Rapport d'activité du DPO : modèle CNIL et indicateurs

Le 27 avril 2026, la CNIL a publié un modèle de rapport d’activité destiné aux délégués à la protection des données. Le document n’est pas obligatoire — la Commission le dit elle-même — et c’est précisément ce qui explique pourquoi tant de DPO n’en produisent aucun. C’est une erreur de lecture : le rapport d’activité n’est pas une obligation en soi, c’est le véhicule d’obligations qui, elles, existent bel et bien.

Ce que le RGPD impose réellement (et ce qu’il n’impose pas)

Aucun article du règlement n’emploie les mots « rapport d’activité ». Trois dispositions le rendent pourtant difficilement contournable.

L’article 38(3) RGPD prévoit que le délégué « fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant ». Le texte crée un canal de remontée directe, sans filtre hiérarchique. Il ne dit pas sous quelle forme. Mais un canal qui n’est jamais emprunté est un canal qui n’existe pas : en cas de contrôle, la question posée au DPO est toujours la même — « quand avez-vous rendu compte à la direction générale, et sur quoi ? »

L’article 39(1)(b) confie au DPO la mission de « contrôler le respect » du règlement, « y compris […] les audits s’y rapportant ». Contrôler suppose de mesurer. Mesurer suppose de consigner. L’article 39(2) ajoute que le délégué « tient dûment compte du risque associé aux opérations de traitement » : le contrôle doit donc être hiérarchisé, pas exhaustif.

L’article 24 RGPD enfin impose au responsable de traitement des mesures « réexaminées et actualisées si nécessaire », et l’article 5(2) lui fait porter la charge de démontrer sa conformité. Le rapport d’activité est l’un des rares documents qui matérialise ce réexamen dans le temps.

Résultat : le rapport n’est pas obligatoire, mais son absence prolongée est un indice sérieux qu’aucun des trois mécanismes ci-dessus ne fonctionne. La CNIL le qualifie de « bonne pratique recommandée », formule qui, dans son vocabulaire, signifie « ce que nous nous attendons à trouver ».

Pourquoi c’est votre meilleure pièce en cas de contrôle

Dans mon expérience de conseil, la différence entre un contrôle CNIL qui se termine par une clôture et un contrôle qui glisse vers la procédure de sanction tient rarement au niveau de conformité réel. Elle tient à la capacité de l’organisme à raconter une trajectoire.

Un organisme qui produit trois rapports annuels successifs montre : un état des lieux daté, des écarts identifiés, un plan d’action, et le suivi de ce plan d’action. Un organisme qui produit un classeur de procédures sans historique montre un instantané, dont rien ne dit s’il a été construit la veille de la visite.

Cette différence a une traduction juridique directe. L’article 83(2)(d) impose à l’autorité de contrôle de tenir compte, dans le choix et le montant de la sanction, « du degré de responsabilité du responsable du traitement […] compte tenu des mesures techniques et organisationnelles […] mises en œuvre en vertu des articles 25 et 32 ». L’article 83(2)(f) vise le degré de coopération. Le rapport d’activité alimente les deux.

À l’inverse, les manquements aux articles 37 à 39 — absence de désignation, DPO privé de moyens, DPO tenu à l’écart — relèvent de l’article 83(4)(a), soit un plafond de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Ce n’est pas le plafond le plus élevé du règlement, mais il suffit à rendre l’exercice rentable. Pour les ordres de grandeur observés en pratique, voir notre panorama des sanctions RGPD et amendes CNIL.

Il y a un second usage, moins évoqué et tout aussi utile : le rapport protège le DPO lui-même. Un délégué qui a écrit, noir sur blanc et à date, « je n’ai pas les moyens de couvrir le périmètre confié » n’est pas dans la même position que celui qui a laissé faire en silence.

Le modèle CNIL du 27 avril 2026 : ce qu’il contient

La CNIL met à disposition une trame au format ODT, explicitement présentée comme non contraignante et adaptable. Elle couvre les thématiques attendues d’un pilotage sérieux : bilan des actions de sensibilisation, état du registre des activités de traitement, suivi des violations de données, gestion des demandes d’exercice des droits, avancement des analyses d’impact.

Plus intéressant que la trame : la Commission décrit quatre fonctions que le rapport doit remplir, et c’est de là qu’il faut partir pour construire le sien.

1. Poser des diagnostics sur les principaux traitements et projets à enjeux, en s’appuyant sur le registre des traitements, les analyses d’impact, les résultats d’audits, les violations et les plaintes.
2. Évaluer les risques pour l’organisme — et pas seulement pour les personnes concernées — aux niveaux juridique, financier et réputationnel.
3. Documenter les démarches effectuées ou en cours : réécriture des mentions d’information, révision des clauses contractuelles, renforcement des mesures de sécurité, sessions de sensibilisation, procédures de gestion des violations.
4. Identifier les freins et définir les mesures permettant à l’organisme de monter en maturité.

