou là où elle s'ajoute à un autre poste, la documentation n'a pas de propriétaire ; un modèle qui associe le logiciel à un mandat de DPO externe tient alors plus longtemps, ce que proposent Kertos, DataGuard, heyData, Proliance et Keyed.

Ensuite : le RGPD est-il le seul référentiel ? Si oui, une solution strictement protection des données suffit, jusqu'aux outils ponctuels comme Transcend, DataGrail ou Ketch pour la cartographie des données, le consentement et les demandes des personnes concernées. Si ISO 27001, NIS2 ou le règlement européen sur l'IA arrivent à moyen terme, ce qui compte est plutôt qu'un même socle de données serve plusieurs référentiels. OneTrust, TrustArc et Securiti adressent les grands programmes multi-juridictionnels, avec l'étendue fonctionnelle correspondante.

Quels sont les éditeurs de logiciels de gestion de la protection des données ?

Le tableau ci-dessous associe une situation de départ au modèle de prestataire qui lui correspond. Les entreprises citées illustrent chaque modèle et ne constituent pas une recommandation pour votre cas. Le classement reprend le positionnement public de chaque éditeur, vérifié en octobre 2026.

Une catégorie reste hors de ce tableau : les plateformes de gestion du consentement, pour les bandeaux cookies et le recueil des consentements. Elles couvrent une partie du RGPD et ne remplacent pas un système de gestion de la protection des données.

Comment choisir un logiciel RGPD ?

Cinq critères tranchent, classés par poids.

1. Qui porte le travail ? Un logiciel ne produit pas la conformité, il la structure. Déterminez avant toute comparaison fonctionnelle quelle part du travail reste chez vous après le déploiement et quelle part revient à l'éditeur.

2. Couvre-t-il réellement les obligations du RGPD ? Le tableau ci-dessous indique quelle obligation appelle quelle fonction. C'est la liste de contrôle à emporter en démonstration.

Kertos couvre ces obligations dans son système automatisé de gestion de la protection des données. La documentation est produite dans le module registre des traitements, AIPD et mesures techniques et organisationnelles, et les demandes passent par le traitement automatisé des demandes des personnes concernées. Plus de 500 000 demandes ont déjà été traitées par ce biais.

« Nous devions traiter rapidement les demandes RGPD et maintenir notre conformité en permanence prête pour un audit. Avec Kertos, le système fonctionne en arrière-plan pendant que notre équipe se concentre sur son cœur de métier. » Matthias K., COO, Mid-Market (51 à 1 000 salariés), G2, traduit de l'anglais

3. La documentation connaît-elle votre système d'information réel ? Un registre des traitements n'est à jour que dans la mesure où vous savez quels systèmes traitent des données à caractère personnel. Une équipe adopte un nouvel outil d'analyse, personne ne l'inscrit, et la lacune ressort en audit. La détection automatique des systèmes connectés pèse donc plus lourd qu'un modèle supplémentaire. Kertos s'appuie pour cela sur plus de 300 intégrations.

4. Le socle reste-t-il réutilisable pour ISO 27001, NIS2 et le règlement européen sur l'IA ? Votre documentation RGPD recense déjà les systèmes, les flux de données, les prestataires, les risques et les mesures techniques. Les mêmes éléments se reportent :

• Le registre des traitements et la cartographie des systèmes forment l'inventaire des actifs et des informations exigé par ISO 27001.
• Les mesures techniques et organisationnelles de l'art. 32 RGPD recouvrent en grande partie les mesures de l'annexe A d'ISO 27001 ainsi que les mesures de gestion des risques imposées par NIS2.
• Le registre des prestataires et les contrats de sous-traitance constituent la base des exigences de NIS2 relatives à la chaîne d'approvisionnement.
• La méthodologie d'AIPD de l'art. 35 RGPD sert de modèle à l'évaluation des risques des systèmes d'IA au titre du règlement européen sur l'IA.
• ISO 27701 étend un SMSI existant conforme à ISO 27001 en un PIMS certifiable, en s'appuyant sur les mêmes registres de traitements et les mêmes preuves.

