Aller au contenu principal
Quel logiciel RGPD

Que mettre dans votre dossier de preuve ?

Pour qui : Vous êtes référent ou délégué et vous voulez pouvoir montrer ce que votre organisation fait pour le RGPD. Les documents existent, éparpillés, et personne ne sait lesquels comptent.

Rangez dans un même dossier, par thème, les documents qui montrent ce que vous faites : registre, analyses d’impact, transferts hors Union, mentions d’information, procédures de droits, contrats de sous-traitance, procédures et suivi des violations, preuves de consentement. C’est la liste de la CNIL, qu’elle introduit par « notamment ».

Le RGPD exige de pouvoir démontrer le respect de ses principes, sans imposer de format. Datez chaque pièce et nommez son responsable : vous pouvez ainsi montrer qu’elle est tenue à jour. Un tableau de bord d’outil n’en dispense pas.

Notre avis

Commencez par classer cinq documents existants dans un dossier par thème, avec leur date et leur responsable. Démontrer repose sur ce qu’un tiers peut relire. Un pourcentage d’avancement affiché par un outil peut vous guider, sans rien prouver à lui seul.

Pourquoi

  • L’article 5 et l’article 24 imposent de pouvoir démontrer, sans fixer de forme ni nommer de document unique.
  • La liste de la CNIL se rapporte à des documents précis : registre, analyses d’impact, transferts, information, contrats, procédures de violation, preuves de consentement.
  • Un code de conduite approuvé ou une certification approuvée peuvent servir d’élément de démonstration, selon l’article 24. Le texte n’en fait pas une preuve suffisante à elle seule.

Ce qui change le choix

Un groupe tient un dossier par entité avec une partie commune. Un organisme sans sous-traitant ni transfert ne remplit pas ces cases et l’écrit. Un logiciel se discute quand les mises à jour se perdent entre plusieurs personnes, un trimestre après l’autre.

L’ordre à suivre

  1. Rassemblez ce qui existe, sans rien rédiger de nouveau.
  2. Datez chaque document et nommez son responsable.
  3. Marquez ce qui manque selon votre situation réelle.
  4. Ne comparez un logiciel que si la relance et la mise à jour se perdent.

Le plan du dossier, thème par thème

Les deux premières colonnes suivent la page de la CNIL, complétée par le guide des durées pour la conservation. La ligne Organisation et la dernière colonne, qui donne la pièce à placer en premier, sont notre avis.

Dossier de démonstration, à adapter
ThèmeDocumentsPremière pièce à classer
TraitementsRegistre ; registre des catégories si vous êtes sous-traitant.La dernière version exportée, datée.
RisquesAnalyses d’impact ; conclusions écrites quand aucune n’est requise.La fiche de décision de votre dernier projet.
Information et droitsMentions d’information, modèles de consentement, procédures de droits, preuves de consentement.Le texte en ligne, capturé et daté.
Prestataires et transfertsContrats de sous-traitance, encadrement des transferts hors Union.Le contrat de votre principal prestataire.
ConservationTableau des durées, références retenues, instructions écrites aux sous-traitants.Votre tableau, même partiel.
IncidentsProcédure, fichier des violations, récapitulatifs de notification.Le fichier, avec le dernier incident.
OrganisationDésignation du délégué, décisions de la direction, actions de formation.Le dernier support de formation avec sa date.

Une pièce utile répond à quatre questions

Cette règle est notre méthode. Elle s’appuie sur l’article 24, qui prévoit des mesures réexaminées et actualisées si nécessaire, et sur la CNIL, qui demande de réexaminer et d’actualiser régulièrement les documents. Pour chaque pièce, indiquez : de quand date-t-elle, qui l’a validée, à quoi s’applique-t-elle, et quand sera-t-elle relue. Une politique générale non datée, sans lien avec un traitement, vous servira peu si une question arrive.

La taille du dossier suit vos risques

L’article 24 ne demande de politiques de protection des données que lorsque cela est proportionné. Un dossier d’une dizaine de pièces à jour peut suffire à une petite structure sans traitement sensible. Cette échelle est notre appréciation : aucun texte lu ne donne de nombre. Ne recopiez pas une liste de cinquante modèles pour remplir des cases : un document qui décrit autre chose que votre pratique affaiblit votre démonstration.

