La première question que pose tout dirigeant de PME lorsqu'un consultant en protection des données le contacte est toujours la même : combien cela va-t-il me coûter ? La réponse honnête est que cela dépend de plusieurs facteurs, mais il existe des fourchettes indicatives du marché qui permettent de budgétiser raisonnablement. Cet article les détaille, explique ce qui fait monter ou descendre le prix, et précise ce qui se passe en cas de non-conformité.
Le Règlement Général sur la Protection des Données (RGPD), applicable en Espagne depuis mai 2018, exige de toute organisation traitant des données personnelles de disposer d'un système documenté, proportionné et révisable de gestion de ces informations. Le non-respect expose l'entreprise à des sanctions de l'Agence Espagnole de Protection des Données (AEPD) qui ont atteint en 2025 jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial dans les cas les plus graves, et des amendes de plusieurs centaines de milliers d'euros pour les infractions de niveau intermédiaire.
Ce qu'inclut une mise en conformité RGPD complète pour une PME
Avant de parler d'euros, il convient de comprendre en quoi consiste réellement le processus. Une mise en conformité rigoureuse au RGPD comporte quatre grands blocs :
- Diagnostic initial (analyse des écarts) : audit des traitements existants, des flux de données, des contrats fournisseurs et des mesures techniques en vigueur.
- Mise en conformité documentaire et technique : élaboration du Registre des Activités de Traitement (RAT), politiques de confidentialité, mentions informatives, contrats avec les sous-traitants, gestion du consentement et révision des mesures de sécurité.
- Formation du personnel : sensibilisation de base pour les employés qui manipulent des données de clients, de patients, de salariés ou d'autres catégories.
- Maintenance annuelle : mise à jour du RAT lorsque les traitements évoluent, gestion des demandes d'exercice des droits (accès, rectification, effacement…), révision des contrats avec les prestataires cloud et notification des violations de données le cas échéant.
Si l'entreprise relève des cas prévus à l'article 37 du RGPD ou à l'article 34 de la Loi Organique 3/2018 (LOPDGDD), elle devra également désigner un Délégué à la Protection des Données (DPO), qui peut être interne ou externe.
Fourchettes de prix du marché en 2026
Les prix ci-dessous sont des données indicatives du marché espagnol pour 2026, basées sur l'offre observable des cabinets de conseil et des études juridiques spécialisés. Il ne s'agit pas des tarifs de Summum ; ils varient selon le prestataire, la complexité et la localisation géographique.
| Phase / Service | Petite PME (1-10 salariés) | PME moyenne (11-50 salariés) | Grande PME (51-250 salariés) |
|---|---|---|---|
| Diagnostic initial (analyse des écarts) | 400 – 800 € | 800 – 1 500 € | 1 500 – 3 000 € |
| Mise en conformité complète (doc. + technique) | 800 – 1 500 € | 1 500 – 4 000 € | 4 000 – 10 000 € |
| Formation de base du personnel | 200 – 400 € | 400 – 800 € | 800 – 2 000 € |
| Maintenance annuelle (sans DPO) | 400 – 900 €/an | 900 – 2 500 €/an | 2 500 – 6 000 €/an |
| DPO externe (lorsque obligatoire) | 600 – 1 200 €/an | 1 200 – 3 000 €/an | 3 000 – 8 000 €/an |
Sources de référence pour les fourchettes : publications du Conseil Général du Barreau Espagnol sur les honoraires en protection des données, enquêtes de marché de l'Association Espagnole de la Vie Privée (APEP) et observation de l'offre publique de cabinets et consultants spécialisés en 2025-2026.
Les facteurs qui font varier le prix
1. Volume et nature des traitements
Un cabinet dentaire traitant des données de santé (catégorie spéciale au sens de l'article 9 du RGPD) ou une entreprise traitant des données relatives à des mineurs nécessite des mesures techniques plus robustes et une documentation plus détaillée qu'un garage avec dix clients. Le nombre de traitements distincts — paie, vidéosurveillance, marketing, historique d'achats, communications commerciales — multiplie le travail d'analyse et de documentation.
