Tableau de bord RGPD : les indicateurs à suivre chaque mois

Un audit photographie la conformité ; un rapport la documente. Un tableau de bord RGPD fait autre chose : il suit, mois après mois, une poignée de chiffres qui disent si l'organisation tient ses engagements dans la durée. Ce sont ces mesures, et non le volume de documents, qui montrent qu'un dispositif vit.

Cet article s'adresse au dirigeant de PME et au DPO qui veulent piloter sans outil dédié : pourquoi ce suivi est attendu, quels indicateurs retenir et comment les présenter à la direction.

Pourquoi suivre des indicateurs RGPD dans la durée ?

Parce que le règlement ne demande pas seulement d'être conforme, mais de pouvoir le démontrer à tout moment. Cette exigence, appelée accountability, figure à l'article 5.2 du RGPD, et l'article 24 ajoute que les mesures prises sont réexaminées et actualisées si nécessaire. Un relevé régulier est la façon la plus simple de tenir cette obligation.

L'article 39.1 b) confie au DPO le contrôle du respect du règlement, et l'article 38.3 précise qu'il fait directement rapport au niveau le plus élevé de la direction. La CNIL recommande d'ailleurs au DPO un rapport d'activité : il n'est pas obligatoire, mais elle conseille de le présenter à la direction au moins une fois par an, et cite parmi les indicateurs utiles les demandes de droits, leurs délais de réponse et les violations de données. Un tableau de bord RGPD tenu chaque trimestre alimente ce rapport sans reconstitution en fin d'année.

Les douze indicateurs RGPD à suivre

Un bon tableau de bord RGPD tient sur une page : indicateur, source dans l'entreprise, cible et fréquence de relevé. Les cibles découlent du règlement lorsqu'il fixe un délai ; sinon, elles relèvent d'un choix interne à documenter. Ces douze indicateurs RGPD couvrent les points qu'un contrôle examine en priorité.

Les sources sont volontairement ordinaires : un registre des traitements tenu dans un tableur, une boîte mail dédiée, les tickets informatiques, les feuilles d'émargement. Ce qui compte n'est pas l'outil, mais la régularité du relevé et la conservation des pièces qui justifient chaque chiffre.

Quels pièges éviter dans le suivi des indicateurs ?

Les pièges les plus courants sont l'indicateur de vanité, le chiffre sans preuve et la moyenne qui masque les retards. Un tableau de bord RGPD qui affiche un taux de conformité global sans en donner l'origine rassure, mais ne protège pas : lors d'un contrôle, la CNIL demande les pièces, pas le pourcentage.

• L'indicateur de vanité : le nombre de réunions tenues ou de pages de la politique de confidentialité ne renseigne sur rien. Un indicateur utile mesure un résultat, pas une activité.
• Le chiffre sans preuve : « 100 % des sous-traitants sous contrat » ne vaut que si la liste des prestataires et les contrats signés accompagnent le relevé.
• La moyenne qui cache les retards : un délai moyen de 18 jours peut coexister avec trois dossiers hors délai. Suivez les dossiers en retard et ouverts, pas seulement la moyenne des dossiers clos.
• Le tableau qui note au lieu de corriger : un indicateur dans le rouge doit déclencher une action, un responsable et une échéance. Sinon le tableau constate, il ne pilote pas.

Comment présenter le tableau de bord à la direction ?

Présentez-le au moins une fois par an, dans le rapport d'activité du DPO, et plus souvent si un indicateur se dégrade. La CNIL recommande, lorsque c'est possible, une présentation formelle en réunion, avec des éléments chiffrés et visuels, et propose un modèle de rapport non contraignant. Le tableau en constitue la partie chiffrée ; le rapport y ajoute le diagnostic, les actions, les freins et les moyens demandés.

Pour que la direction décide, hiérarchisez. Ouvrez sur les trois écarts qui exposent le plus l'organisation : une violation de données notifiée hors délai, des demandes de droits en retard ou une AIPD manquante sur un traitement en production. Rapprochez chaque écart d'une décision attendue : budget, arbitrage, désignation d'un responsable. Montrez enfin la tendance de votre tableau de bord RGPD sur plusieurs trimestres : une amélioration continue justifie les moyens engagés mieux qu'une photographie isolée. Pour situer le niveau global, l'auto-évaluation de maturité proposée par la CNIL offre un cadre de lecture partagé avec la direction.

À retenir

• Le suivi dans la durée répond à l'obligation de démontrer la conformité (articles 5.2 et 24 du RGPD) et à la mission de contrôle du DPO (article 39).
• Douze indicateurs suffisent, du registre au plan d'action, chacun avec sa source, sa cible et sa fréquence.
• Chaque chiffre renvoie à une pièce consultable ; un indicateur sans preuve ne sert à rien lors d'un contrôle.
• Un tableur suffit ; le rapport annuel du DPO recommandé par la CNIL en est la restitution naturelle.