Entreprises
PME
Fichier clients et prospects, dossiers du personnel, vidéosurveillance, boutique en ligne : les traitements les plus courants sont aussi les plus contrôlés.
Protection des données personnelles · RGPD · DPO
Avocat RGPD à Toulouse
Fichier d'adhérents, logiciel de paie, site internet, données d'usagers : votre structure traite des données personnelles tous les jours, et doit pouvoir prouver qu'elle le fait correctement. Forte de plus de quinze ans de pratique dans ce domaine, Maître Sophie Attali-Trapp, avocate à Toulouse, construit avec vous une conformité proportionnée à votre taille, tient si besoin le rôle de DPO et vous défend face à la CNIL.
Mise en conformité
Une conformité à votre mesure
Le RGPD n'exige pas la même chose d'une PME de quinze salariés et d'un groupe international. Ce qu'il exige de tous, c'est de savoir quelles données on détient, pourquoi, et de pouvoir le démontrer. Que votre structure soit installée à Toulouse ou ailleurs en Occitanie, tout commence par un audit de l'existant, puis le travail s'organise en quatre chantiers.
-
Audit et cartographie
Entretiens avec les services, inventaire des fichiers et des outils, des destinataires et des durées de conservation, repérage des écarts.
-
Registre des traitements
Le document de référence que la CNIL demande en premier lors d'un contrôle, tenu à jour à chaque nouvel usage.
-
Information et cookies
Politique de confidentialité, mentions sur les formulaires, bandeau cookies où refuser est aussi simple qu'accepter.
-
Contrats de sous-traitance
Hébergeur, éditeur de logiciel, prestataire de paie ou d'emailing : chaque sous-traitant doit être lié par un contrat aux clauses imposées par le RGPD, sécurité des données et transferts hors de l'Union européenne compris.
83sanctions prononcées par la CNIL en 2025, dont 67 en procédure simplifiée
21d'entre elles pour des cookies déposés sans consentement valable, premier motif de l'année
20 000 €d'amende au plus en procédure simplifiée, une procédure qui vise surtout les petites structures
Source : CNIL, bilan des sanctions et mesures correctrices 2025, publié en février 2026.
Vous ne savez pas par où commencer ? Un premier échange sur vos outils et vos fichiers suffit pour identifier les chantiers prioritaires et chiffrer la mission.
DPO externalisé
Un délégué à la protection des données sans recrutement
Le DPO pilote la protection des données personnelles dans la durée : il conseille, contrôle et sert d'interlocuteur à la CNIL. Confier cette fonction à une avocate, c'est bénéficier d'une compétence juridique immédiate et du secret professionnel sur tout ce qui lui est confié.
Faut-il un DPO ?
Obligatoire ou fortement conseillé
- Obligatoire pour les organismes publics, et pour les structures dont l'activité principale repose sur un suivi régulier et systématique de personnes à grande échelle ou sur des données sensibles à grande échelle.
- Recommandé par la CNIL pour les organismes de droit privé chargés d'une mission de service public, qui manient souvent des données d'usagers.
- Utile dès que les données sont au cœur de l'activité : fichier d'adhérents, prospection, outils RH.
Une fois désigné, le DPO est déclaré à la CNIL par un formulaire en ligne, et ses coordonnées sont publiées pour que chacun puisse le joindre.
La mission
Ce que fait le DPO du cabinet
- Tient et fait vivre le registre des traitements au fil des nouveaux projets.
- Conseille vos équipes avant le lancement d'un outil, d'un fichier ou d'une campagne.
- Vérifie les contrats de vos prestataires et les analyses d'impact lorsqu'elles sont requises.
- Répond aux demandes des personnes et sert de point de contact avec la CNIL.
- Sensibilise le personnel aux bons réflexes.
Vous avez déjà un DPO en interne ? Le cabinet peut l'épauler sans prendre sa place : analyse juridique d'un projet, rédaction d'une clause, arbitrage d'une demande délicate, préparation d'un contrôle.
Contrôle et contentieux
La CNIL frappe à la porte : ne répondez pas seul
Un contrôle peut avoir lieu sur place, sur pièces, en ligne ou sur convocation. Tout ce qui est dit ou remis est consigné et pèse sur la suite : c'est dès le premier échange que se prépare la défense.
-
Le contrôle
Cadrage du périmètre, préparation des documents, présence aux côtés de vos équipes et relecture du procès-verbal.
-
La mise en demeure
Un délai est fixé pour corriger les manquements. Le cabinet organise les mesures correctrices et répond à l'autorité dans les temps.
-
La procédure de sanction
Observations écrites, audition devant la formation restreinte, puis recours devant le Conseil d'État si la décision le justifie.
Une règle de transparence. La déontologie des avocats interdit à l'avocat qui est, ou a été, le DPO d'un organisme de le défendre dans une procédure mettant en cause ses traitements. Si le cabinet est votre DPO, il vous le dira d'emblée et vous orientera vers un confrère. Pour tous les autres organismes, il vous assiste à chaque étape.
