Un registre à jour, des contrats de sous-traitance signés, une AIPD sur les traitements à risque : beaucoup d'organisations ont fait le travail. Le jour où la CNIL, un client grand compte ou un auditeur demande « montrez-moi », elles découvrent pourtant que le travail ne suffit pas. Il faut pouvoir le prouver, avec des pièces datées, cohérentes entre elles et tenues à jour.
C'est le principe d'accountability, posé par l'article 5.2 du RGPD et décliné par l'article 24. Ce guide explique ce que le texte impose exactement, qui porte cette obligation entre responsable de traitement, sous-traitant et DPO, ce que la CNIL attend comme preuves, et comment organiser une démonstration de conformité qui tienne dans la durée.
Le principe d'accountability : ce que disent les articles 5.2 et 24
Article 5.2 : être responsable, et pouvoir le démontrer
L'article 5.1 du RGPD énumère les six principes du traitement : licéité, loyauté et transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité et confidentialité. L'article 5.2 ajoute une phrase courte, qui change la logique du texte : « Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »
Deux obligations sont donc distinctes. Respecter les principes, d'abord. Être en mesure de démontrer ce respect, ensuite. La version anglaise du règlement nomme ce second volet « accountability », un mot que la version française traduit par « responsabilité ». C'est ce qui explique la confusion fréquente entre les deux termes : en droit français, la responsabilité désigne d'abord l'obligation de répondre d'un dommage ; l'accountability du RGPD désigne l'obligation de rendre des comptes, avant tout dommage.
Article 24 : des mesures appropriées, réexaminées et actualisées
L'article 24.1 précise la méthode. Le responsable de traitement met en œuvre « des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement ». Ces mesures tiennent compte de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes. Elles sont « réexaminées et actualisées si nécessaire ».
Trois conséquences pratiques en découlent :
- La preuve est proportionnée au risque. Un fichier de clients B2B et un traitement de données de santé à grande échelle n'appellent pas le même niveau de documentation.
- La preuve est datée. Une mesure qui n'a pas été réexaminée depuis 2018 ne démontre rien sur l'état de la conformité aujourd'hui.
- La preuve inclut des politiques. L'article 24.2 prévoit la mise en œuvre de « politiques appropriées en matière de protection des données » lorsque c'est proportionné aux activités de traitement.
D'où vient le principe
Le groupe de travail « Article 29 », prédécesseur du Comité européen de la protection des données (EDPB), a proposé d'inscrire ce principe dans le futur règlement dès son avis 3/2010 sur le principe de responsabilité (WP 173), adopté le 13 juillet 2010. L'idée était de passer d'une conformité déclarative, fondée sur les formalités préalables auprès des autorités, à une conformité démontrée en continu par l'organisation elle-même. Le RGPD a supprimé la plupart des déclarations à la CNIL ; l'accountability en est la contrepartie directe.
Accountability et privacy by design : l'amont et la preuve
L'article 25 impose la protection des données dès la conception et par défaut. Les deux principes se complètent : le privacy by design dit comment concevoir un traitement, l'accountability exige de pouvoir montrer que cette conception a bien eu lieu. Une revue privacy menée au lancement d'un projet ne vaut rien, en termes de preuve, si elle n'a laissé aucune trace écrite.
Qui porte l'accountability ?
Le responsable de traitement, en premier
Les articles 5.2 et 24 visent expressément le responsable de traitement, c'est-à-dire l'organisme qui détermine les finalités et les moyens du traitement (article 4.7). En cas de responsabilité conjointe, l'article 26 impose aux co-responsables de définir leurs obligations respectives par un accord, dont les grandes lignes sont mises à la disposition des personnes concernées. Cet accord fait lui-même partie de la preuve.
Une même organisation porte souvent deux casquettes. Un éditeur SaaS est responsable de traitement pour ses données RH, ses prospects et sa facturation, et sous-traitant pour les données que ses clients hébergent dans son logiciel. Il est donc soumis à l'accountability dans le premier rôle, et à des obligations de preuve spécifiques dans le second.
Le sous-traitant : des obligations propres
Le sous-traitant n'est pas visé par l'article 5.2, mais le RGPD lui impose ses propres obligations documentaires. Il doit présenter des « garanties suffisantes » (article 28.1), mettre à la disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et permettre des audits (article 28.3.h), tenir son propre registre des catégories de traitements (article 30.2), assurer la sécurité (article 32) et notifier les violations au responsable « dans les meilleurs délais » (article 33.2). Pour un sous-traitant B2B, c'est cette documentation que ses clients demandent dans leurs questionnaires. Le sujet est détaillé dans notre guide RGPD du sous-traitant B2B.
Le DPO : pilote, pas responsable
Le DPO organise et contrôle la démonstration de conformité, mais il n'en porte pas la responsabilité juridique. L'article 39.1.b lui confie le contrôle du respect du règlement, y compris la répartition des responsabilités, la sensibilisation et la formation du personnel, et les audits s'y rapportant. Les lignes directrices du groupe « Article 29 » sur les DPO (WP 243 rév. 01, du 5 avril 2017, reprises par l'EDPB) le disent clairement : les DPO ne sont pas personnellement responsables en cas de non-respect du RGPD, c'est le responsable de traitement qui l'est.
