Dossier de conformité RGPD : contenu et preuve 2026

Le 11 décembre 2025, la CNIL a infligé une amende d’un million d’euros à la société MOBIUS SOLUTIONS LTD (délibération SAN-2025-014). Parmi les trois manquements retenus figure le plus banal qui soit : l’entreprise ne tenait aucun registre de ses activités de traitement en qualité de sous-traitant. Pas un registre incomplet, pas un registre périmé — pas de registre du tout. C’est le rappel le plus net que l’on puisse donner : en contrôle, ce n’est pas votre conformité réelle qui est examinée, c’est ce que vous êtes capable de produire.

L’article 5(2) a renversé la charge de la preuve

Le RGPD tient en une phrase ce que la loi Informatique et Libertés de 1978 organisait par la déclaration préalable : « Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté ». C’est l’article 5(2), et c’est le pivot de tout le règlement.

Concrètement, cela signifie trois choses que beaucoup d’organisations n’ont toujours pas intégrées huit ans après l’entrée en application :

• Il ne vous appartient pas de contester une accusation d’irrégularité : il vous appartient d’apporter, spontanément, la preuve de la régularité. L’absence de preuve est en elle-même un manquement à l’article 5(2), indépendamment de ce que valait le traitement sur le fond.
• La preuve doit être documentaire. Une déclaration en séance de contrôle, un témoignage de la DSI ou une capture d’écran non datée ne constituent pas une démonstration.
• La preuve doit être contemporaine du traitement. Une politique de conservation rédigée après réception de l’avis de contrôle ne démontre rien sur les cinq années écoulées.

L’article 24 RGPD complète le dispositif en imposant des mesures techniques et organisationnelles appropriées, « réexaminées et actualisées si nécessaire », et précise à son paragraphe 2 que ces mesures « comprennent la mise en œuvre de politiques appropriées en matière de protection des données » lorsque cela est proportionné. Le mot politiques n’est pas décoratif : il désigne des documents écrits, adoptés, diffusés et révisés.

Le corollaire, c’est que la conformité produit un artefact matériel : un ensemble documentaire que la CNIL vous demande de « constituer et regrouper » dans sa fiche « Documenter la conformité » — sixième et dernière étape de sa méthode de mise en conformité. C’est ce que la pratique appelle le dossier de conformité, ou dossier d’accountability.

Ce que doit contenir le dossier de conformité

La CNIL structure le dossier en trois blocs. Je les reprends ci-dessous en indiquant, pour chaque pièce, le fondement juridique exact — parce qu’en contrôle, savoir pourquoi une pièce est exigée détermine la forme qu’elle doit prendre.

À cette liste s’ajoutent, selon les organisations, la désignation et les moyens du délégué à la protection des données (art. 37 à 39), le rapport d’activité du DPO, la politique de durées de conservation, la charte informatique, le plan de formation, et le cas échéant l’adhésion à un code de conduite ou une certification, dont l’article 24(3) prévoit qu’elle « peut servir d’élément pour démontrer le respect des obligations incombant au responsable du traitement ».

Le registre reste la pièce maîtresse

Le registre des activités de traitement n’est pas une pièce parmi d’autres : c’est l’index du dossier. En contrôle, c’est par lui que commence toute vérification, et c’est à partir de lui que les contrôleurs remontent aux bases légales, aux durées, aux destinataires et aux transferts. Un registre à jour donne le ton de l’entretien ; un registre absent le donne aussi.

Un rappel utile sur la dérogation de l’article 30(5) : elle vise les organisations de moins de 250 salariés, mais tombe dès que le traitement est susceptible de comporter un risque pour les droits et libertés, qu’il n’est pas occasionnel, ou qu’il porte sur des données sensibles (art. 9(1)) ou relatives à des condamnations (art. 10). La gestion de la paie et le fichier clients n’ayant rien d’occasionnel, la dérogation est en pratique inapplicable à presque toutes les entreprises. Dans vingt ans de pratique, je n’ai jamais rencontré une seule organisation qui puisse s’en prévaloir sérieusement.

Ce que la CNIL regarde vraiment en contrôle

Les grandes sanctions font les titres, mais elles ne représentent pas le risque statistique. Le 6 juillet 2026, la CNIL a annoncé 23 sanctions prononcées depuis janvier 2026 au titre de la procédure simplifiée, pour un montant cumulé de 133 750 euros, dont 19 issues de plaintes. Huit de ces 23 décisions portaient sur le non-respect des droits d’accès ou d’effacement, et quatre s’accompagnaient d’un défaut de coopération avec la CNIL — c’est-à-dire l’incapacité, ou le refus, de répondre à des demandes d’information de l’autorité. La coopération est une obligation autonome, prévue à l’article 18 de la loi Informatique et Libertés.

Ce chiffre dit l’essentiel. Le contentieux de masse ne porte pas sur des architectures techniques exotiques : il porte sur des demandes restées sans réponse et des documents introuvables. Une amende de la procédure simplifiée est plafonnée à 20 000 euros et l’organisme n’est pas nommé — mais elle s’accompagne fréquemment d’une injonction assortie d’astreinte, et une astreinte liquidée coûte souvent plus cher que l’amende initiale.