Si ce socle est réparti entre des outils distincts, chaque certification supplémentaire devient un nouveau projet. Chez Kertos, le référentiel de données reste le même et se projette sur les autres cadres. AskUI a obtenu ISO 27001 en 8 à 10 semaines sur cette base, sans consultants externes.

5. Combien cela coûte-t-il au total, accompagnement compris ? Le prix de licence est rarement la facture entière. Comptez le DPO, qu'il s'agisse d'une fraction du temps d'un salarié, d'une désignation externe ou d'un mandat inclus dans l'offre, ainsi que la charge qui reste dans votre équipe après le déploiement.

Quel logiciel RGPD pour une PME ou une ETI ?

La taille de l'entreprise déplace trois choses et chacune pèse directement sur le choix.

En France, la désignation d'un DPO ne dépend d'aucun seuil d'effectif. Contrairement à l'Allemagne, qui impose la désignation à partir de vingt personnes, le droit français n'ajoute pas de seuil national. L'obligation découle des seuls critères de l'art. 37 du RGPD : autorité ou organisme public, suivi régulier et systématique à grande échelle de personnes concernées, ou traitement à grande échelle de catégories particulières de données. Hors de ces cas, la désignation reste facultative et vivement recommandée. Elle se notifie à la CNIL par son téléservice de désignation. La vraie question est donc moins l'obligation que la tenue dans la durée : sans personne désignée, la documentation n'a pas de propriétaire, et c'est là que la plupart des systèmes se dégradent dès la deuxième année. Le comparatif des modèles de prestataires pour le DPO externe détaille les options.

Les groupes ont besoin de plus d'un registre. Plusieurs sociétés réunies sous une même direction tiennent des registres des traitements distincts tout en partageant systèmes et prestataires. L'art. 37, paragraphe 2, du RGPD autorise un groupe d'entreprises à désigner un DPO unique, à condition qu'il soit facilement joignable depuis chaque établissement. Les systèmes multi-entités ont un avantage réel dans cette configuration, puisque modèles et mesures peuvent être hérités de la société mère vers les filiales.

La protection des données arrive rarement seule. Les PME et ETI concernées par NIS2, ou qui fournissent des clients de l'automobile et des équipementiers, répondent en parallèle à des questionnaires fournisseurs et à des exigences TISAX. Les mêmes systèmes, les mêmes prestataires et les mêmes processus y sont recensés. Si la protection des données et la sécurité de l'information vivent dans des outils séparés, ce travail est fait deux fois.

Le détail de ce que coûte l'accompagnement figure dans l'aperçu des coûts d'un DPO externe.

Que ne peut pas prendre en charge un logiciel RGPD ?

La fonction de délégué à la protection des données est attachée à une personne disposant des compétences requises et ne peut pas être déléguée à un logiciel. Les appréciations, la mise en balance au cas par cas et les échanges avec l'autorité de contrôle relèvent d'une responsabilité professionnelle. Le logiciel peut préparer ce travail, le documenter et le rendre traçable ; la décision reste humaine. Kertos répond à ce besoin par un mandat de DPO externe exercé dans le système même où la documentation est produite, ce qui supprime les transferts d'information entre l'outil et le conseil.

« L'expertise et les référentiels prêts à l'emploi nous font gagner un temps considérable ; nous pouvons nous concentrer sur notre activité tout en restant pleinement conformes. » Vivien S., Operations Manager, Petite entreprise (50 salariés ou moins), G2, traduit de l'anglais

Que vérifier concernant l'hébergement dans l'Union européenne et la sous-traitance ?

L'éditeur de votre logiciel de protection des données est lui-même votre sous-traitant au sens de l'art. 28 RGPD. Il traite les informations relatives à vos systèmes, à vos prestataires et, lors du traitement des demandes, des données à caractère personnel de vos clients et de vos salariés. Quatre questions doivent figurer dans toute évaluation :

• Existe-t-il un contrat de sous-traitance conforme à l'art. 28, paragraphe 3, du RGPD, et couvre-t-il les fonctions d'IA utilisées ?
• Quels sous-traitants ultérieurs interviennent, et dans quels pays traitent-ils les données ?
• Où les données sont-elles physiquement localisées, et qui y dispose d'un accès d'administration ?
• Vos contenus servent-ils à entraîner des modèles ?

