Rapport RGPD : les six rapports à connaître

Le règlement européen ne définit aucun document officiel du nom de « rapport RGPD ». Une entreprise produit, reçoit ou consulte pourtant plusieurs rapports distincts, aux statuts juridiques, contenus et destinataires différents. Cet article les passe en revue et propose une trame pour le rapport annuel du délégué à la protection des données.

De quels rapports parle-t-on en matière de RGPD ?

Un rapport RGPD est un document écrit qui rend compte de l'état de la conformité d'un organisme, d'un traitement ou d'un incident, à destination d'un lecteur précis : la direction, l'autorité de contrôle ou un auditeur. Le RGPD impose certains de ces documents et en fixe le contenu minimal ; il laisse les autres à l'initiative de l'organisme.

Le rapport d'activité du DPO : recommandé, mais pas imposé

Le RGPD n'impose pas de rapport annuel au délégué à la protection des données. Il prévoit en revanche, à l'article 38, que le délégué « fait directement rapport au niveau le plus élevé de la direction », et lui confie à l'article 39 la mission de contrôler le respect du règlement. Un rapport RGPD écrit matérialise ce lien et démontre, en cas de contrôle, que la fonction est réellement exercée.

La CNIL a formalisé cette pratique dans une recommandation publiée le 27 avril 2026, accompagnée d'un modèle au format ODT présenté comme non contraignant. Elle n'impose aucune périodicité : trimestrielle, semestrielle ou annuelle selon l'activité de l'organisme, et un DPO mutualisé peut en mutualiser certaines parties.

Une trame de rapport annuel du DPO peut s'organiser ainsi :

• Périmètre et contexte : traitements principaux, évolutions de l'année.
• Moyens de la fonction : temps alloué, budget, accès aux informations, formations.
• État de la documentation : registre, politiques, contrats de sous-traitance, mentions d'information, avec leur date de mise à jour.
• Indicateurs : demandes d'exercice des droits et délais de réponse, violations traitées, avis rendus, AIPD menées, sensibilisations.
• Diagnostic des risques juridiques, financiers et réputationnels.
• Plan d'action : mesures prioritaires, responsables, échéances.

Voyez aussi l'article consacré au rôle du DPO au quotidien.

Le rapport d'AIPD : imposé pour les traitements à risque élevé

L'analyse d'impact relative à la protection des données est obligatoire lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. L'article 35, paragraphe 7 du RGPD fixe son contenu minimal : une description systématique des opérations de traitement et de leurs finalités, une évaluation de la nécessité et de la proportionnalité, une évaluation des risques pour les personnes, et les mesures envisagées pour y faire face.

Ce rapport reste en interne. La CNIL rappelle qu'il ne lui est transmis que si le risque résiduel demeure élevé malgré les mesures prévues, au titre de la consultation préalable de l'article 36. Sa fiche sur l'AIPD détaille les critères qui déclenchent l'obligation.

La documentation des violations : un rapport interne obligatoire

Chaque violation de données, notifiée ou non à la CNIL, doit être documentée. L'article 33, paragraphe 5 impose au responsable du traitement de consigner les faits concernant la violation, ses effets et les mesures prises pour y remédier. La CNIL précise que cette documentation indique la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, et les conséquences probables. Ce registre permet à l'autorité de vérifier, lors d'un contrôle, que la notification sous 72 heures a été faite ou que son absence était justifiée. La marche à suivre figure dans notre guide pour réagir à une violation de données.

Le rapport d'audit RGPD : un livrable, pas une obligation

Aucun texte n'impose de faire auditer sa conformité. Le rapport d'audit est le livrable d'une mission, interne ou confiée à un prestataire, qui confronte les pratiques de l'organisme aux exigences du règlement pour en déduire écarts et priorités. Il ne se confond pas avec le rapport RGPD du délégué, récurrent et rédigé de l'intérieur. Son contenu est développé dans notre guide pour réussir son audit RGPD.

Que contient un rapport de contrôle de la CNIL ?

À l'issue d'un contrôle, la CNIL ne remet pas un rapport au sens courant mais un procès-verbal. Ce document rend compte, de manière factuelle, des informations communiquées à la délégation et des constatations qu'elle a opérées. L'organisme peut y consigner ses observations ; une copie lui est remise à la fin d'un contrôle sur place.

La charte des contrôles de la CNIL décrit quatre formes de contrôle (sur place, sur audition, en ligne, sur pièces) et les suites possibles : clôture, avertissement ou rappel à l'ordre, mise en demeure, ou saisine de la formation restreinte. Dans ce dernier cas, un rapporteur établit un rapport proposant une mesure, et l'organisme dispose d'un mois à compter de sa réception pour formuler des observations écrites. C'est là que le rapport du délégué, les AIPD et la documentation des violations prennent leur valeur de preuve.

Le rapport annuel de la CNIL : une source à lire chaque année

Le rapport annuel 2025 de la CNIL, publié le 18 mai 2026, fait état de 323 contrôles, de 83 sanctions et de 6 167 violations de données notifiées, dont la moitié liées à du piratage informatique. Il annonce aussi les thématiques prioritaires de contrôle : le lire chaque printemps permet d'ajuster le plan d'action présenté dans son propre rapport RGPD.

À retenir

• Le RGPD ne définit aucun rapport unique : l'expression désigne plusieurs documents aux statuts différents.
• Le rapport d'activité du DPO n'est pas imposé, mais la CNIL le recommande depuis avril 2026 et fournit un modèle non contraignant.
• L'AIPD (article 35) et la documentation des violations (article 33.5) sont obligatoires, avec un contenu minimal fixé par le texte.
• Un contrôle de la CNIL donne lieu à un procès-verbal, puis éventuellement à un rapport du rapporteur auquel l'organisme répond sous un mois.
• Le rapport annuel de la CNIL renseigne sur les priorités de contrôle.