Trois défauts reviennent systématiquement dans les dossiers que j’audite :

L’obsolescence. Le dossier existe, il a été constitué en 2018 avec l’aide d’un cabinet, et il n’a pas bougé depuis. Or l’organisation a changé d’hébergeur, déployé un CRM, ouvert une filiale et adopté trois outils d’IA générative. Un dossier daté de 2018 ne démontre rien sur 2026 : il démontre au contraire un défaut de réexamen au sens de l’article 24(1).

La dispersion. Le registre est chez le DPO, les DPA au service achats, les mentions d’information chez l’agence web, les preuves de consentement dans le CMP, la politique de sécurité chez le RSSI. Chaque pièce existe ; le dossier, lui, n’existe pas. Le jour du contrôle, quinze jours de reconstitution ne rattrapent pas six ans d’absence de tenue.

L’absence de datation. C’est le défaut le plus coûteux et le plus facile à corriger. Une pièce non datée, non versionnée, sans trace de la décision qui l’a adoptée, ne prouve pas quand la mesure était en vigueur. Or c’est précisément la question posée en contrôle : la mesure était-elle en place au moment des faits ? Sur ce point, la préparation d’un contrôle de la CNIL se joue plusieurs années à l’avance.

Ce qui s’automatise — et ce qui ne s’automatisera jamais

Le dossier de conformité échoue rarement par ignorance du droit. Il échoue par charge de maintenance. Chaque nouveau traitement déclenche une mise à jour du registre, éventuellement une AIPD, un contrôle du contrat fournisseur, une révision des mentions d’information et une entrée dans la politique de conservation. Multipliez par le rythme réel de déploiement d’outils dans une PME, et vous obtenez une dette documentaire qui s’accumule silencieusement.

La ligne de partage entre le mécanique et le juridique est nette.

Dans les missions que je conduis, la répartition est constante : environ 80 % du temps consacré au dossier de conformité part dans la collecte, le classement, la relance et la mise à jour. Les 20 % restants — la qualification, l’arbitrage, la motivation — sont ceux qui exigent une compétence juridique, et ce sont ceux qu’on n’arrive jamais à faire faute de temps. Automatiser le dossier ne consiste pas à faire faire du droit à une machine : cela consiste à rendre au juriste les quatre cinquièmes de son temps.

C’est cette mécanique que Legiscope prend en charge : le registre sert de colonne vertébrale, chaque traitement porte ses pièces justificatives, les échéances de réexamen déclenchent des alertes, les pièces manquantes remontent dans un tableau de complétude, et le dossier de contrôle s’exporte daté. La même logique s’applique déjà au registre, à la cartographie des traitements, à l’AIPD, aux demandes de droits et à la gestion des sous-traitants.

Constituer le dossier en six semaines

Pour une organisation partant de zéro ou d’un existant dispersé, voici la séquence que j’utilise. Elle privilégie délibérément l’exhaustivité de l’index sur la perfection de chaque pièce : un dossier complet à 70 % vaut infiniment mieux que trois pièces parfaites et dix pièces manquantes.

1. Semaine 1 — Reconstruire le registre. Rien ne se fait avant. Recensez les traitements par entretien avec chaque direction métier, pas par déduction depuis un modèle type. Voir la méthode de cartographie des traitements.
2. Semaine 2 — Rattacher les pièces existantes. Pour chaque traitement du registre, listez ce qui existe déjà : base légale documentée, mention d’information, DPA, durée de conservation, AIPD. L’objectif est de produire une carte des trous, pas de les combler.
3. Semaine 3 — Traiter les manques bloquants. Trois priorités, dans cet ordre : les traitements sans base légale identifiée, les sous-traitants sans contrat conforme à l’article 28, les traitements à risque élevé sans AIPD.
4. Semaine 4 — Écrire les procédures. Exercice des droits, gestion des violations (avec le registre interne de l’article 33(5)), politique de durées de conservation, politique de sécurité. Datez-les et faites-les valider par la direction : l’article 24(2) vise la « mise en œuvre de politiques appropriées », et une politique non validée ne se met pas en œuvre.
5. Semaine 5 — Dater et versionner. Reprenez chaque pièce, apposez une date d’adoption, un numéro de version, un propriétaire et une date de prochain réexamen. C’est l’étape la plus ingrate et la plus rentable.
6. Semaine 6 — Fixer le cycle de vie. Définissez qui met à jour quoi, à quelle fréquence, et sur quel déclencheur. Un dossier de conformité sans cycle de revue redevient un dossier de 2018 en dix-huit mois.

Combien de temps conserver le dossier

Le RGPD ne fixe aucune durée de conservation pour la documentation de conformité elle-même — ce qui déroute beaucoup de DPO. Le raisonnement pratique tient en deux temps.

