RGAA, RGPD, RGESN, OSEF ?

Le titre est provocateur. Désolé ! Je sais très bien que les plus consciencieux·euses ne « s’en foutent » pas. On a beau travailler dans le numérique depuis des décennies, faire une veille quotidienne appliquée, il n’est pas évident d’être au courant de toutes les réglementations. Le RGAA date officiellement de 2009, le RGPD de 2018 et le RGESN de 2024. Malgré l’ancienneté de ces référentiels, on constate encore beaucoup d’ignorance ou de méconnaissance qui expliquent tout autant de non-conformité. Je ne souhaite pas me mettre en position de moralisateur. J’ai moi-même mis du temps à me mettre en conformité¹. L’objectif de cet article est justement de prendre conscience et surtout d’agir avant qu’il ne soit trop tard.

De la sensibilisation au contrôle, puis la sanction…

Rappel :

• RGAA : Référentiel Général d’Amélioration de l’Accessibilité
• RGPD : Référentiel Général à la Protection des Données
• RGESN : Référentiel Général d’Éco-conception des Services Numériques
• Et je passe les RGS (sécurité), RGI (interopérabilité), R2GA (gestion des archives), etc… (Ce n’est pas que je m’en fous, mais je suis parti pour écrire un livre si je dois tous les aborder… ^^’)

Pourquoi agir maintenant ? On le voit notamment avec le RGAA et le RGPD : malgré les années qui passent, les dérives continuent. Pour obliger les mises en application, les états légifèrent et sanctionnent, à des échelles nationales et internationales (surtout en Europe). Est-ce efficace ? Pas vraiment. Certains paient les amendes, d’autres deviennent partiellement conformes, tandis que les plus laxistes restent non-conformes et/ou ignorent encore et toujours ces référentiels.

Si le contrôle justifie les sanctions, et qu’elles entrainent bien plus de « mises en application », on regrette en revanche que ces dernières n’ont malheureusement pas pour conséquence plus de conformité. Pour les sujets d’accessibilité, on installe une extension qui grossit les polices et les interlignages ou augmente les contrastes. Pour protéger les données privées, on met en place une bannière de consentement qui ne bloque aucun cookie… Inutile de te faire un dessin, tu l’as compris, ces « mises en application » sont insuffisantes, ce qui explique les guillemets… et surtout un renforcement des contrôles et des pénalités.

Pour plus de conformité (et j’ai plutôt envie de parler de qualité ou de normalité, bisous OPQUAST !), il est triste de devoir compter sur plus de contrôles et plus de punitions… D’ailleurs, pour le récent RGESN, qui reste encore de l’ordre de la bonne pratique recommandée, on voit bien que ça passe par dessus la tête de la majorité…

Devenir conforme vis-à-vis des référentiels

Alors pourquoi être conforme ? Au-delà d’une obligation légale (qui relève donc juste du respect d’autrui dans la vie en collectivité, et c’est déjà beaucoup !), c’est aussi démontrer un savoir-faire et un souci de la qualité (bis repetita).

RGAA : l’amélioration de l’accessibilité

Depuis le 28 juin 2025 et l’European Accessibility Act (EAA), les critères relatifs aux entreprises privées se sont étendus : sont concernées les activités bancaires, e-commerces, transport, téléphonie, audiovisuel, avec plus de 10 salariés ou un chiffre d’affaires supérieur à 2 millions d’euros. Oui, ça fait un moment que les sites publics ne sont plus les seuls à devoir appliquer les normes WCAG².

La DGCCRF souhaite instaurer plus de contrôles afin de vérifier les entreprises auditées. C’est très louable, mais l’on peut se poser la question des moyens déployés… Relativement ambitieux voire utopique selon si l’on voit le verre à moitié plein ou à moitié vide…

Les obligations relatives au RGAA :

• Publier une déclaration d’accessibilité indiquant clairement l’état de conformité.
• La déclaration doit être facilement accessible depuis tous les écrans.
• Des plans d’actions pluriannuels doivent détailler les améliorations à venir.
• Un formulaire ou un mécanisme de contact doit permettre de signaler les difficultés d’accessibilité.

Les amendes peuvent désormais atteindre 25 K€ pour défaut d’affichage du statut, et 50 K€ par service non-conforme, renouvelables tous les 6 mois.

RGPD : la protection des données personnelles

Côté RGPD, les entreprises ne peuvent plus se contenter d’avoir « juste » un bandeau cookies et se croire conformes. Elles ne sont pas les seules fautives et se partagent les tords avec les prestataires.

Rappel des exigences historiques : consentement explicite opt-in ; sécurisation, non-transférabilité et accès limités aux données personnelles récoltées ; droit d’accès et de suppression à la demande ; etc.

Les nouveaux impératifs :

• Gestion renforcée du consentement : les formulaires doivent être plus clairs, le retrait du consentement simplifié, et la traçabilité complète.
• Obligations accrues pour les sous-traitants : la chaîne de responsabilité n’est plus diluable, l’obligation rejaillit jusqu’aux partenaires et prestataires.
• Documentation approfondie : tous les traitements et process doivent être finement documentés et accessibles par la CNIL en cas d’enquête.

