Rechercher un document RGPD exemple, c'est vouloir savoir à quoi ressemble une documentation conforme. Les modèles en ligne sont rarement sourcés.
Ce guide prend six documents, un par chapitre : l'article du RGPD qui l'impose, un extrait commenté, le modèle officiel. Les exemples portent sur une entreprise fictive : ils montrent une structure, pas des formulations à copier.
Pour savoir quels documents vous devez détenir, consultez notre inventaire des obligations RGPD des entreprises. Les articles cités renvoient au texte officiel du RGPD sur EUR-Lex.
Chapitre 01 — Registre des traitements
À quoi ressemble une fiche du registre des traitements ?
Une fiche du registre des traitements décrit une activité identifiée par sa finalité, selon les rubriques de l'article 30 du RGPD. Le registre se tient par écrit, papier ou électronique. Exemple : la fiche « devis et prospection » d'une PME fictive.
| Rubrique | Exemple rempli |
|---|---|
| Finalité | Établir des devis, adresser des offres par courrier |
| Personnes concernées | Prospects et demandeurs de devis |
| Données | Identité, coordonnées, objet de la demande |
| Destinataires | Service commercial, routeur postal (sous-traitant) |
| Durée de conservation | Devis sans suite : un an. Prospection : trois ans à compter de la collecte ou du dernier contact émanant du prospect |
| Sécurité | Accès réservé, comptes individuels, sauvegardes |
Les durées reprennent l'exemple publié par la CNIL pour la prospection postale. Le modèle à utiliser est le registre simplifié de la CNIL. Sa page sur le registre signale que les anciens modèles PDF ne sont plus mis à jour.
Comme tout document RGPD exemple, cette fiche se lit pour sa structure. Pour la remplir pas à pas : Fiche RGPD : remplir une fiche de traitement.
Chapitre 02 — Mentions d'information
Que dit une mention d'information au point de collecte ?
Une mention d'information indique, lors de la collecte, qui traite les données, pourquoi, sur quelle base et avec quels droits (articles 13 et 14 du RGPD). La CNIL recommande une information par niveaux : l'essentiel sous le formulaire, le détail dans une notice.
La CNIL publie sept exemples de mentions d'information, fictifs et à adapter. Sa fiche sur l'information des personnes distingue rubriques obligatoires et conditionnelles. Pour la notice complète : Charte de confidentialité RGPD.
Chapitre 03 — Contrat de sous-traitance
Quelles clauses figurent dans un contrat de sous-traitance ?
Le contrat qui lie un responsable de traitement à son sous-traitant reprend les huit engagements listés à l'article 28.3 du RGPD, dans un contrat dédié ou une annexe.
| Point de l'article 28.3 | Exemple de clause (formulation fictive) |
|---|---|
| a) Instructions | Traitement sur instruction documentée du client, transferts hors UE compris. |
| b) Confidentialité | Personnes autorisées tenues à la confidentialité. |
| c) Sécurité | Mesures de l'annexe sécurité appliquées (article 32). |
| d) Sous-traitance ultérieure | Aucun sous-traitant ultérieur sans autorisation écrite préalable. |
| e) Droits des personnes | Aide au client pour répondre aux demandes de droits. |
| f) Assistance | Notification au client de toute violation, aide pour une analyse d'impact. |
| g) Fin de contrat | Suppression ou restitution des données au choix du client, copies détruites. |
| h) Audit | Informations fournies et audits du client permis. |
La CNIL propose un exemple de clauses de sous-traitance, qui ne constitue pas à lui seul un contrat et s'adapte à chaque prestation. Un document RGPD exemple de contrat trouvé en ligne se compare à ce tableau avant signature.
Chapitre 04 — Registre des violations
Comment documenter une violation de données ?