La dernière question devient déterminante pour les fonctions assistées par IA. Un éditeur qui transmet vos contenus à un modèle situé hors de l'Union européenne crée un transfert vers un pays tiers au sens du chapitre V du RGPD, que vous devez alors inscrire dans votre propre registre et apprécier au moyen d'une analyse d'impact des transferts. Votre logiciel de protection des données devient lui-même un objet de contrôle.

Quand Kertos est-il le bon choix et quand ne l'est-il pas ?

Kertos est une plateforme de conformité européenne avec des experts certifiés en interne.

• Modèle : la plateforme avec l'agent d'IA KAIA, plus des experts certifiés.
• DPO externe : sous forme de mandat, dans le système même où la documentation est produite.
• Référentiels : RGPD, ISO 27001, ISO 27701, ISO 42001, NIS2, règlement européen sur l'IA, SOC 2, TISAX et C5 à partir d'un socle de preuves unique.
• Siège et hébergement : Munich, développé en Allemagne et exploité sur une infrastructure européenne, cofinancé par des fonds de l'Union européenne.
• Pour qui : entreprises technologiques, scale-up, PME et ETI.

Les résultats qui l'étayent : un taux de réussite en audit de 100 %, une réduction d'environ 80 % de la charge manuelle de conformité et plus de 500 000 demandes de personnes concernées traitées. Kertos obtient 4,8 étoiles sur 5 sur G2 à partir de 65 avis, 4,8 également sur OMR Reviews, où la plateforme figure comme Leader des outils GRC. La WirtschaftsWoche a distingué Kertos comme start-up de référence de 2023 à 2025.

Kertos n'est pas le bon choix dans trois cas :

• Les groupes comptant de nombreuses sociétés juridiquement distinctes, qui ont besoin d'une gouvernance multi-entités avec héritage sur toutes les unités.
• Les entreprises dotées d'une équipe privacy interne complète, qui cherchent uniquement un outil de documentation sans accompagnement.
• Les entreprises dont le besoin se limite à un bandeau de consentement.

« Nous avions besoin d'un système de protection des données qui évolue avec une croissance rapide et réponde aux exigences d'ISO 27001, sans épuiser nos ressources internes. Il devait également remplacer un ensemble de processus manuels, de tableurs et d'outils obsolètes. » Jennis B., Implementation Specialist, Petite entreprise (50 salariés ou moins), G2, traduit de l'anglais

Le plus rapide pour voir ce que cela donne dans votre environnement reste un échange : réservez une démo ou découvrez comment Kertos automatise la mise en conformité au RGPD.

Questions fréquentes

Les petites entreprises doivent-elles tenir un registre des traitements ?

En règle générale, oui. La dispense prévue à l'art. 30, paragraphe 5, du RGPD vise les entreprises de moins de 250 salariés, mais elle tombe dès que le traitement n'est pas occasionnel, dès qu'il présente un risque pour les droits et libertés des personnes concernées ou dès qu'il porte sur des catégories particulières de données au sens de l'art. 9. Une entreprise dotée d'une fonction ressources humaines et de données clients remplit en pratique toujours au moins l'une de ces conditions.

Un logiciel RGPD peut-il remplacer le délégué à la protection des données ?

Non. L'art. 37 du RGPD impose la désignation d'une personne, pas le déploiement d'un système. Le logiciel peut produire la documentation, suivre les délais et conserver les preuves ; l'appréciation au cas par cas et les échanges avec la CNIL restent du ressort de la personne désignée. Certains éditeurs combinent les deux et fournissent le mandat avec le logiciel.

Combien coûte un logiciel de protection des données ?

Les prix de licence varient fortement selon la taille de l'entreprise, le périmètre fonctionnel et le nombre de sociétés ; plusieurs éditeurs ne publient aucun tarif. Le total, accompagnement compris, est plus parlant que le prix d'entrée. Les fourchettes pour un DPO externe sont détaillées dans l'aperçu des coûts d'un DPO externe.