Les sanctions : 20 millions d’euros ou 4% du chiffre d’affaires mondial. Quelques exemples récents : Google, 325 M€ en septembre 2025 ; SoLocal, 900 K€ en juin 2025 ; Caloga, 80 K€ en mars 2025. Ça pique, hein ?

RGESN : l’éco-conception des services numériques

Je suis peut-être dans ma bulle, mais j’observe un petit engouement : de plus en plus d’appels d’offres commencent notamment à intégrer l’éco-conception. La loi REEN (Réduction de l’Empreinte Environnementale du Numérique) et la CSRD (Corporate Sustainability Reporting Directive) aident obligent peut-être cette prise de conscience…

Mais contrairement au RGAA et au RGPD, la conformité au RGESN reste une démarche volontaire… pour l’instant. En effet, face aux enjeux climatiques, à l’indifférence vis-à-vis de ces derniers, ou pire, au greenwashing, les experts sont plutôt majoritairement favorables à reproduire un principe répressif. L’ARCEP a été surprise par ce retour des professionnels, mais si l’on se fie aux autres référentiels, leur application réelle passe par la contrainte légale. Ce n’est probablement qu’une question de temps.

Et concrètement, on fait quoi maintenant ?

Voici une check list simplifiée pour initier ses mises en conformité :

• Étape 1 : Faire le diagnostic
  • Que ce soit pour le RGAA, le RGPD ou le RGESN : contacter un·e expert·e qui sera en mesure d’auditer le(s) site(s). Les organisations mettent à disposition des supports (grille d’audit et générateur de déclaration) : l’auto-évaluation est possible, mais sans compétences solides, les potentielles erreurs entraîneront tout de même des sanctions. Les critères et méthodologies de test sont exigeants.
• Étape 2 : Prioriser les actions
  Inutile de viser immédiatement la perfection, commencer par :
  • Les critères prioritaires qui ont le plus d’impact.
  • Les points soumis à sanctions.
  • Les quick wins facilement implémentables.
• Étape 3 : Documenter et communiquer
  • Publier les déclarations de conformité (même avec un « mauvais » score).
  • Établir les schémas pluriannuels.
  • Communiquer sur vos efforts et résultats. Transparence = crédibilité !
• Étape 4 : Former et sensibiliser
  • La conformité doit être portée par toutes les équipes (développeurs, designers, chefs de projet), mais n’est pas qu’une affaire technique. Les dirigeants et managers décideurs sont les moteurs de cette dynamique. L’amélioration continue dépend de la formation et de l’implication collective.

Alors, RGAA, RGPD, RGESN, OSEF ou pas ?

Non, clairement pas ! Les entreprises qui ne s’adaptent pas risquent gros. Mais au-delà des sanctions, c’est surtout une opportunité de se différencier positivement. La conformité peut devenir un véritable avantage concurrentiel³. C’est à priori un fait statistiquement avéré : selon un baromètre IFOP de 2025, 74 % des français se disent plus enclins à acheter une offre d’une entreprise engagée ; et 75 % des actifs voient l’éco-responsabilité comme un critère décisif pour l’employeur.

Ces 3 référentiels sont devenus des incontournables du numérique responsable, et leur adoption s’inscrit parfaitement dans une stratégie RSE globale : RGAA pour l’accessibilité et l’inclusion, RGPD pour le respect de la vie privée, RGESN pour l’impact environnemental.

Autant s’y mettre maintenant, avant que la concurrence ne prenne une longueur d’avance, non ? ツ

Perso, DZGND.studio est loin d’être parfait, mais j’essaie d’être le plus exemplaire possible ! Et toi, c’est pour quand ?

1. À noter que les référentiels d’État sont formalisés et publiés plusieurs années après des initiatives « officieuses ». L’accessibilité web s’est imposée en 2005 avec la loi Handicap ; la protection des données personnelles fait débat depuis au moins 2015 ; et l’éco-conception numérique est portée par des acteurs pionniers depuis 2018. Les textes officiels arrivent donc en réponse à des pratiques déjà éprouvées, mais restent essentiels pour généraliser et encadrer le mouvement. Pour ma part, et je le répète souvent ici, le design responsable a commencé à me titiller vers 2017-2018. Je me documente à propos de la QVT et la RSE. Puis, je découvre l’accessibilité numérique vers 2021, en épluchant les rapports Google Lighthouse, et aussi en constatant les nombreuses améliorations de WordPress. De fil en aiguille, l’éco-conception vient juste après… Bref, vous voyez, je suis loin d’être un précurseur ! ^^ ↩︎
2. En France, l’accessibilité numérique est spécifiquement encadrée par le RGAA. Ce dispositif traduit techniquement les standards internationaux (WCAG) dans le contexte réglementaire français et rend leur application obligatoire selon certaines conditions. ↩︎
3. J’admets ne pas trop aimer cet argument. Comme indiqué plus haut, je préfère parler d’un soucis de qualité, voire d’une normalité, plutôt que mettre en avant un « avantage concurrentiel ». ↩︎