2. Nombre de sous-traitants
Chaque prestataire qui accède aux données personnelles de l'entreprise (cabinet comptable, prestataire d'emailing, plateforme de formation, ERP en mode SaaS…) nécessite un contrat de sous-traitance (article 28 RGPD). Les PME qui utilisent de nombreux services SaaS ou externalisent des fonctions ont davantage de contrats à examiner et à négocier. Dans les entreprises de taille intermédiaire disposant de 15 à 20 fournisseurs technologiques, ce seul bloc peut représenter 30 à 40 heures de travail.
3. Situation de départ
Si l'entreprise a déjà réalisé une mise en conformité il y a trois ans et n'a besoin que de mettre à jour le RAT et de réviser un ou deux contrats, le coût diminue drastiquement. Si elle part de zéro — sans politique de confidentialité sur son site, sans clauses dans ses contrats clients, sans procédure pour gérer les demandes de droits — la charge de travail est maximale.
4. Secteur d'activité
La santé, l'éducation, les services financiers, les ressources humaines et la vidéosurveillance sont soumis à des exigences supplémentaires au titre de la LOPDGDD ou de réglementations sectorielles. Une maison de retraite ou une société de recrutement nécessite une mise en conformité plus approfondie qu'un distributeur industriel.
5. Présence de données de catégories spéciales
Le RGPD réserve un régime de protection renforcée aux données de santé, à l'origine ethnique, à l'idéologie politique ou religieuse, à l'orientation sexuelle, aux données biométriques et aux données génétiques. Traiter l'une de ces catégories exige la réalisation d'une Analyse d'Impact relative à la Protection des Données (AIPD), ce qui représente un coût supplémentaire de 1 500 à 4 000 euros selon la complexité du traitement.
6. Modalité : projet unique ou abonnement annuel
De nombreux prestataires proposent la mise en conformité sous la forme d'un projet à prix forfaitaire (coût unique) auquel s'ajoute une cotisation de maintenance annuelle. D'autres fonctionnent en mode abonnement dès le départ. L'abonnement présente l'avantage d'inclure les mises à jour réglementaires et la réponse aux violations de données sans surcoût, ce qui réduit le risque de décrochage après une réforme législative ou une résolution de l'AEPD modifiant les critères applicables à un traitement donné.
Quand le DPO est-il obligatoire ?
Le Délégué à la Protection des Données (DPO) est obligatoire, en vertu de l'article 37 du RGPD et de l'article 34 de la LOPDGDD, pour :
- Les autorités et organismes publics.
- Les organisations qui effectuent, à grande échelle, des traitements de catégories spéciales de données (santé, données génétiques, biométriques…).
- Les organisations qui effectuent, à grande échelle, une surveillance systématique des personnes (par exemple, les services de sécurité dotés d'une vidéosurveillance massive).
- Les entités expressément ajoutées par la LOPDGDD : opérateurs de réseaux et de services de communications électroniques, établissements financiers et assureurs, sociétés de sécurité privée, établissements de jeux, établissements d'enseignement et cliniques privées traitant des données de santé, entre autres.
Pour une PME ordinaire ne relevant pas des catégories précédentes, le DPO n'est pas légalement obligatoire, bien que disposer d'un DPO externe constitue une couche de supervision appréciée favorablement par l'AEPD en cas d'inspection ou de plainte. Si votre entreprise relève de l'un de ces cas, consultez le service de mise en conformité RGPD de Summum Consultoría pour déterminer l'obligation et son étendue exacte.
Que se passe-t-il en cas de non-conformité : le coût réel
L'AEPD a publié en 2025 son rapport annuel avec les données relatives aux décisions de sanction. Le montant moyen des sanctions infligées aux PME pour infractions graves (absence de base légale, absence de contrats avec les sous-traitants, absence de mesures de sécurité) s'est situé autour de 15 000 – 80 000 euros. Les infractions mineures (absence d'informations de base dans les formulaires web, politique de confidentialité obsolète) se règlent généralement par un avertissement si elles sont corrigées, mais les infractions graves et très graves donnent lieu à une amende financière dans la majorité des cas.
Au-delà de l'amende directe, il faut tenir compte du coût réputationnel d'une résolution publique de l'AEPD — publiée sur son site et indexée par Google — et de la possibilité que des clients ou des salariés engagent des actions civiles en dommages et intérêts à la suite d'une violation de données mal gérée.
