« Nous avons besoin d'aide sur le RGPD » recouvre des réalités très différentes selon le client : un audit ponctuel avant une levée de fonds, la désignation d'un délégué à la protection des données externalisé, une réponse à un contrôle de la CNIL, ou une simple mise à jour du registre des traitements. Ouvrir correctement un dossier RGPD commence par clarifier laquelle de ces missions est réellement demandée, avant même de parler de méthode ou d'honoraires.
Pourquoi faut-il qualifier précisément le type de mission dès le départ ?
Un audit ponctuel, une mission de DPO externalisé et un contentieux CNIL n'engagent pas le cabinet de la même façon, ne se facturent pas selon le même modèle, et ne posent pas les mêmes questions d'indépendance. Confondre ces missions à l'ouverture — par exemple accepter un rôle de DPO en pensant simplement « faire du conseil RGPD » — peut créer une ambiguïté difficile à corriger ensuite.
Quatre types de mission à distinguer clairement
Audit de conformité ponctuel — mission délimitée avec un livrable final
DPO externalisé — mission continue avec obligation d'indépendance
Contentieux ou contrôle CNIL — défense des intérêts du client, durée incertaine
Conseil ponctuel — réponse à une question précise, sans mandat continu
Quelles vérifications effectuer avant d'accepter le dossier ?
Le conflit d'intérêts, sous un angle spécifique au RGPD
Au-delà de la vérification classique de conflit d'intérêts, une mission RGPD pose une question supplémentaire : le cabinet exerce-t-il déjà un autre rôle pour ce même client, susceptible d'entrer en tension avec une fonction de DPO ? L'article 38 du RGPD impose que le DPO puisse agir sans conflit d'intérêts, ce qui suppose de vérifier qu'aucune autre mission en cours ne conduirait le cabinet à déterminer lui-même les finalités et moyens d'un traitement qu'il devrait par ailleurs contrôler.
⚠️ Point de vigilance : si le cabinet représente déjà le client dans un contentieux portant sur un traitement de données, accepter en parallèle une mission de DPO pour ce même client mérite une analyse préalable de l'indépendance requise, plutôt qu'une acceptation automatique. Notre article sur les besoins numériques d'un cabinet spécialisé en RGPD détaille ce point.
La compétence sectorielle du client
Certains secteurs (santé, finance, mineurs, données biométriques) impliquent des règles renforcées ou des autorités de contrôle spécifiques. Identifier le secteur d'activité du client dès l'entretien initial permet d'anticiper si des règles particulières s'appliquent au-delà du RGPD général.
Quelles informations collecter à l'ouverture ?
| Information à collecter | Pourquoi c'est nécessaire |
|---|---|
| Registre des traitements existant, s'il y en a un | Point de départ de l'audit, évite de repartir de zéro |
| DPO déjà désigné ou non | Détermine si la mission inclut une nouvelle désignation ou une reprise de fonction |
| Liste des principaux sous-traitants | Anticiper la revue des contrats de sous-traitance (article 28 du RGPD) |
| Historique d'éventuels incidents ou plaintes CNIL | Évaluer le niveau de risque et l'urgence de certains points |
| Secteur d'activité et catégories de données traitées | Identifier des règles sectorielles éventuelles (santé, mineurs, biométrie) |
💡 Bon réflexe : demandez au client de transmettre son registre existant, même incomplet, dès le premier échange. Un registre partiel donne une vision immédiate de la maturité RGPD de l'organisation et évite de construire l'audit à l'aveugle.
Comment cadrer la lettre de mission et les honoraires ?
La lettre de mission ou la convention d'honoraires doit préciser sans ambiguïté :
- Le rôle exact du cabinet : conseil, audit, DPO externalisé ou défense contentieuse — ces rôles ne s'équivalent pas et certains clients emploient le terme générique de « mission RGPD » sans distinguer.
- Le responsable de traitement identifié : en particulier pour un groupe de sociétés, préciser quelle entité est responsable du traitement audité évite des ambiguïtés lors de la remise du rapport ou d'une éventuelle notification à la CNIL.
- Le mode de facturation adapté : forfait pour un audit délimité, temps passé pour un DPO externalisé ou un contentieux.