Le point 2 est celui que la plupart des rapports ratent. Un DPO qui écrit « le traitement de scoring client présente un risque élevé pour les personnes » parle à un comité de direction dans une langue qu’il n’entend pas. Le même DPO qui écrit « ce traitement expose l’entreprise à une réclamation collective, à une amende plafonnée à 4 % du CA mondial et à un arrêt d’exploitation en cas de mise en demeure publique » obtient un arbitrage.

La CNIL recommande également de s’appuyer sur son autoévaluation de maturité en gestion de la protection des données, publiée dès septembre 2021 : un modèle qui décrit 8 activités types réparties sur 5 niveaux de maturité. C’est un excellent support de comparaison d’une année sur l’autre, à condition d’utiliser la même grille chaque année.

Les 12 indicateurs à faire figurer dans le rapport

La CNIL insiste sur les « éléments chiffrés ». Voici la batterie d’indicateurs que je recommande, avec leur source et le seuil qui doit déclencher une alerte en comité de direction.

#	Indicateur	Source	Seuil d’alerte
1	Nombre de traitements inscrits au registre	Registre art. 30	Variation > 20 % sans explication
2	% de fiches de registre revues depuis moins de 12 mois	Registre	< 70 %
3	Nombre de nouveaux projets soumis au DPO avant mise en production	Circuit projet	< 80 % des projets connus
4	AIPD requises / réalisées / en retard	Suivi AIPD	Toute AIPD requise non lancée
5	Demandes d’exercice des droits reçues, ventilées par droit	Registre des demandes	Hausse > 50 % sur un droit
6	Délai moyen et délai maximal de réponse	Registre des demandes	Maximal > 1 mois (art. 12(3))
7	% de demandes traitées hors délai	Registre des demandes	> 5 %
8	Violations détectées / notifiées à la CNIL / notifiées aux personnes	Registre des violations	Toute violation non qualifiée sous 72 h
9	Délai médian détection → qualification	Registre des violations	> 24 h
10	% de sous-traitants couverts par un contrat conforme à l’art. 28(3)	Cartographie fournisseurs	< 90 %
11	Taux de couverture des effectifs par une action de sensibilisation	RH / plateforme e-learning	< 60 % sur 24 mois
12	Avis rendus par le DPO / avis suivis par les métiers	Journal du DPO	Taux de suivi < 75 %

Deux remarques d’expérience.

D’abord, l’indicateur 6 doit impérativement afficher le maximum et pas seulement la moyenne. Une moyenne de 12 jours masque parfaitement une demande restée sans réponse pendant 8 mois — et c’est celle-là qui produira la réclamation. Le détail du dispositif figure dans notre guide sur le droit d’accès RGPD et les délais de réponse.

Ensuite, l’indicateur 12 est le seul qui mesure votre influence réelle. Un taux de suivi des avis de 40 % n’est pas un problème de DPO, c’est un problème de mandat — et il doit remonter tel quel à la direction générale.

À ces douze indicateurs, ajoutez une ligne que personne n’aime écrire : le temps réellement consacré à la fonction, en ETP ou en jours. L’article 38(2) oblige le responsable de traitement à fournir « les ressources nécessaires ». Vous ne pourrez jamais en obtenir davantage sans avoir documenté ce que vous consommez.

Le plan type en 9 sections

Voici la structure que j’utilise et qui s’articule proprement avec le modèle CNIL.

1. Synthèse pour la direction (1 page). Cinq messages maximum, dont au moins une décision attendue. Cette page est la seule que lira le comité de direction ; écrivez-la en dernier.

2. Périmètre et gouvernance. Entités couvertes, rattachement du DPO, moyens alloués, évolution du périmètre depuis le rapport précédent. Si vous êtes DPO externalisé ou mutualisé, précisez le volume contractualisé et le volume consommé.

3. État du registre et de la cartographie. Indicateurs 1 à 3. Signalez les zones grises : traitements RH gérés hors SIRH, outils métiers achetés en direct par les équipes, shadow IT.

4. Traitements et projets à enjeux. C’est la partie « diagnostics » de la CNIL. Trois à cinq traitements maximum, analysés sérieusement, valent mieux que quarante paragraphes descriptifs. Pour chacun : finalité, base légale, risques, mesures, décision attendue.

5. Droits des personnes. Indicateurs 5 à 7, plus les réclamations reçues directement et les éventuelles saisines de la CNIL.