Groupe et sous-traitant : ce qui change

Dans un groupe, notre avis est de garder un dossier par entité et une partie commune : chaque responsable du traitement doit pouvoir démontrer pour lui-même, et un document de la maison mère ne prouve pas ce que fait la filiale. Le sous-traitant y place son propre registre, les instructions reçues de ses clients et, le cas échéant, un code de conduite ou une certification. L’article 28 admet ces deux éléments pour démontrer des garanties suffisantes, sans plus.

Quand un logiciel aide, et ce qu’il faut vérifier

Un espace partagé avec accès restreint et versions fait ce travail à faible volume. Un logiciel peut relancer les propriétaires de pièces et garder un historique. Avant d’acheter, vérifiez que vous pouvez sortir tous les documents et leur historique dans un format lisible, puisque c’est cela que vous devrez produire. Un document n’a de valeur que s’il décrit ce qui se passe réellement, quel que soit l’endroit où il est rangé.

Limites de cette page

Aucun texte lu ne fixe le contenu complet ni le volume de ce dossier. La page de la CNIL date de 2018 et sa liste n’est pas limitative. Nous n’avons pas cherché ce qu’un contrôleur demande dans un cas particulier. Une exigence sectorielle ou contractuelle peut en ajouter.

Prochaine action

Créez le dossier et placez-y cinq documents existants, avec leur date et leur responsable. Dans un groupe, créez d’abord la partie commune, puis un sous-dossier pour l’entité la plus exposée.

Preuves et sources

Lu le 5 novembre 2026 : les articles 5 et 24 du RGPD dans le texte publié par la CNIL ; la page CNIL « Documenter la conformité », datée du 28 juin 2018 ; le point 2.3 du guide pratique des durées de conservation de la CNIL, version de juillet 2020 ; les lignes directrices 9/2022 du Comité européen sur la documentation des violations.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. Le responsable du traitement est responsable du respect des principes de l’article 5 et est en mesure de démontrer que celui-ci est respecté.

    Portée : RGPD, article 5, paragraphe 2.

    Réserve : Texte reproduit par la CNIL.

  • Fait lu. L’article 24 prévoit des mesures appropriées pour s’assurer et être en mesure de démontrer la conformité du traitement, réexaminées et actualisées si nécessaire, et des politiques de protection des données lorsque cela est proportionné.

    Portée : RGPD, article 24, paragraphes 1 et 2.

    Réserve : Texte reproduit par la CNIL, numéros rétablis.

  • Fait lu. Un code de conduite approuvé ou un mécanisme de certification approuvé peut servir d’élément pour démontrer le respect des obligations.

    Portée : RGPD, article 24, paragraphe 3 ; article 28, paragraphe 5.

    Réserve : « Élément », sans valeur de preuve complète.

  • Déclaration de l’éditeur. La CNIL écrit que, pour prouver la conformité, le dossier doit notamment comporter le registre, les analyses d’impact, l’encadrement des transferts, les mentions d’information, les modèles de consentement, les procédures de droits, les contrats, les procédures de violation et les preuves de consentement, et que ces documents sont réexaminés et actualisés régulièrement.

    Portée : Page du 28 juin 2018.

    Réserve : Liste introduite par « notamment ». Page ancienne.

  • Déclaration de l’éditeur. Le guide des durées de conservation de la CNIL cite dans la documentation à regrouper le registre, un tableau des durées, les références retenues et les instructions écrites transmises au sous-traitant.

    Portée : Point 2.3, version de juillet 2020.

    Réserve : Liste d’exemples.

  • Déclaration de l’éditeur. Le Comité européen recommande de documenter les violations et le raisonnement des décisions, et relie cette documentation au devoir de démontrer.

    Portée : Lignes directrices 9/2022, points 121 à 125.

    Réserve : Doctrine.

  • Notre calcul ou déduction. Dans les textes et pages lus, aucun format, aucun logiciel et aucun score ne sont exigés pour démontrer la conformité.

    Portée : Articles 5 et 24 ; page CNIL.

    Réserve : Absence dans les lectures, sans valeur d’interdiction d’outils.

  • Notre méthode. Le plan du dossier, la règle des quatre questions, l’échelle d’une dizaine de pièces et le dossier par entité sont des méthodes proposées par cette page, sans valeur légale.

    Portée : Organisation documentaire.

    Réserve : À adapter au risque et à la taille.

    Daté du 5 novembre 2026.