Attestation RGPD : ce que vaut vraiment ce document

Un client vous réclame une attestation RGPD avant de signer, un acheteur public l'exige dans un dossier de candidature, un assureur la demande. Le terme est courant, mais absent du règlement, et il recouvre des documents très différents : déclaration sur l'honneur, document remis par un prestataire, certification délivrée par un organisme agréé. Cet article explique ce que vaut chacun d'eux et ce qui fait réellement preuve.

Existe-t-il un document officiel de conformité RGPD ?

Non. Aucune autorité ne délivre d'attestation RGPD certifiant qu'une entreprise, dans son ensemble, respecte le règlement. La CNIL ne signe pas ce type de document et le RGPD ne prévoit aucun certificat global de conformité.

Le règlement repose sur une logique inverse. Son article 5, paragraphe 2 impose au responsable du traitement d'être en mesure de démontrer qu'il respecte le texte. La preuve se construit en interne, avec des documents tenus à jour et présentés sur demande. Les anciens labels de la CNIL ont disparu : elle indique ne plus délivrer de nouveau label après le 25 mai 2018.

Quels documents se cachent derrière ce terme ?

Quatre objets circulent sous ce nom, sans le même auteur, la même portée ni la même valeur.

Une déclaration sur l'honneur ou une attestation RGPD signée par un prestataire relèvent du droit des contrats : le signataire s'engage sur la véracité de ce qu'il affirme, mais aucune présomption de conformité n'en résulte à l'égard de l'autorité de contrôle. La page consacrée à la preuve de conformité RGPD décrit ce que recouvre un document remis après une mission d'accompagnement.

Que vaut une certification au sens de l'article 42 ?

Avec les codes de conduite, la certification est le seul dispositif que le règlement reconnaît expressément pour démontrer la conformité. Volontaire, elle est délivrée par un organisme tiers sur des critères approuvés par l'autorité de contrôle ou le CEPD, et atteste qu'un produit, un service, un processus ou un système est conforme à un référentiel.

L'article 43 impose que les organismes certificateurs soient agréés par l'autorité de contrôle ou par l'organisme national d'accréditation (le COFRAC en France). L'article 42 fixe une durée maximale de trois ans, renouvelable. Les articles 24, 28 et 32 précisent qu'une certification approuvée « peut servir d'élément pour démontrer » le respect des obligations : un élément de preuve, pas une immunité. La CNIL rappelle qu'un organisme certifié reste susceptible d'être sanctionné en cas de manquement.

Dans les faits, l'offre reste limitée. La brochure de la CNIL sur la certification RGPD (avril 2025) cite trois mécanismes européens approuvés (Europrivacy, EuroPriSe et Brand Compliance) ; la liste à jour figure dans le registre des mécanismes de certification du CEPD. En France, deux référentiels approuvés par la CNIL visent les compétences du délégué à la protection des données et les prestataires de formation, non la conformité d'une organisation. Un projet de référentiel de certification des sous-traitants a été soumis à consultation jusqu'au 28 février 2025 ; vérifiez son état d'adoption avant de vous en prévaloir.

Quels documents prouvent réellement la conformité ?

La preuve attendue par le règlement est documentaire. Qu'un partenaire parle d'attestation RGPD ou de dossier de conformité, ce qu'il cherche à vérifier tient dans un ensemble de pièces précis, imposées par le texte ou recommandées par la CNIL.

La CNIL conseille aux donneurs d'ordre d'exiger la politique de sécurité et les éventuelles certifications de leurs prestataires. Une certification ISO 27001 ou 27701 porte sur la sécurité de l'information ; elle ne vaut pas certification au titre de l'article 42 et ne remplace pas ces pièces.

Que fournir quand un client, un acheteur ou un assureur la demande ?

Fournissez un dossier de preuves, pas une simple déclaration. Une attestation sur l'honneur datée, signée par un dirigeant et limitée à ce que vous pouvez démontrer peut l'accompagner.

1. 1Clarifier — Demander au partenaire ce qu'il veut vérifier : obligations de sous-traitant, sécurité d'un service ou gouvernance globale.
2. 2Rassembler — Extraire du registre les traitements concernés ; joindre la politique de confidentialité, le contrat de sous-traitance et la synthèse des mesures de sécurité.
3. 3Qualifier — Joindre les certifications détenues avec leur objet, leur organisme et leur date de fin, sans présenter un label privé comme une certification approuvée.
4. 4Attester — Rédiger une déclaration datée et bornée dans le temps, qui renvoie aux pièces jointes et désigne un interlocuteur.
5. 5Actualiser — Mettre le dossier à jour à chaque changement notable (sous-traitant, traitement, incident, certification).

Pour un assureur, le raisonnement est le même : le risque s'évalue sur vos mesures de sécurité et votre organisation, pas sur un titre. Une attestation RGPD présentée seule, sans registre ni procédure, convainc rarement un souscripteur et expose son signataire si un incident révèle des écarts avec la déclaration.

À retenir

• Aucune attestation officielle de conformité d'une entreprise n'existe ; la CNIL n'en délivre pas et n'attribue plus de labels depuis le 25 mai 2018.
• Une déclaration sur l'honneur ou le document d'un prestataire engage son signataire contractuellement, sans présomption de conformité devant l'autorité.
• La certification de l'article 42 est, avec les codes de conduite, le seul mécanisme reconnu par le texte : volontaire, délivrée par un organisme agréé, limitée à un périmètre et à trois ans au plus.
• Ce qui fait preuve : le registre, les AIPD, les contrats de sous-traitance, les politiques et les mesures de sécurité documentées.