⚠️ Erreur fréquente : accepter une mission de DPO externalisé sans formaliser la lettre de désignation ni procéder à la notification à la CNIL via le téléservice dédié. Cette désignation en ligne est une démarche obligatoire et distincte de la signature de la convention d'honoraires — l'oublier expose le client à une non-conformité facilement évitable.
Comment structurer le dossier numérique dès le premier jour ?
1. Créer un dossier par mission, pas par client
Si le cabinet exerce plusieurs rôles pour le même client (DPO et conseil général par exemple), chaque mission mérite son propre dossier pour documenter la séparation des rôles.
2. Ouvrir immédiatement un espace client sécurisé
Dès la première pièce transmise (registre, cartographie), un canal sécurisé évite que des informations sur les systèmes du client circulent par e-mail non protégé.
3. Créer le plan d'action comme un suivi de tâches, pas comme un document figé
Chaque action identifiée pendant l'audit doit être enregistrée avec un statut, pour permettre un pilotage réel dans les mois qui suivent la remise du rapport.
4. Prévoir un accès rapide en cas de violation de données
Le dossier doit permettre d'être mobilisé en quelques heures si le client sollicite le cabinet pour respecter le délai de 72 heures de notification à la CNIL.
Où NetJuris peut vous aider
NetJuris permet de créer un dossier distinct par mission RGPD, avec suivi de tâches pour le plan d'action et espace client sécurisé disponible immédiatement — utile pour tenir un délai de 72 heures sans improviser un canal d'échange dans l'urgence. Découvrez les fonctionnalités ou la page RGPD & données personnelles.
La checklist complète à suivre à l'ouverture
☐ Type de mission précisément qualifié (audit, DPO, contentieux, conseil)
☐ Absence de conflit d'intérêts avec d'autres mandats pour ce client vérifiée
☐ Registre des traitements existant obtenu, même partiel
☐ Responsable de traitement identifié précisément (entité du groupe)
☐ Secteur d'activité et sensibilité des données évalués
☐ Lettre de mission rédigée avec le rôle exact précisé
☐ Désignation CNIL effectuée si mission de DPO (téléservice dédié)
☐ Mode de facturation adapté au type de mission choisi
☐ Dossier numérique créé distinctement de tout autre mandat pour ce client
☐ Espace client sécurisé ouvert dès la première pièce transmise
FAQ
Faut-il systématiquement notifier la CNIL lors de la désignation d'un DPO externalisé ?
Oui, dès que le client procède à la désignation d'un délégué à la protection des données, celle-ci doit être enregistrée exclusivement via le téléservice dédié de la CNIL. C'est une démarche en ligne obligatoire, distincte de la lettre de mission signée avec le cabinet.
Peut-on commencer un audit avant que le client ait fourni son registre des traitements ?
Oui, l'absence de registre ou un registre incomplet est d'ailleurs souvent l'un des premiers constats de l'audit. Il ne faut pas retarder le début de la mission dans l'attente d'un document que le client n'a précisément pas encore.
Comment identifier le bon responsable de traitement dans un groupe de sociétés ?
Il faut examiner qui détermine réellement les finalités et les moyens du traitement concerné : cela peut être la société mère, une filiale opérationnelle, ou parfois plusieurs entités en qualité de responsables conjoints. Ce point doit être clarifié avant la remise du rapport pour éviter toute ambiguïté sur les recommandations qui en découlent.
Un même cabinet peut-il ouvrir un dossier de conseil général et un dossier de DPO pour le même client ?
C'est possible, mais cela suppose une analyse préalable de l'absence de conflit d'intérêts entre les deux rôles, et une documentation claire de la séparation entre les deux mandats dans l'organisation du cabinet.
Conclusion
Ouvrir un dossier RGPD ne se résume pas à accepter « une mission de conformité » : c'est le moment où se joue la qualification précise du rôle du cabinet, la vérification de l'absence de conflit d'intérêts avec d'éventuels autres mandats, et la mise en place d'un canal sécurisé capable de répondre en urgence si le client subit une violation de données. Une checklist suivie systématiquement, plutôt qu'improvisée à chaque nouveau client, limite l'ambiguïté sur des missions dont le RGPD encadre strictement l'indépendance.
Sources : CJUE, C-453/21, X-FAB Dresden, 9 février 2023 — eur-lex.europa.eu · Désigner un délégué à la protection des données — cnil.fr.