GED et RGPD : guide complet pour la conformité en 2026

La Gestion Électronique des Documents (GED) est devenue un outil essentiel pour les PME qui veulent centraliser, sécuriser et retrouver rapidement leurs documents professionnels. Mais dès lors que votre GED stocke des données personnelles (CV, contrats, factures clients, fiches de paie), elle tombe sous le coup du Règlement Général sur la Protection des Données (RGPD).

En 2026, la CNIL continue de renforcer ses contrôles sur les outils de GED utilisés par les entreprises françaises. Les sanctions peuvent atteindre 4% du chiffre d'affaires annuel mondial ou 20 millions d'euros. Ce guide vous explique comment rendre votre GED conforme au RGPD et quels sont les critères à vérifier absolument.

Qu'est-ce qu'une GED et pourquoi le RGPD s'applique-t-il ?

Une GED est un logiciel qui permet de numériser, stocker, organiser et rechercher les documents d'une entreprise : contrats, factures, bulletins de salaire, CV, correspondances clients. Elle remplace les armoires physiques par un stockage cloud sécurisé et accessible de partout.

Le RGPD s'applique dès qu'une GED traite des données permettant d'identifier directement ou indirectement une personne physique (client, salarié, prospect, fournisseur). Autrement dit : toute GED professionnelle est concernée.

Concrètement, des documents comme un contrat de travail, une fiche de paie, une facture client nominative, un CV ou une simple carte de visite numérisée sont des traitements de données personnelles soumis au RGPD.

Les 6 obligations RGPD pour une GED conforme

1. Licite, loyale et transparente

Vous devez avoir une base légale pour collecter et stocker chaque type de document : exécution d'un contrat, obligation légale (archivage comptable 10 ans), intérêt légitime ou consentement explicite de la personne concernée.

2. Finalités déterminées

Chaque document stocké doit servir un but précis et déclaré. Vous ne pouvez pas collecter des documents sans raison définie, ni les réutiliser pour une finalité différente sans information préalable.

3. Minimisation des données

Ne conservez que les documents strictement nécessaires. Une GED conforme RGPD doit permettre de masquer ou anonymiser les données superflues (par exemple, masquer le numéro de sécurité sociale sur une fiche de paie consultée par un manager RH).

4. Exactitude et mise à jour

Les documents doivent être à jour et inexacts supprimés. Votre GED doit permettre la correction ou la suppression d'un document erroné sur demande de la personne concernée.

5. Limitation de la conservation

Chaque type de document a une durée de conservation réglementée. Exemples : fiches de paie 5 ans, bulletins de salaire 5 ans, contrats commerciaux 5 ans, dossier client 3 ans après fin de relation, pièces comptables 10 ans. Votre GED doit purger automatiquement les documents à expiration.

6. Intégrité et confidentialité

Les documents doivent être protégés contre tout accès non autorisé, altération ou destruction accidentelle. Cela implique chiffrement, sauvegarde, contrôle d'accès et traçabilité.

Comment sécuriser une GED conformément au RGPD

Chiffrement au repos et en transit

Les documents doivent être chiffrés à la fois pendant le stockage (at rest) avec des algorithmes type AES-256, et pendant leur transfert (in transit) via HTTPS/TLS 1.2+. Une GED sérieuse utilise également le chiffrement côté serveur avec des clés propres à chaque client.

Contrôle d'accès granulaire

Votre GED doit implémenter du RBAC (Role-Based Access Control) : seuls les utilisateurs avec les bonnes permissions peuvent consulter ou modifier un document. Exemple : la fiche de paie d'un salarié ne doit être visible que par lui-même, son manager direct et le service RH.

Authentification forte (MFA)

L'authentification à deux facteurs (2FA/MFA) doit être obligatoire pour tous les comptes, et non optionnelle. Les mots de passe seuls ne suffisent plus en 2026.

Traçabilité et audit logs

Chaque accès, lecture, modification, suppression ou téléchargement doit être tracé avec horodatage, utilisateur, adresse IP et action effectuée. Les logs doivent être conservés minimum 6 mois pour permettre d'enquêter en cas de fuite de données.

Localisation des données en UE

Le RGPD exige que les données personnelles des citoyens européens soient stockées sur des serveurs situés dans l'Union européenne, ou dans un pays doté d'un niveau de protection équivalent. Privilégiez une GED dont les datacenters sont en France ou en Allemagne.

Sauvegarde et redondance

Des sauvegardes quotidiennes chiffrées, avec rétention sur plusieurs semaines, sur un datacenter distinct. Objectif : pouvoir restaurer vos documents même en cas d'incident majeur (incendie, cyberattaque, erreur humaine).

Gérer les droits des personnes dans votre GED

Le RGPD donne plusieurs droits aux personnes dont les données sont stockées dans votre GED. Votre logiciel doit permettre de les exercer rapidement (délai légal : 1 mois maximum).

