Documents RGPD : liste pour prouver sa conformité
Mis à jour le 27 octobre 2026.
Réponse rapide
|
L'article 5.2 du RGPD impose au responsable du traitement d'être « en mesure de démontrer » le respect des principes ; l'article 24.1 ajoute que ces mesures « sont réexaminées et actualisées si nécessaire ». Dans les dossiers que nous constituons, le dossier de preuve se range en trois familles :
- Les registres : activités de traitement, violations de données, demandes d'exercice des droits.
- Les analyses : désignation du délégué au regard de l'article 37, conformité des sites et des logiciels, cartographie des flux.
- Les procédures : droits des personnes, violations, contrôles de la CNIL, sous-traitance, transferts hors UE, information des personnes.
Une notice RGPD — la politique de protection des données — chapeaute l'ensemble et renvoie à chaque pièce.
Les pièces qui décrivent vos traitements : registre, analyse d'impact, transferts hors UE
Trois pièces décrivent vos traitements : le registre de l'article 30 du RGPD, l'analyse d'impact exigée par l'article 35.1 pour tout traitement susceptible d'engendrer un risque élevé, et les garanties qui encadrent les transferts hors Union européenne au titre du chapitre V.
Recenser les flux et les supports avant de documenter chaque traitement
Aucune pièce ne se rédige avant l'inventaire : recenser d'abord les flux et les supports de données évite le registre qui ignore la moitié des fichiers.
- Registre des activités de traitement : sept mentions à l'article 30.1, quatre au 30.2 ; la CNIL publie un modèle au format ODS, et un exemple rempli en montre le contenu. L'article 30.5 écarte l'obligation sous 250 employés, sauf traitement non occasionnel ou à risque : un allègement aux limites étroites.
- Analyse d'impact : la délibération n° 2019-118 du 12 septembre 2019 liste douze types d'opérations pour lesquelles une AIPD n'est pas requise ; vérifiez d'abord les cas où une analyse d'impact doit être conduite.
- Transferts hors UE : la garantie invoquée est conservée par le responsable du traitement, jamais par le seul prestataire — clauses types de la décision d'exécution (UE) 2021/914, règles d'entreprise contraignantes de l'article 47, dérogations de l'article 49 ; le contrôleur en vérifie la correspondance avec le registre.
Les pièces qui prouvent l'information des personnes concernées : mentions, preuves du consentement, exercice des droits
Trois pièces prouvent l'information des personnes : les mentions des articles 13 et 14 du RGPD, les preuves du consentement exigées par l'article 7.1, et la traçabilité des demandes de droits, auxquelles l'article 12.3 impose de répondre dans un délai d'un mois.
- Mentions d'information : l'article 12.1 exige une information concise et aisément accessible. La preuve attendue est le support de collecte daté et archivé ; un contrôleur compare la finalité annoncée à celle du registre.
- Preuves du consentement : l'article 7.1 place la charge de la preuve sur le responsable du traitement — conservez l'horodatage, la version du formulaire et le périmètre recueilli.
- Exercice des droits : la procédure écrite ne suffit pas ; le registre des demandes reçues au titre des articles 15 à 22, daté en réception et en réponse, prouve le respect du délai d'un mois, prolongeable de deux mois.
Les contrats et procédures qui répartissent les responsabilités : sous-traitance et notification de violation
Le contrat de l'article 28.3 définit l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées ; la procédure de violation organise la notification à la CNIL dans les meilleurs délais, 72 heures au plus tard.
Exigez de chaque prestataire ce qu'énumère l'article 28.3 : confidentialité des personnes autorisées, mesures de sécurité de l'article 32, conditions de recrutement d'un autre sous-traitant, assistance sur les droits, suppression ou restitution des données, informations permettant les audits. Les lignes directrices 07/2020 du Comité européen de la protection des données ajoutent que des responsables conjoints précisent leurs rôles dans un accord (article 26).
