Que se passe-t-il lors d'un contrôle RGPD ? (témoignage Coverd)

La perception du RGPD avant le contrôle. Avant de subir ce contrôle, le RGPD était perçu au sein de la startup comme une matière abstraite et lointaine. Dans la culture « zero to one » des lancements de startups, la conformité est le genre de sujet qu'on repousse le plus longtemps possible. Chez Coverd, l'état d'esprit initial était de traiter ces problématiques réglementaires « plus tard », une fois l'entreprise grandie : le RGPD était systématiquement relégué en bas de la roadmap.

La réception de la convocation. Le jour venu, l'équipe n'a pas tout de suite compris qu'il s'agissait d'un contrôle de la CNIL. Un contrôleur a d'abord cherché à joindre l'entreprise via son adresse générique (hello@coverd.co), avec un message demandant de se connecter aux serveurs de la CNIL pour récupérer une convocation — d'abord pris pour une tentative d'arnaque ou de phishing. Ce sont des échanges téléphoniques directs qui ont confirmé le sérieux de la démarche. L'équipe a immédiatement contacté Bold pour l'aider à décrypter cette procédure très formelle.

L'anecdote du CD-ROM. La convocation et les pièces (dont des captures d'écran du site réalisées en amont par la CNIL) étaient enregistrées sur un CD-ROM envoyé par courrier postal. Les MacBook de l'équipe étant dépourvus de lecteur de disque, ils ont dû commander en urgence un lecteur CD-ROM externe pour lire ces documents scellés.

La préparation et le contexte. La préparation a mobilisé une bande passante considérable, forçant la startup à mettre en pause plusieurs chantiers business. Six mois plus tôt, Coverd avait finalisé une levée assortie d'une clause d'audit (« gap ») l'obligeant à atteindre une conformité RGPD totale sous 12 mois : les sujets étaient identifiés et planifiés, mais moins prioritaires que le commercial. L'annonce du contrôle a agi comme un accélérateur.

Le cas des mots de passe : sécurité vs conversion. Mi-2020, Coverd appliquait une politique de mots de passe très stricte (nombreux caractères, casses, caractères spéciaux), alignée sur les recommandations maximales de la CNIL. Mais cette rigidité nuisait à l'expérience et au taux d'inscription. Pour des raisons commerciales, l'équipe a fortement simplifié les critères (3-4 lettres et 3-4 chiffres) environ trois mois avant le contrôle — précisément la fenêtre où la CNIL a constaté le manque de sécurité. Heureusement, Coverd a pu s'appuyer sur l'historique horodaté de son code pour démontrer sa bonne foi et prouver qu'un niveau de sécurité maximal avait été maintenu de longs mois auparavant. L'astuce de conformité trouvée depuis : générer automatiquement un mot de passe fort à l'inscription (aucune contrainte de saisie pour l'utilisateur), puis lui demander de le personnaliser à sa connexion suivante, une fois l'inscription et le paiement validés.

La journée de contrôle. L'audition s'est tenue début janvier 2021, en période de couvre-feu et de télétravail, dans les locaux de la CNIL, de 8h20 à plus de 20h. D'un côté de la table : l'équipe de Coverd (le CEO et le CTO/DPO, Nicolas), soutenue par ses conseils de chez Bold ; de l'autre : deux à trois contrôleurs de la CNIL, appuyés par un expert technique effectuant des vérifications en direct sur le site pour confronter les déclarations à la réalité du code. La préparation menée avec Bold a permis de maîtriser les concepts clés et de répondre précisément.

L'issue et le ciblage de la CNIL. Un mois plus tard, Coverd a reçu un courrier confirmant la clôture, sans amende ni mise en demeure : le procès-verbal se limitait à quelques recommandations pour achever la mise en conformité. Pourquoi une jeune structure ? Les contrôleurs ont révélé que la CNIL suit de nouvelles directives visant l'écosystème numérique et les startups, en particulier l'insurtech B2C (Alan faisait l'objet d'un contrôle au même moment) : l'autorité veut montrer qu'elle encadre toutes les tailles d'entreprises, et si chaque startup ne traite qu'un volume modéré de données, leur multiplication interconnectée représente un risque global critique. Des contre-visites sont d'ailleurs planifiées 6 à 12 mois plus tard pour vérifier l'application des recommandations.

Conclusion. Ce contrôle a mis en évidence que le RGPD repose fondamentalement sur des règles de bon sens — à condition d'être correctement documentées et traçables. Fini le déploiement « sauvage » où formulaires et pages de capture récoltent des données (téléphones, e-mails) sans cadre juridique : l'impératif de rapidité d'une startup ne justifie pas une mauvaise gestion technique, la protection des données faisant partie intégrante de la qualité et de la déontologie d'un projet web.