Ce point a une conséquence d'organisation. Pour que la preuve existe, le DPO doit disposer des ressources nécessaires et être associé « d'une manière appropriée et en temps utile » à toutes les questions de protection des données (article 38.1 et 38.2). Un avis du DPO écarté sans trace écrite est un trou dans la démonstration. Notre guide sur les missions du DPO détaille ce positionnement.
La direction, qui arbitre
L'article 38.3 prévoit que le DPO fait directement rapport au « niveau le plus élevé de la direction ». Les arbitrages de cette direction (accepter un risque résiduel, financer une mesure de sécurité, refuser un traitement) font partie de la preuve : ils montrent que la protection des données est gouvernée, et pas seulement documentée par une équipe isolée.
Ce que la CNIL attend comme preuves
Le RGPD ne fournit pas de liste fermée des documents de l'accountability, et c'est voulu : la preuve dépend des traitements et de leurs risques. La CNIL résume la démarche dans sa méthode « Se préparer au RGPD en 6 étapes », dont la dernière est précisément de documenter la conformité. En contrôle, ses agents peuvent demander communication de tout document utile (article 58.1 du RGPD), le registre doit lui être mis à disposition sur demande (article 30.4), et l'organisme doit coopérer avec elle (article 31).
Les preuves imposées par le texte
Certaines pièces sont expressément exigées par le règlement :
- le registre des activités de traitement (article 30), pièce maîtresse, à laquelle notre guide sur la rédaction du registre des traitements est consacré ;
- les analyses d'impact pour les traitements susceptibles d'engendrer un risque élevé (article 35) ;
- les contrats de sous-traitance comportant les mentions de l'article 28.3 ;
- la documentation de toute violation de données, notifiée ou non, avec ses faits, ses effets et les mesures prises (article 33.5) ;
- la preuve du consentement, lorsque c'est la base légale retenue (article 7.1).
La liste complète, pièce par pièce, avec ce que chaque interlocuteur demande en premier, fait l'objet d'un guide dédié : les documents RGPD à présenter pour prouver sa conformité.
Les preuves que le dispositif vit
Un dossier complet en apparence peut ne rien démontrer s'il est figé. Ce qui distingue une conformité réelle d'une conformité de façade, ce sont les traces de fonctionnement :
- les dates de révision du registre et des AIPD, et ce qui a changé à chaque révision ;
- les comptes rendus du comité ou des points de pilotage, avec les décisions prises ;
- les avis du DPO et les suites qui leur ont été données ;
- les feuilles de présence ou les résultats des sessions de sensibilisation ;
- les évaluations des sous-traitants (questionnaires, audits, revues de DPA) ;
- le suivi des demandes d'exercice des droits, avec les délais de réponse de l'article 12.3 ;
- les tests des procédures, par exemple un exercice de gestion de violation.
Ce que montrent les sanctions
Le défaut de documentation est rarement sanctionné seul : il apparaît à l'occasion d'un incident ou d'une plainte, et aggrave les autres manquements. Deux décisions de la CNIL l'illustrent. Le 28 décembre 2021, la société Slimpay a été sanctionnée de 180 000 euros, notamment pour un encadrement contractuel insuffisant avec un sous-traitant (article 28) et pour ne pas avoir informé les personnes concernées d'une violation de données (article 34). Le 15 avril 2022, Dedalus Biologie a été sanctionnée de 1,5 million d'euros, notamment pour des contrats avec ses clients ne comportant pas les mentions de l'article 28.3 et pour des traitements réalisés au-delà des instructions reçues.
Le plafond encouru dépend de l'obligation en cause. Les manquements aux articles 25 à 39 (registre, AIPD, contrats de sous-traitance, sécurité, violations, DPO) relèvent de l'article 83.4 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Les manquements aux principes de l'article 5, dont l'accountability, relèvent de l'article 83.5 : jusqu'à 20 millions d'euros ou 4 %.
Mettre en place l'accountability en 5 étapes
1. Désigner un pilote et une gouvernance
Nommer un DPO (obligatoire dans les cas de l'article 37, recommandé ailleurs) ou un référent, lui donner un accès direct à la direction, et fixer un rythme de pilotage : un comité trimestriel avec un compte rendu suffit souvent à créer la trace des arbitrages.
2. Cartographier les traitements
Le registre est le point de départ, parce que toutes les autres pièces s'y rattachent : une AIPD porte sur un traitement du registre, un contrat de sous-traitance encadre un destinataire du registre, une durée de conservation est justifiée traitement par traitement. Pour tenir son registre des traitements sans repartir d'un tableur à chaque mise à jour, un outil dédié évite les versions concurrentes.
3. Prioriser par le risque
L'article 24 demande des mesures proportionnées. Classer les traitements selon leur sensibilité (données de santé, données financières, volume, transferts hors UE, recours à l'IA) permet de concentrer les AIPD, les audits de sous-traitants et la documentation détaillée là où le risque le justifie.