6. Violations et sécurité. Indicateurs 8 et 9, alimentés par le registre des violations, avec un rappel du dispositif de notification à la CNIL sous 72 heures et une vue de l’état des mesures prises au titre de l’article 32.

7. Sous-traitance et transferts. Indicateur 10, complété par la situation des transferts hors UE. C’est le chapitre qui vieillit le plus vite : la conformité contractuelle au titre de l’article 28 se dégrade mécaniquement à chaque renouvellement de fournisseur.

8. Sensibilisation et acculturation. Indicateur 11, et surtout la description des formats employés. La CNIL rappelle que la fonction première du délégué est de diffuser une culture protection des données ; c’est ici qu’on le démontre.

9. Freins, risques et plan d’action N+1. Trois colonnes : action, responsable, échéance. Sans responsable nommé, un plan d’action n’est pas un plan d’action.

Une dixième section devient difficile à éviter en 2026 : l’intelligence artificielle. La 5ᵉ édition de l’Observatoire du métier de DPO, publiée le 3 juillet 2026 par la CNIL, le ministère du Travail et l’AFCDP, est sans ambiguïté sur ce point. 70 % des organisations utilisent ou prévoient d’utiliser l’IA, 81 % d’entre elles de l’IA générative — mais moins d’un quart disposent d’une politique de gouvernance formelle et seules 31 % ont commencé à se préparer à l’application du règlement (UE) 2024/1689. Côté DPO, 55 % déclarent que le règlement IA relève déjà de leurs responsabilités, alors que 27 % seulement estiment bien connaître le texte et que 85 % n’ont suivi aucune formation dédiée. Cet écart mérite d’être écrit dans le rapport plutôt que subi : voir nos nouvelles missions du DPO au titre de l’AI Act.

Les 5 erreurs qui vident le rapport de sa valeur

Le rapport-catalogue. Une énumération d’actions menées, sans lecture du risque ni hiérarchisation. Le lecteur en retient que le DPO a été occupé, pas que l’organisme est protégé.

Le rapport écrit d’un bloc en janvier. La CNIL recommande explicitement de l’alimenter « par petites touches successives au sein d’une structure prédéfinie ». Reconstituer douze mois de mémoire en trois jours produit un document faux dans le détail et pauvre en chiffres. Ouvrez le document en début d’exercice et ventilez au fil de l’eau par catégorie : sensibilisation, conseil, contrôle.

Le rapport sans comparaison N-1. Un chiffre isolé ne dit rien. « 34 demandes de droits » n’a de sens qu’à côté de « 21 l’an dernier ». La maturité se lit dans la pente, pas dans le point.

Le rapport qui tait les freins. C’est l’erreur la plus coûteuse, et la plus fréquente chez les DPO à temps partiel — 79 % des délégués exercent en interne et 85 % à temps partiel selon le même observatoire. Un rapport qui ne mentionne aucune difficulté prive le DPO de son seul levier documenté pour obtenir des moyens au titre de l’article 38(2), et le prive aussi de toute protection ultérieure.

Le rapport jamais présenté. Envoyé en pièce jointe un vendredi soir, il n’a pas été « rapporté au niveau le plus élevé de la direction ». La CNIL recommande, lorsque c’est possible, une présentation formelle en réunion. Trente minutes à l’ordre du jour d’un comité de direction valent plus que quarante pages.

Rythme, format, destinataires

Le rapport n’a pas à être annuel. La CNIL admet un rythme trimestriel, semestriel ou annuel selon les activités de l’organisme. En pratique : trimestriel pour les structures à forte volumétrie de violations ou de demandes, annuel ailleurs, avec un point intermédiaire à mi-parcours.

La date de référence est libre. Deux options fonctionnent mieux que le 31 décembre : la date anniversaire de la prise de fonction du DPO, ou la période de construction budgétaire — c’est le moment où une demande de moyens a une chance d’aboutir.

Prévoyez enfin une version dérivée pour les collaborateurs et les instances représentatives du personnel. La CNIL y insiste : quelques éléments clés, les coordonnées du DPO, les procédures à suivre en cas de violation ou de demande de droits. C’est le meilleur support de sensibilisation qui existe, parce qu’il est concret et daté.

Un dernier point pratique : le rapport assure la continuité en cas de changement de DPO. C’est souvent le seul document qui permet à un successeur de comprendre où en était l’organisme, quels arbitrages avaient été rendus et lesquels avaient été refusés.

Produire les chiffres sans y passer trois semaines

La CNIL note elle-même que « la plupart des logiciels de pilotage de la conformité RGPD intègrent des modules de compte rendu ou reporting facilitant la production des éléments chiffrés ». C’est le nœud du problème : les douze indicateurs ci-dessus sont faciles à définir et pénibles à collecter quand le registre vit dans un tableur, les demandes de droits dans une boîte mail partagée et les violations dans un document Word.