Côté incidents, l'article 33.5 impose de documenter chaque violation — les faits, ses effets, les mesures prises — et la CNIL met à disposition un téléservice de notification, qui admet une notification en deux temps. S'y ajoutent les preuves d'application des mesures du guide de la sécurité des données personnelles.
Qui détient chaque pièce, ce qu'un contrôleur de la CNIL y cherche et ce qui se passe quand elle manque
Dans la notice que nous rédigeons, la direction générale valide et diffuse les documents, le délégué supervise et coordonne, les responsables SI et sécurité portent la sécurité, et chaque responsable de service répond des traitements de son service.
| Pièce | Qui la tient | Ce qu'un contrôleur y cherche en premier | Référence |
|---|---|---|---|
| Registre des traitements | Chaque responsable de service décrit ses traitements, le délégué coordonne | Finalités, bases légales, durées de conservation, destinataires | Art. 30 |
| Analyse d'impact | Le responsable du traitement, sur avis du délégué | Les traitements à risque élevé qui en sont dépourvus | Art. 35 |
| Mentions d'information | Le service qui collecte, sur son support | L'écart entre la finalité annoncée et celle du registre | Art. 13 et 14 |
| Contrat de sous-traitance | La direction, avec le service acheteur | Objet, durée, nature, types de données et personnes concernées | Art. 28.3 |
| Documentation des violations | Le délégué et les responsables SI et sécurité | Les faits, les effets et les mesures prises | Art. 33.5 |
Nous suivons chaque pièce selon trois états seulement — opérationnelle, en cours de rédaction, à programmer — et notons ce qui la bloque : durées et bases légales pour le registre, contrats et localisations pour les transferts hors UE. Reste à faire constituer et tenir à jour ce dossier de preuve : la mission se pilote dans IZIRO, le logiciel dans lequel nous centralisons la documentation obligatoire.
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
Qui, dans l'organisation, détient et met à jour ces pièces ?
La responsabilité reste celle de l'organisation : l'article 24 du RGPD impose au responsable de traitement de démontrer sa conformité. Concrètement, chaque direction métier décrit les traitements qu'elle opère et signale ses changements d'outils ou de prestataires ; une personne identifiée centralise les pièces et tient la version de référence. Le délégué informe, conseille et contrôle au titre de l'article 39 : il n'écrit pas le dossier à la place des métiers et ne décide pas pour la direction.
À quelle fréquence faut-il réviser le dossier de preuve ?
Le RGPD ne fixe aucune périodicité : il exige que la documentation reflète la réalité des traitements. Notre méthode combine donc une revue d'ensemble annuelle et des mises à jour déclenchées par un événement : nouveau traitement, nouvelle finalité, changement de sous-traitant ou d'outil, modification d'une durée de conservation, transfert hors UE, violation notifiée. Chaque mise à jour est datée, afin de pouvoir montrer à quelle date la pièce correspondait à la situation décrite.
Par quoi commencer quand la CNIL adresse une demande de communication de pièces ?
Par le registre : l'article 30.4 du RGPD impose de le mettre à la disposition de l'autorité de contrôle sur demande. Répondez à la demande écrite dans le délai qu'elle indique, en ne transmettant que les pièces demandées, dans leur version en vigueur. Préparez en parallèle les pièces qui s'y rattachent — mentions d'information, contrats de sous-traitance, analyses d'impact des traitements cités — et identifiez un interlocuteur unique chargé des échanges, pour éviter les réponses contradictoires entre services.
Que se passe-t-il si une pièce manque le jour du contrôle ?
Une pièce absente n'emporte pas sanction automatique, mais elle prive l'organisation du moyen de démontrer sa conformité, exigé par les articles 5.2 et 24 du RGPD ; l'article 83 encadre le régime de sanction et tient compte, notamment, du degré de coopération. La bonne réaction est de reconstituer la pièce à sa date réelle et de signaler qu'elle a été établie après la demande. N'antidatez jamais un document : la falsification aggrave la situation bien plus que le manque initial.
