Article 71 RGPD : le rapport annuel du CEPD décrypté

Chaque printemps, le Comité européen de la protection des données (CEPD) publie un document que peu de juristes d’entreprise lisent vraiment, et qui résume pourtant l’année réglementaire qui les attend : son rapport annuel. Le 9 avril 2026, le CEPD a ainsi rendu public son rapport 2025 ; un an plus tôt, le rapport 2024. Derrière cette routine se cache une obligation précise, posée en deux paragraphes par l’article 71 du RGPD. Loin d’être un simple exercice de communication, ce rapport est l’instrument par lequel le comité rend compte de son travail — et, pour qui sait le lire, le meilleur outil de veille gratuit du marché. Voici ce qu’il faut comprendre.

Ce que dit l’article 71 du RGPD

L’article 71 est l’une des dispositions les plus courtes du chapitre VII, mais chacun de ses deux paragraphes a une fonction claire.

L’article 71(1) pose l’obligation : « Le comité établit un rapport annuel sur la protection des personnes physiques à l’égard du traitement dans l’Union et, s’il y a lieu, dans les pays tiers et les organisations internationales. Le rapport est rendu public et transmis au Parlement européen, au Conseil et à la Commission. » Trois éléments structurent ce texte : une obligation (établir un rapport chaque année), un champ (l’Union, mais aussi les pays tiers et organisations internationales lorsque c’est pertinent) et une double destination (publicité générale et transmission aux trois institutions politiques de l’Union).

L’article 71(2) précise le contenu minimal : « Le rapport annuel comprend un examen de l’application pratique des lignes directrices, recommandations et bonnes pratiques visées à l’article 70, paragraphe 1, point l), ainsi que des décisions contraignantes visées à l’article 65. » Le législateur ne laisse donc pas le comité libre de raconter ce qu’il veut : le rapport doit obligatoirement faire le bilan de la doctrine produite et des décisions impératives rendues. C’est une exigence de reddition de comptes, pas une vitrine.

Un rapport qui boucle le mécanisme de cohérence

L’article 71 ne prend tout son sens qu’au regard de l’indépendance du comité. Comme je l’explique à propos de l’article 69, le CEPD agit « en toute indépendance » : il ne reçoit d’instructions de personne. Or une autorité indépendante doit rendre des comptes autrement que par la voie hiérarchique — par la transparence. Le rapport annuel est précisément cette contrepartie : parce que le comité n’obéit à aucun supérieur, il s’oblige à exposer publiquement son action devant le Parlement, le Conseil et la Commission.

Le renvoi de l’article 71(2) n’est pas anodin. En imposant un examen de l’« application pratique » des lignes directrices au titre du point (l) de l’article 70(1), le RGPD demande au comité de ne pas seulement produire de la doctrine, mais d’en évaluer les effets réels. C’est un mécanisme d’auto-évaluation : le CEPD doit régulièrement se demander si ses propres lignes directrices fonctionnent sur le terrain. De même, le bilan obligatoire des décisions contraignantes de l’article 65 — celles qui ont fondé certaines des sanctions les plus lourdes du RGPD — donne une lecture consolidée de l’arbitrage entre autorités. Le rapport annuel referme ainsi la boucle du mécanisme de cohérence : production de doctrine, application par les autorités, évaluation des résultats.

Ce que contient réellement le rapport annuel du CEPD

Depuis 2018, le comité a tenu cette obligation chaque année. La lecture des rapports récents montre à quel point ce document dépasse le minimum légal de l’article 71(2) pour offrir un panorama complet de l’année.

Le rapport 2024, publié le 23 avril 2025 sous le titre « Protecting personal data in a changing landscape », faisait le bilan d’une année marquée par l’adoption de la stratégie 2024-2027 du comité. Il recensait notamment huit avis rendus au titre de l’article 64(2) — sur les modèles « consentement ou paiement » des grandes plateformes, la reconnaissance faciale dans les aéroports ou encore l’utilisation de données personnelles pour entraîner des modèles d’intelligence artificielle — ainsi que quatre nouvelles lignes directrices, dont celles sur l’intérêt légitime et sur les transferts de données vers des autorités de pays tiers.

Le rapport 2025, publié le 9 avril 2026 sous le titre « Supporting stakeholders through guidance and dialogue », confirme cette montée en puissance. Sous la présidence d’Anu Talus, le comité y met en avant la déclaration d’Helsinki sur la clarté, le soutien et l’engagement, destinée à faciliter la conformité au RGPD. Les chiffres parlent d’eux-mêmes : 29 avis adoptés au titre de l’article 64(1), 414 dossiers transfrontaliers créés dans le registre du comité, 1 299 procédures liées au guichet unique (article 60) déclenchées dont 572 ont abouti à une décision finale, et un total de 1,15 milliard d’euros d’amendes prononcées par les autorités nationales sur l’année. Le rapport souligne aussi l’essor de la coopération inter-régulateurs, avec les premières lignes directrices conjointes CEPD-Commission sur l’articulation entre le Digital Markets Act et le RGPD, et des lignes directrices sur l’articulation entre le Digital Services Act et le RGPD.

Pour une entreprise, ces rapports ne sont pas de la littérature institutionnelle : ce sont des indicateurs avancés. Les sujets sur lesquels le comité a concentré ses avis et ses lignes directrices une année donnée sont, presque mécaniquement, ceux que les autorités nationales contrôleront les années suivantes.