Tant que le traitement existe, la documentation qui le concerne doit être vivante et à jour. Lorsque le traitement cesse, la documentation conserve une valeur probatoire : elle sert à démontrer la régularité passée si une réclamation, une plainte ou une action en réparation fondée sur l’article 82 survient. Il est donc recommandé de conserver les versions successives, en archivage à accès restreint, pendant une durée calée sur la prescription quinquennale de droit commun de l’article 2224 du code civil. Attention au point de départ : ce texte fait courir les cinq ans « à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer », et non de la fin du traitement. La règle pratique que j’applique est donc : durée du traitement, puis cinq ans d’archivage à compter de son arrêt — en gardant à l’esprit que ce point de départ glissant peut, dans certains cas, justifier une conservation plus longue.

Précision qui a son importance : le dossier de conformité contient lui-même des données personnelles — nom du DPO, identité des demandeurs de droits, coordonnées des contacts fournisseurs. Il constitue donc un traitement, qui doit figurer dans le registre et faire l’objet d’une durée de conservation documentée. C’est une entrée que j’ai vue manquer dans la quasi-totalité des registres que j’ai audités.

Ce qu’il faut retenir

• L’article 5(2) inverse la charge de la preuve : l’absence de documentation ne se plaide pas, elle se constate. Une conformité réelle mais non documentée est juridiquement indéfendable en contrôle.
• Onze familles de pièces composent le socle du dossier : registre, AIPD, encadrement des transferts, mentions d’information, preuves de consentement, procédures de droits, DPA, accords de co-responsabilité, procédure violations, registre interne des violations (art. 33(5)), politique de sécurité.
• Le contentieux de masse porte sur l’ordinaire : sur 23 sanctions simplifiées prononcées entre janvier et juillet 2026, huit visaient le non-respect des droits d’accès ou d’effacement et quatre un défaut de coopération avec la CNIL.
• Trois défauts font tomber un dossier : l’obsolescence, la dispersion entre services, et l’absence de datation des pièces. Le troisième est le plus facile à corriger et le plus coûteux à négliger.
• 80 % du travail est mécanique — collecte, classement, relance, versionnage — et s’automatise. Les 20 % restants (base légale, proportionnalité, avis du DPO) relèvent du jugement juridique et ne s’automatiseront pas.
• La dérogation de l’article 30(5) est un piège : elle tombe dès que le traitement n’est pas occasionnel, ce qui exclut la paie et le fichier clients de toute PME.

FAQ

Le dossier de conformité RGPD est-il obligatoire en tant que tel ?

Aucun article du RGPD n’emploie l’expression « dossier de conformité ». L’obligation résulte de la combinaison de l’article 5(2) et de l’article 24 : vous devez pouvoir démontrer votre conformité, ce qui suppose de disposer des pièces correspondantes. La CNIL formalise cette exigence à la sixième étape de sa méthode de mise en conformité, en vous demandant de « constituer et regrouper la documentation nécessaire ». La forme est libre — classeur papier, espace partagé, logiciel dédié — mais le résultat, lui, est exigible.

Que se passe-t-il si une pièce manque le jour du contrôle ?

Cela dépend de la pièce. L’absence de registre est un manquement autonome à l’article 30, sanctionné comme tel : la délibération SAN-2025-014 du 11 décembre 2025 le rappelle. Pour les autres pièces, l’absence de documentation prive surtout l’organisme de tout moyen de défense sur le fond. Notez par ailleurs que l’article 83(2)(f) fait du degré de coopération avec l’autorité un critère de fixation du montant de l’amende : produire un dossier incomplet mais organisé n’a pas le même effet que ne rien produire.

Une PME de quinze salariés doit-elle tenir un dossier complet ?

Oui, mais proportionné. L’article 24(1) impose des mesures « compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques ». Pour une PME sans traitement à risque élevé, le socle réaliste tient en cinq pièces : registre, mentions d’information, contrats de sous-traitance, politique de durées de conservation et procédure de gestion des violations. Ce qui n’est pas négociable, c’est que ces cinq pièces existent, soient datées et soient à jour.

Un logiciel peut-il constituer le dossier à ma place ?

Il peut en construire l’ossature, détecter les pièces manquantes, gérer les échéances de réexamen et produire un export daté prêt pour le contrôle. Il ne peut pas choisir votre base légale, apprécier la proportionnalité d’un traitement de vidéosurveillance ni motiver l’avis du DPO prévu à l’article 39(1)©. L’outil traite la complétude ; le juriste traite la pertinence. Confondre les deux produit des dossiers volumineux et faux.

Faut-il documenter les violations que l’on n’a pas notifiées à la CNIL ?

Oui, et c’est l’un des oublis les plus fréquents. L’article 33(5) impose de documenter toute violation de données — faits, effets, mesures correctrices — indépendamment de la décision de notifier ou non. Cette documentation a précisément pour objet de permettre à l’autorité de contrôle de vérifier que l’arbitrage de non-notification était fondé. Un registre interne des violations vide alors que l’organisation a connu des incidents constitue en soi un signal défavorable. Voir notre guide sur l’article 33 RGPD.

Pourriez-vous produire votre dossier de conformité demain matin ? Legiscope construit le dossier à partir de votre registre, rattache chaque pièce à son traitement, signale les documents manquants ou périmés et génère un export daté prêt pour un contrôle CNIL. Demander une démo Legiscope.