Toute violation de données se documente en interne, notifiée ou non (article 33.5 du RGPD) : faits, effets, mesures prises. En cas de risque pour les personnes, la CNIL est notifiée si possible dans les 72 heures après en avoir pris connaissance.
| Rubrique | Exemple (incident fictif) |
|---|---|
| Nature | Fichier de 40 devis envoyé par erreur à un tiers |
| Personnes et enregistrements | 40 prospects, 40 enregistrements (identité, coordonnées) |
| Conséquences probables | Démarchage non sollicité, aucune donnée sensible |
| Mesures prises | Suppression demandée et confirmée par écrit, rappel interne |
| Décision | Analyse du risque et justification de la décision de notifier ou non |
La page de la CNIL sur les règles à suivre ne fournit pas de modèle : elle conseille le formulaire de notification en ligne comme canevas. Pendant l'incident : Violation de données : réagir en 72 heures.
Chapitre 05 — Analyse d'impact
Que contient une analyse d'impact (AIPD) ?
Une AIPD comporte au minimum quatre parties (article 35.7 du RGPD), avant tout traitement susceptible d'engendrer un risque élevé. Exemple fictif : la vidéosurveillance d'un entrepôt.
- Description : caméras aux accès, sécurité des biens.
- Nécessité et proportionnalité : zones filmées limitées, conservation courte.
- Risques : accès illégitime aux images, surveillance excessive des salariés.
- Mesures : habilitations, journalisation, information des salariés.
Un document RGPD exemple d'AIPD entièrement rédigée existe : l'étude de cas « Captoo » de la CNIL. Le logiciel PIA, gratuit et open source, suit la méthode de la CNIL.
Chapitre 06 — Demandes de droits
À quoi ressemble une procédure de réponse aux demandes de droits ?
Le RGPD n'impose pas de format, mais une procédure écrite aide à respecter l'article 12 : réponse sous un mois, prolongeable de deux mois selon la complexité et le nombre de demandes. Procédure type pour un droit d'accès ou toute autre demande.
- 1Enregistrer — Dater la demande et l'inscrire au tableau de suivi.
- 2Vérifier — Justificatif d'identité seulement en cas de doute raisonnable.
- 3Rechercher — Identifier les données dans chaque outil et chez les sous-traitants.
- 4Répondre — Transmettre la réponse et, pour un accès, une copie gratuite des données.
- 5Archiver — Conserver demande et réponse pour prouver le délai.
Ces étapes suivent la fiche CNIL sur la réponse à une demande de droit d'accès. Notre guide Droit des personnes RGPD : traiter une demande traite les refus.
Chapitre 07 — Liste de contrôle
Vérifier vos documents avant un contrôle
Avant de vous inspirer d'un document RGPD exemple, vérifiez ces points dans votre version.
Registre et information
Contrats, incidents et demandes
Chapitre 08 — À retenir
À retenir
- Chaque document répond à un article du RGPD qui fixe son contenu minimal.
- La CNIL publie des modèles gratuits pour la plupart d'entre eux.
- Un exemple se lit pour sa structure, pas pour ses formulations.
- Toute violation se documente, même non notifiée.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Registre des traitementsLe registre des traitements est le document, tenu par écrit, qui recense l'ensemble des traitements de données personnelles d'un organisme : finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité.
- AIPDL'AIPD, ou analyse d'impact relative à la protection des données, est une étude menée avant un traitement susceptible d'engendrer un risque élevé pour les personnes, afin d'évaluer ce risque et de définir les mesures pour le réduire.
- Prospection commercialeLa prospection commerciale est l'envoi de messages destinés à promouvoir des produits, des services ou l'image d'un organisme. Par courriel ou SMS, elle exige en principe le consentement préalable des particuliers, et un droit d'opposition simple pour les professionnels.
- Sous-traitantLe sous-traitant est la personne physique ou morale, l'autorité publique ou l'organisme qui traite des données personnelles pour le compte et sur instruction d'un responsable de traitement, par exemple un éditeur de logiciel en ligne ou un prestataire de paie.
- Violation de donnéesUne violation de données est un incident de sécurité qui entraîne, de façon accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles.
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