Cela dit, le coût de la mise en conformité est structurellement inférieur au coût du non-respect dans pratiquement tous les scénarios. La question n'est pas de savoir s'il faut se conformer, mais comment le faire efficacement.
Comment choisir un prestataire de conseil RGPD
Le marché de la protection des données a beaucoup évolué depuis 2018 et l'offre est très hétérogène. Quelques critères pratiques pour évaluer les prestataires :
- Accréditation du DPO : bien qu'il n'existe pas de certification officielle obligatoire, les schémas reconnus sont ceux fondés sur la norme UNE-EN ISO/IEC 17024 ou les programmes de certification de l'AEPD. Renseignez-vous sur la formation et l'expérience vérifiables du consultant qui signera le dossier.
- Spécialisation sectorielle : un consultant qui connaît la réglementation sanitaire ou financière apporte davantage de valeur qu'un généraliste.
- Maintenance réelle : de nombreux projets se clôturent avec la documentation initiale et personne ne met à jour le RAT lorsque l'entreprise contracte un nouveau prestataire cloud ou lance une nouvelle campagne d'emailing. Exigez un SLA de mise à jour avec des délais concrets.
- Gestion des violations de données : le RGPD exige la notification de certaines violations de données à l'AEPD dans un délai maximum de 72 heures. Le prestataire doit disposer d'une procédure de réponse incluant cette notification.
Summum Consultoría accompagne les PME dans toute l'Espagne depuis 2007, avec une présence particulière en Castille-et-León (Valladolid, Burgos, Palencia, Aranda de Duero) et aux Îles Canaries. L'équipe a géré plus de 2 000 projets de mise en conformité réglementaire pour des entreprises de divers secteurs, et connaît bien les résolutions de l'AEPD qui affectent le plus les PME espagnoles. Si vous souhaitez savoir ce que le RGPD implique exactement pour votre type d'entreprise, le point de départ est le service de conseil RGPD pour PME de Summum.
Questions fréquentes
Une micro-entreprise de deux salariés doit-elle se conformer au RGPD ?
Oui. Le RGPD ne fixe pas de seuil de taille minimal pour son application. Toute organisation traitant des données personnelles — un travailleur indépendant disposant d'une base de données clients, un commerce équipé d'une caméra de vidéosurveillance, un cabinet médical unipersonnel avec des dossiers de patients — est soumise au règlement. Ce que prévoit le RGPD (article 30, paragraphe 5), c'est d'exempter du Registre des Activités de Traitement les entreprises de moins de 250 salariés, sauf si leurs traitements ne sont pas occasionnels ou incluent des catégories spéciales de données, mais cette exemption est en pratique très étroite et ne dispense pas du respect des autres obligations.
Combien de temps dure la mise en conformité initiale ?
Pour une PME de 10 à 50 salariés avec des traitements courants (données clients, paie, vidéosurveillance), une mise en conformité complète prend généralement entre 4 et 10 semaines, du diagnostic initial à la signature de tous les documents. Le délai dépend de la rapidité avec laquelle l'entreprise fournit les informations nécessaires et de la nécessité ou non de négocier des contrats avec des sous-traitants réticents à inclure les clauses RGPD.
Quelle est la différence entre le conseil RGPD et le DPO externe ?
Le conseil RGPD correspond au projet de mise en conformité : analyse, documentation, formation et déploiement. Le DPO externe est la figure de supervision continue que le RGPD impose à certaines organisations : un professionnel formellement désigné qui agit comme point de contact avec l'AEPD, surveille la conformité interne et conseille le responsable du traitement. Ce sont deux services distincts même s'ils sont proposés par le même prestataire ; le DPO ne remplace pas le conseil mais le complète.
Les dépenses de conseil RGPD sont-elles déductibles de l'impôt sur les sociétés ?
Oui. Les dépenses de conseil en conformité réglementaire constituent une charge ordinaire de l'activité professionnelle et sont donc déductibles de l'impôt sur les sociétés (ou de l'impôt sur le revenu du chef d'entreprise individuel) à condition d'être correctement documentées par une facture et justifiées comme nécessaires à l'activité. Consultez votre conseiller fiscal pour le traitement comptable approprié (généralement compte 623 — Services de professionnels indépendants).