Rapport du CEPD et rapport de la CNIL : ne pas confondre

Une confusion fréquente mérite d’être levée. Le rapport annuel de l’article 71 est celui du comité européen. Il ne se substitue pas au rapport annuel de chaque autorité de contrôle nationale, qui obéit, lui, à une obligation distincte que j’analyse à propos de l’article 59. La CNIL publie son propre rapport d’activité, centré sur les plaintes reçues, les contrôles menés et les sanctions prononcées en France.

Les deux documents sont complémentaires, mais leur usage diffère. Le rapport de la CNIL renseigne sur les priorités de contrôle françaises et la pratique répressive nationale : c’est l’outil de veille de proximité. Le rapport du CEPD donne la perspective européenne : les grandes orientations doctrinales, les dossiers transfrontaliers majeurs et les sujets émergents qui descendront ensuite dans les pratiques de chaque autorité. Une veille sérieuse croise les deux : le cadre européen fixé par le comité, et sa déclinaison française par la CNIL.

Comment exploiter le rapport annuel du CEPD

Dans mon expérience de conseil, le rapport annuel du comité est l’un des outils de veille les plus sous-utilisés par les entreprises françaises, alors qu’il est gratuit, public et synthétique. Trois usages méritent d’être systématisés.

Premier usage — anticiper les contrôles à venir. Les thématiques sur lesquelles le comité a produit ses avis et lignes directrices dessinent l’agenda réglementaire. Lorsque le rapport met en avant l’entraînement des modèles d’IA, les modèles « consentement ou paiement » ou l’articulation avec le DMA et le DSA, ces sujets deviennent des points d’attention prioritaires. Lire le rapport, c’est savoir où regarder dans sa propre cartographie des traitements avant que l’autorité ne le fasse.

Deuxième usage — calibrer son exposition au risque. Le bilan des décisions contraignantes de l’article 65 et le montant cumulé des amendes nationales — 1,15 milliard d’euros pour la seule année 2025 — donnent une mesure concrète du risque financier. Ces chiffres, replacés dans la durée, permettent d’objectiver une analyse de risque interne et de justifier, auprès d’une direction, les arbitrages budgétaires de conformité.

Troisième usage — saisir les fenêtres de dialogue. Le rapport recense les consultations publiques et les événements organisés avec les parties prenantes. Comme le comité consulte avant d’adopter ses textes, ces moments sont autant d’occasions, pour une fédération professionnelle ou une entreprise, de faire valoir une réalité de terrain auprès d’un organe indépendant. C’est un canal d’influence légitime et largement délaissé par les acteurs français.

C’est ce travail de veille structurée — relier chaque orientation du CEPD à vos obligations concrètes — que des outils de conformité comme Legiscope permettent d’industrialiser, plutôt que de découvrir les priorités du régulateur après coup.

Ce qu’il faut retenir

• L’article 71 RGPD impose au Comité européen de la protection des données (CEPD) d’établir un rapport annuel, rendu public et transmis au Parlement européen, au Conseil et à la Commission.
• Ce rapport doit obligatoirement comprendre un examen de l’application pratique des lignes directrices (article 70(1)(l)) et un bilan des décisions contraignantes de l’article 65 : c’est un mécanisme de reddition de comptes, contrepartie de l’indépendance du comité.
• Le rapport 2025, publié le 9 avril 2026, recense 29 avis, 414 dossiers transfrontaliers, 1 299 procédures de guichet unique et 1,15 milliard d’euros d’amendes nationales sur l’année.
• Il ne se confond pas avec le rapport annuel de la CNIL, qui relève d’une obligation distincte (article 59) et offre la perspective française.
• Pour une entreprise, le rapport du CEPD est un outil de veille gratuit qui annonce les priorités de contrôle, mesure le risque financier et signale les fenêtres de consultation.

FAQ

Qui rédige le rapport annuel prévu à l’article 71 du RGPD ?

C’est le Comité européen de la protection des données (CEPD), l’organe de l’Union qui réunit les autorités de contrôle nationales. Le rapport est ensuite rendu public et transmis au Parlement européen, au Conseil et à la Commission européenne.

Que doit obligatoirement contenir le rapport annuel du CEPD ?

L’article 71(2) impose deux éléments minimaux : un examen de l’application pratique des lignes directrices, recommandations et bonnes pratiques (au titre de l’article 70(1)(l)) et un bilan des décisions contraignantes adoptées sur le fondement de l’article 65. Le comité va en pratique bien au-delà, avec un panorama complet de son activité annuelle.

Le rapport du CEPD remplace-t-il le rapport annuel de la CNIL ?

Non. Le rapport du CEPD donne la perspective européenne, tandis que le rapport de la CNIL, qui relève de l’article 59 et de la loi Informatique et Libertés, détaille les plaintes, contrôles et sanctions en France. Les deux documents sont complémentaires et doivent être lus ensemble.

Pourquoi une entreprise devrait-elle lire le rapport annuel du CEPD ?

Parce qu’il annonce les priorités du régulateur. Les sujets sur lesquels le comité concentre ses avis et lignes directrices une année donnée deviennent presque toujours des thèmes de contrôle les années suivantes. C’est un outil de veille gratuit pour anticiper les risques et calibrer sa conformité.