4. Formaliser les procédures
Trois procédures sont attendues en priorité, parce qu'elles sont déclenchées par des événements extérieurs et soumises à des délais : la gestion des demandes d'exercice des droits (un mois, article 12.3), la gestion des violations de données (72 heures pour notifier la CNIL, article 33.1) et l'intégration de la protection des données dans les nouveaux projets (article 25).
5. Documenter, puis réexaminer
Chaque décision, chaque mesure et chaque révision laisse une trace datée. La revue annuelle du dispositif, exigée en substance par l'article 24.1 (« réexaminées et actualisées si nécessaire »), produit elle-même une pièce : le bilan du DPO, avec le plan d'actions de l'année suivante. Notre livre blanc sur la mise en place de la conformité RGPD en 10 étapes détaille cette démarche dans son ensemble.
Prouver sa conformité à des tiers : clients, auditeurs, acheteurs
La CNIL n'est plus le seul destinataire de la preuve. Pour une ETI qui vend en B2B, la demande vient d'abord des clients : questionnaires sécurité et RGPD dans les appels d'offres, annexes de DPA, demandes d'audit sur le fondement de l'article 28.3.h. C'est souvent ce besoin commercial, plus que le risque de contrôle, qui pousse une organisation à structurer son accountability.
Deux leviers accélèrent ces réponses. Le premier est de tenir une documentation réutilisable : un registre à jour, une liste des sous-traitants ultérieurs, une description des mesures de sécurité au niveau de détail qu'attend un acheteur. Notre guide sur la façon de remplir un questionnaire sécurité et RGPD détaille les questions qui reviennent. Le second est de s'appuyer sur les mécanismes prévus par le RGPD : l'adhésion à un code de conduite approuvé (article 40) ou une certification (article 42) peut servir d'élément pour démontrer le respect des obligations (article 24.3) ou la suffisance des garanties d'un sous-traitant (article 28.5). Ce n'est qu'un élément : il ne remplace pas la documentation propre à chaque traitement.
Questions fréquemment posées
Qu'est-ce que le principe d'accountability du RGPD ?
C'est l'obligation, posée par l'article 5.2 du RGPD, pour le responsable de traitement de respecter les principes de protection des données et d'être en mesure de démontrer ce respect. L'article 24 la décline : mettre en œuvre des mesures techniques et organisationnelles appropriées, proportionnées aux risques, et les réexaminer régulièrement.
Quelle différence entre accountability et responsabilité ?
La version française du RGPD traduit « accountability » par « responsabilité », mais le sens est plus précis. La responsabilité, au sens courant du droit français, désigne l'obligation de répondre d'un dommage après coup. L'accountability désigne l'obligation de rendre des comptes à tout moment, avant tout incident, en produisant la preuve de sa conformité.
Le DPO est-il responsable de l'accountability ?
Non. Le DPO pilote et contrôle la conformité (article 39), mais la responsabilité juridique reste celle du responsable de traitement. Les lignes directrices du groupe « Article 29 » sur les DPO (WP 243, 2017) précisent que les DPO ne sont pas personnellement responsables en cas de non-respect du RGPD.
Un sous-traitant est-il soumis à l'accountability ?
L'article 5.2 vise le responsable de traitement, mais le sous-traitant a ses propres obligations de preuve : garanties suffisantes (article 28.1), mise à disposition des informations nécessaires et acceptation des audits (article 28.3.h), registre des catégories de traitements (article 30.2), sécurité (article 32) et notification des violations au responsable (article 33.2).
Quelle sanction en cas de défaut de documentation ?
Les manquements aux obligations documentaires des articles 25 à 39 sont passibles de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83.4). Le manquement aux principes de l'article 5, dont l'accountability, relève du plafond de 20 millions d'euros ou 4 % (article 83.5). En pratique, la CNIL relève le défaut de documentation à l'occasion d'un contrôle ou d'une violation de données, comme dans les sanctions Slimpay (28 décembre 2021) et Dedalus Biologie (15 avril 2022).
Une certification suffit-elle à prouver sa conformité RGPD ?
Non. L'adhésion à un code de conduite approuvé ou une certification au sens des articles 40 et 42 n'est qu'un élément de preuve parmi d'autres (article 24.3). Elle ne dispense ni du registre, ni des AIPD, ni de la documentation propre à chaque traitement.
Tenir l'accountability dans la durée
L'accountability ne se gagne pas en une campagne de documentation : elle se perd dès que le registre décroche de la réalité des traitements. Ce qui la rend tenable, c'est de produire la preuve au moment où le travail est fait, plutôt que de la reconstituer avant un contrôle ou un appel d'offres. C'est l'approche de Leto : le registre sert de hub, les AIPD, les sous-traitants et les demandes d'exercice des droits s'y rattachent, et Hari, l'IA de Leto, aide à répondre aux questionnaires sécurité de vos clients à partir de cette documentation. Pour voir comment cela s'organise sur votre périmètre, demandez une démonstration.
