Modèle de rapport d'activité du DPO : un outil de pilotage de la conformité RGPD

La Commission nationale de l’informatique et des libertés (CNIL) a mis à disposition un modèle de rapport d’activité destiné aux Délégués à la protection des données (DPO). Cet outil méthodologique, dépourvu de caractère contraignant, vise à faciliter l’élaboration d’un reporting structuré et à renforcer la traçabilité des actions menées par le DPO.

Ce modèle s’inscrit dans une démarche de renforcement de la gouvernance des données et de la conformité au Règlement général sur la protection des données (RGPD). Il permet aux organismes de valoriser le rôle du DPO tout en assurant une communication claire et transparente auprès de la direction.

Un outil non obligatoire mais structurant

Bien que le modèle ne soit pas obligatoire, il constitue une base de travail solide pour les organismes souhaitant formaliser le reporting de leur DPO. Il contribue à préciser les bonnes pratiques en matière de pilotage de la conformité et de gouvernance des données. La CNIL recommande de l’appréhender comme un document évolutif, alimenté tout au long de l’année, plutôt que comme un simple exercice de fin d’exercice.

Une structuration en trois axes clés

Le modèle proposé par la CNIL recommande d’articuler le rapport autour de trois axes principaux :

• Les actions menées par le DPO ;
• Les difficultés rencontrées ;
• Le plan d’action à venir.

Cette approche permet d’éviter une simple description des activités et de produire un document directement exploitable par les instances dirigeantes.

Une organisation par catégories d’activités

Pour faciliter la lecture et assurer la continuité du suivi, le rapport peut être structuré par catégories d’activités, telles que :

• Sensibilisation des équipes ;
• Conseil aux responsables de traitement ;
• Gestion des demandes d’exercice des droits ;
• Gestion des violations de données ;
• Analyses d’impact relatives à la protection des données (AIPD) ;
• Audits internes ;
• Documentation et gouvernance.

Cette organisation permet de répondre à des questions structurantes pour la direction, comme l’adéquation des mesures techniques et organisationnelles aux enjeux des traitements ou l’adéquation des moyens alloués au DPO.

Des indicateurs pour objectiver le reporting

Le RGPD impose au DPO de rendre compte directement au niveau le plus élevé de la direction. Le rapport peut intégrer des indicateurs chiffrés pour objectiver le suivi, tels que :

• Le nombre de demandes d’exercice des droits reçues et les délais de réponse ;
• Le nombre de violations de données identifiées ou notifiées ;
• Le nombre d’analyses d’impact réalisées ou en cours ;
• Le nombre d’audits conduits ;
• Le nombre de documents de conformité produits ou mis à jour.

La CNIL souligne que la direction peut demander la production d’un tel rapport sans porter atteinte à l’indépendance du DPO. Une présentation formelle en réunion est recommandée lorsque cela est possible.

Précautions d’usage

Le rapport d’activité ne se substitue pas aux autres obligations documentaires prévues par le RGPD, mais il en synthétise les éléments clés pour en faciliter l’appropriation par la direction. Une attention particulière doit être portée aux annexes, dont le contenu peut être consulté en cas de contrôle. Il est essentiel de veiller à leur exactitude, leur cohérence et leur caractère suffisamment étayé, sans multiplier les documents incomplets ou contradictoires.

Source : Lexing