Pour qui
Des structures qui manient des données au quotidien
Le cabinet accompagne des organismes installés à Toulouse, en Haute-Garonne et dans toute l'Occitanie.
Monde professionnel
Organismes intra-professionnels de droit privé
Fédérations, syndicats et organismes d'une profession gèrent des fichiers d'adhérents, des cotisations et parfois des données sur les ressortissants de toute une branche.
Intérêt général
Organismes privés chargés d'une mission de service public
Ils conservent un statut de droit privé mais traitent des données d'usagers, souvent sensibles, avec des exigences de rigueur proches de celles du secteur public.
Votre projet touche aussi vos contrats commerciaux ou votre site marchand ? Le cabinet traite ces questions dans le même dossier, en droit des affaires comme en propriété intellectuelle.
Votre avocate
Maître Sophie Attali-Trapp
Avocate depuis 2010, Maître Sophie Attali-Trapp a fait dès ses débuts de la protection des données personnelles l'un des piliers de sa pratique, sous la loi Informatique et Libertés puis sous le RGPD. Elle a forgé son expertise pendant trois ans dans un cabinet parisien de premier plan, reconnu nationalement en la matière, sur des dossiers à fort enjeu. Elle met aujourd'hui cette exigence au service des structures toulousaines, avec une approche sans dramatisation : distinguer l'essentiel de l'accessoire, et viser une conformité que vos équipes peuvent réellement tenir.
- Depuis 2010la protection des données pratiquée dès ses débuts
- Trois ans à Parisen cabinet de référence en données personnelles
- Secret professionnelsur tout ce qui est confié, y compris en qualité de DPO
- Trois modes d'honorairesforfait, temps passé ou abonnement
- Conseil et défensede la mise en conformité au contrôle
- Au cœur de Toulouse11 rue du Sénéchal, métro Capitole
Premier échange
De la prise de contact à la mission
- Présentez votre structure Activité, effectif, outils utilisés, publics concernés, éventuel courrier de la CNIL : quelques éléments suffisent pour cerner le besoin.
- Recevez une proposition Les chantiers prioritaires, le périmètre de la mission et son mode de facturation, adaptés à ce que vous attendez du cabinet.
- Avancez avec un seul interlocuteur Une convention d'honoraires fixe le cadre, puis la mission démarre avec des points d'étape réguliers.
Vos questions
Questions fréquentes sur le RGPD
Une PME doit-elle tenir un registre des traitements ?
En pratique, oui. L'exemption prévue pour les structures de moins de 250 salariés ne vaut que pour les traitements occasionnels et sans risque. La paie, le fichier clients ou la gestion des adhérents sont des traitements permanents : ils doivent figurer au registre.
Mon organisme est-il obligé de désigner un DPO ?
La désignation est obligatoire pour les autorités et organismes publics, et pour les structures dont l'activité principale implique un suivi régulier et systématique de personnes à grande échelle, ou le traitement à grande échelle de données sensibles. Pour un organisme de droit privé chargé d'une mission de service public, elle n'est pas imposée mais la CNIL la recommande.
Un avocat peut-il être le DPO d'une entreprise ?
Oui. La profession encadre cette mission : l'avocat en informe son bâtonnier, reste tenu au secret professionnel, et ne peut pas représenter l'organisme dont il est ou a été le DPO dans une procédure qui met en cause ses traitements.
Quelles sanctions une PME risque-t-elle ?
Depuis 2022, la CNIL peut recourir à une procédure simplifiée, dont l'amende est plafonnée à 20 000 euros. En 2025, elle a prononcé 83 sanctions, dont 67 selon cette procédure. Dans la procédure ordinaire, le plafond atteint 20 millions d'euros ou 4 % du chiffre d'affaires mondial.
Que faire si la CNIL annonce un contrôle ?
Ne pas improviser. Il faut identifier le périmètre du contrôle, rassembler le registre, les contrats et les mentions d'information, et désigner un interlocuteur unique. Tout ce qui est dit ou remis figure au procès-verbal et peut fonder la suite de la procédure.
Combien coûte un accompagnement RGPD ?
Cela dépend du nombre de traitements et de la mission choisie. La mise en conformité et la rédaction des contrats se prêtent au forfait, la fonction de DPO à l'abonnement, la défense face à la CNIL au temps passé. Le mode retenu et son montant figurent dans la convention d'honoraires.
Pour aller plus loin
- Violation de données personnelles : que faire en 72 heures ?Dossier pratique
- RGPD : les obligations des entreprisesDossier pratique
Vos données sont-elles en règle ?
Parlons-en au cabinet, rue du Sénéchal à Toulouse : vous saurez où vous en êtes, et ce qu'il reste à faire.