La règle de décision est simple. Si vos données de pilotage sont dispersées dans plus de trois fichiers, la collecte annuelle vous coûtera plus cher que l’outillage. Un registre tenu dans un outil qui horodate chaque modification produit l’indicateur 2 sans effort ; un tableur ne le produira jamais de façon fiable. C’est exactement ce que fait Legiscope : les indicateurs se calculent sur les données que vous tenez déjà à jour, et le rapport se génère à partir d’elles plutôt que d’être reconstitué à la main.

Le même raisonnement s’applique en amont, sur les briques qui alimentent le rapport : voir nos guides sur l’automatisation du registre RGPD et sur l’automatisation des AIPD. Pour un état des lieux préalable avant votre premier rapport, notre méthode d’audit RGPD fournit la grille de départ.

Ce qu’il faut retenir

• Le rapport d’activité du DPO n’est pas obligatoire, mais il matérialise trois obligations qui le sont : le rapport direct à la direction (art. 38(3)), le contrôle du respect du règlement (art. 39(1)(b)) et le réexamen des mesures (art. 24(1)).
• La CNIL a publié le 27 avril 2026 un modèle au format ODT, non contraignant, assorti de bonnes pratiques : alimentation au fil de l’eau, style concis, éléments chiffrés et visuels.
• Un rapport utile évalue le risque pour l’organisme — juridique, financier, réputationnel — et pas seulement pour les personnes concernées. C’est ce qui déclenche les arbitrages.
• Douze indicateurs suffisent, à condition d’afficher les délais maximaux et non les moyennes, et de comparer systématiquement à l’exercice précédent.
• Taire les freins est l’erreur la plus coûteuse : c’est le seul levier documenté pour obtenir les ressources dues au titre de l’article 38(2).
• Un rapport envoyé mais jamais présenté ne satisfait pas l’article 38(3). Prévoyez un point formel à l’ordre du jour du comité de direction.

FAQ

Le rapport d’activité du DPO est-il obligatoire ?

Non. Aucune disposition du RGPD n’impose sa rédaction, et la CNIL le présente comme une bonne pratique recommandée. En revanche, l’article 38(3) impose au délégué de faire directement rapport au niveau le plus élevé de la direction : le rapport d’activité est le moyen le plus simple de démontrer que ce canal fonctionne réellement.

L’organisme peut-il exiger du DPO qu’il produise un rapport ?

Oui. La CNIL confirme que l’organisme peut demander la production de rapports d’activité sans porter atteinte à l’indépendance du délégué. Cette indépendance, garantie par l’article 38(3), interdit les instructions sur la manière d’exercer les missions et les sanctions liées à leur exercice — elle n’interdit pas de rendre compte. L’organisme peut également adresser des consignes de format.

À quelle fréquence faut-il le produire ?

La CNIL admet un rythme trimestriel, semestriel ou annuel selon les activités de l’organisme. Un rythme annuel convient à la plupart des PME, avec un point intermédiaire. Les structures à forte volumétrie de violations ou de demandes de droits gagnent à passer au trimestriel, ne serait-ce que pour éviter la reconstitution de mémoire en fin d’exercice.

Que faire si la direction ne lit pas le rapport ?

Documentez-le. Consignez la date de transmission, les relances et l’absence de réunion de présentation. Un DPO qui a formellement demandé un point en comité de direction, et qui ne l’a pas obtenu, se trouve dans une position très différente de celui qui a transmis un fichier sans suite — tant vis-à-vis de la CNIL que vis-à-vis de son employeur. C’est aussi un signal à faire figurer dans la section « freins » du rapport suivant.

Un DPO externalisé doit-il produire le même rapport ?

Le contenu attendu est identique, mais la CNIL admet la mutualisation de certaines parties lorsque le délégué intervient pour plusieurs structures. Deux précisions sont alors indispensables : le volume de jours contractualisé face au volume réellement consommé, et la distinction entre les traitements réalisés en qualité de responsable de traitement et ceux réalisés en qualité de sous-traitant.

---

Combien de temps vous faudrait-il pour sortir ces douze indicateurs aujourd’hui ? Legiscope les calcule en continu à partir de votre registre, de vos AIPD, de vos demandes de droits et de vos violations, et produit la trame chiffrée de votre rapport d’activité. Demander une démo Legiscope.

Sources : CNIL, Le rapport d’activité du DPO : piloter la conformité et valoriser ses actions, 27 avril 2026 — CNIL, Autoévaluation de maturité en gestion de la protection des données — CNIL / ministère du Travail / AFCDP, Le métier de DPO à l’heure de l’intelligence artificielle, 3 juillet 2026