• Droit d'accès : permettre à un client ou un salarié d'obtenir une copie de tous les documents le concernant

• Droit de rectification : corriger un document erroné (adresse, nom, date)

• Droit à l'effacement (droit à l'oubli) : supprimer définitivement les documents d'une personne qui n'a plus de relation contractuelle avec vous

• Droit à la portabilité : exporter les documents dans un format structuré et lisible (PDF, XML, JSON) pour transfert vers un autre système

• Droit d'opposition : ne plus traiter certaines données pour une finalité spécifique (marketing, par exemple)

• Droit à la limitation : geler temporairement le traitement pendant une vérification

Classement automatique et indexation conforme

Un des défis majeurs d'une GED conforme RGPD est de pouvoir retrouver rapidement tous les documents concernant une personne pour exercer ses droits. Cela passe par un classement automatique et une indexation intelligente.

Les GED modernes utilisent l'OCR (Reconnaissance Optique de Caractères) pour extraire automatiquement les informations clés d'un document numérisé : nom, prénom, date, numéro de contrat, montant. Ces métadonnées permettent ensuite de lister tous les documents d'une même personne en quelques secondes.

Le classement se fait généralement en 3 niveaux : par type de document (contrat, facture, CV), par entité (client, salarié, fournisseur) et par date. Un bon système permet aussi des tags personnalisés et une recherche pleine-texte sur le contenu des documents.

Audit de conformité RGPD : les 10 points à vérifier

Avant de choisir ou d'auditer votre GED, vérifiez ces 10 critères essentiels :

• Le prestataire signe-t-il un contrat de sous-traitance (DPA) conforme article 28 RGPD ?

• Les données sont-elles hébergées en Union européenne ?

• Le chiffrement AES-256 est-il appliqué au repos et en transit ?

• L'authentification forte (MFA) est-elle disponible et imposable ?

• Les logs d'accès sont-ils conservés au moins 6 mois ?

• La purge automatique des documents expirés est-elle configurable ?

• L'export des données d'une personne est-il possible en un clic ?

• La suppression définitive avec traçabilité est-elle disponible ?

• Le prestataire est-il certifié ISO 27001, HDS ou SecNumCloud ?

• Un Délégué à la Protection des Données (DPO) est-il joignable chez le prestataire ?

Combien coûte une GED conforme RGPD ?

Les tarifs d'une GED varient de 5 à 50 euros par utilisateur par mois selon les fonctionnalités. Les points à considérer dans le budget :

• Nombre d'utilisateurs simultanés

• Volume de stockage (en Go ou To)

• Fonctionnalités RGPD natives vs add-ons payants

• Intégrations avec votre ERP, CRM, outils RH

• Support technique et accompagnement conformité

Chez 1Acces, notre GED est incluse dans notre module Stockage Cloud & GED à 19 euros par mois et par utilisateur, avec chiffrement AES-256, hébergement France, authentification MFA, logs 12 mois et purge automatique. Un Délégué à la Protection des Données est joignable pour répondre à toutes les demandes RGPD.

La GED 1Acces : conformité RGPD by design

Notre module GED a été conçu dès le départ avec le RGPD à l'esprit. Concrètement, vous bénéficiez de :

• Hébergement dans des datacenters certifiés HDS (Hébergement de Données de Santé) situés à Paris et Lyon

• Chiffrement AES-256 au repos et TLS 1.3 en transit

• Authentification multi-facteurs imposée par défaut pour les comptes administrateurs

• Contrôle d'accès granulaire par rôle, équipe et projet

• Logs d'accès détaillés conservés 12 mois

• Purge automatique configurable par type de document selon les durées légales

• Export RGPD : toutes les données d'une personne exportables en PDF ou JSON en un clic

• Contrat de sous-traitance (DPA) conforme article 28 RGPD fourni dès la souscription

• Délégué à la Protection des Données (DPO) externalisé inclus

Conclusion : ne reportez pas la mise en conformité

La conformité RGPD de votre GED n'est pas une option mais une obligation légale. Les contrôles CNIL sont de plus en plus fréquents et les sanctions s'alourdissent chaque année. Une GED non conforme représente un risque juridique, financier et réputationnel majeur pour votre entreprise.

La bonne nouvelle : migrer vers une GED conforme est rapide (souvent moins de 2 semaines) et les coûts sont accessibles pour les PME. Commencez par auditer votre situation actuelle avec les 10 points mentionnés plus haut, puis choisissez un prestataire sérieux qui vous accompagne dans la mise en conformité.

Vous voulez en savoir plus sur notre solution GED conforme RGPD ? Prenez rendez-vous avec un expert 1Acces ou testez gratuitement notre plateforme pendant 14 jours.