Article 59 RGPD : exploiter le rapport annuel CNIL
Article 59 RGPD : rapport annuel, chiffres CNIL 2025 et méthode de veille. Transformer les constats en actions sans fausser les indicateurs.
Le rapport annuel de la CNIL permet de comprendre son activité, mais ne donne pas la probabilité qu’une entreprise sera contrôlée. L’article 59 RGPD impose cette publication. Pour un DPO, son intérêt est de transformer les constats utiles en vérifications concrètes, sans confondre statistiques, priorités annoncées et obligations légales.
Ce qu’impose l’article 59 RGPD
L’Art. 59 prévoit un rapport annuel d’activité de chaque autorité de contrôle. Celui-ci est transmis au parlement national, au gouvernement et aux autres autorités désignées par le droit national. Il doit être accessible au public, à la Commission européenne et au Comité européen de la protection des données.
Le rapport peut comprendre une liste des types de violations notifiées et des mesures prises au titre de l’Art. 58(2). Cette faculté n’impose pas la publication de chaque dossier individuel, ni un tableau statistique identique dans tous les pays. Le rapport doit néanmoins porter sur l’activité de l’autorité : l’absence de plan détaillé imposé ne signifie pas absence d’objet.
En France, l’article 8(II) de la loi Informatique et Libertés prévoit également un rapport public annuel au Président de la République et au Premier ministre. La référence à un « article 8-I-7° » serait inexacte. La publication complète les missions de l’article 57 et les pouvoirs de l’article 58, dans le respect de la confidentialité applicable.
Les chiffres 2025 : conserver le bon dénominateur
Dans son bilan publié le 18 mai 2026, la CNIL indique notamment :
| Indicateur 2025 | Valeur publiée |
|---|---|
| Plaintes reçues | 20 150 |
| Contrôles réalisés | 323 |
| Décisions prises | 259 |
| Sanctions | 83 |
| Montant total des amendes | Près de 487 millions d’euros |
| Violations de données notifiées | 6 167 |
La CNIL précise que deux sanctions importantes expliquent le montant total exceptionnel. Elle annonce aussi consacrer en 2026 la moitié de ses contrôles et actions répressives à la sécurité des données. Ces indications décrivent un bilan et une orientation annoncée, pas un résultat annuel 2026 déjà acquis.
Erreur de lecture à éviter : diviser 83 sanctions par 323 contrôles ne mesure pas le risque de sanction à l’issue d’un contrôle. Les sanctions de l’année peuvent concerner des contrôles antérieurs, et ces ensembles ne constituent pas nécessairement une cohorte suivie. De même, la moyenne arithmétique des amendes serait très influencée par les dossiers exceptionnels.
Transformer la veille en plan d’action
La grille ci-dessous est une méthode de travail proposée au DPO ; elle ne constitue pas une obligation supplémentaire de l’Art. 59.
| Constat retenu | Vérification interne | Livrable utile |
|---|---|---|
| Difficultés récurrentes de sécurité | Confronter les risques réels aux mesures déployées et vérifiées | Liste des écarts, responsable et échéance |
| Incidents impliquant un prestataire | Examiner les accès, alertes et responsabilités contractuelles | Compte rendu avec le prestataire et décisions |
| Réclamations liées aux droits | Vérifier quelques demandes réelles de bout en bout | Délai, réponse, justification et preuve de transmission |
| Décision intéressant un traitement proche | Lire la délibération et comparer les faits | Note d’applicabilité, sans généralisation automatique |
Pour le volet sécurité, partir des mesures de l’article 32. Pour les incidents, vérifier séparément la capacité de notification à l’autorité, car le nombre d’incidents enregistrés ne prouve pas la qualité de leur qualification ou le respect des délais.
Chaque action doit avoir un responsable et une preuve de réalisation. « Rapport lu » n’est pas, à lui seul, un indicateur de conformité. Un suivi pertinent distingue les constats non applicables, les vérifications terminées et les écarts réellement corrigés.
Où trouver le rapport et comment suivre les évolutions ?
La médiathèque officielle des rapports annuels permet de retrouver les éditions successives. Conserver l’année couverte et la date de publication : un rapport publié en 2026 peut décrire l’activité 2025.
Il faut aussi consulter les décisions et actualités postérieures. Un rapport annuel n’est pas une liste exhaustive des sujets susceptibles de contrôle, et l’absence d’un secteur dans les priorités annoncées ne l’exonère pas de ses obligations. Pour un groupe européen, la coopération entre autorités justifie de compléter la veille par les rapports des autres autorités pertinentes.
Ce qu’il faut retenir
- L’Art. 59 impose un rapport annuel public et sa transmission institutionnelle.
- Les statistiques décrivent des ensembles qui ne forment pas automatiquement une même cohorte.
- Une priorité annoncée n’est ni une nouvelle obligation ni une prévision individuelle de contrôle.
- La veille devient utile lorsqu’elle conduit à une vérification, une décision et une preuve.
FAQ
Le rapport annuel crée-t-il de nouvelles obligations ?
Non, sa publication ne suffit pas à créer une obligation pour les entreprises. Il faut identifier le texte, la décision ou le cadre juridique qui fonde chaque exigence évoquée.
Toutes les sanctions doivent-elles figurer nominativement dans le rapport ?
L’Art. 59 ne l’impose pas. Il mentionne, à titre facultatif, des types de violations et de mesures. Les règles de publication des décisions et de confidentialité doivent être examinées séparément.
Un secteur absent du rapport est-il à l’abri d’un contrôle ?
Non. Un contrôle peut notamment découler d’une plainte, d’un signalement ou d’un incident. Le bilan annuel ne limite pas les missions légales de l’autorité.
Recevez notre veille pratique : inscription à la newsletter.
Thiebaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.