Un lundi matin, deux demandes arrivent dans la boîte du DPO. La première vient d'un prospect bancaire : un questionnaire sécurité de 180 questions, à rendre sous dix jours, avec en pièces jointes attendues le DPA, la liste des sous-traitants ultérieurs et « tout document attestant de votre conformité au RGPD ». La seconde est un courrier de la CNIL qui annonce un contrôle sur pièces et réclame le registre des traitements.
Dans les deux cas, la question est la même : quels documents RGPD présenter, et sont-ils à jour ? Ce guide dresse la liste opérationnelle des preuves de conformité, classée par destinataire (CNIL, client B2B, auditeur), avec pour chaque document l'article du RGPD qui l'impose et le rythme auquel il faut le tenir.
Pourquoi documenter : le principe d'accountability (art. 5.2 et 24 du RGPD)
Le RGPD a supprimé l'essentiel des formalités préalables auprès de la CNIL. En échange, il a renversé la charge de la preuve. L'article 5.2 pose que le responsable du traitement est responsable du respect des principes « et est en mesure de démontrer que celui-ci est respecté ». L'article 24.1 précise qu'il met en oeuvre des mesures techniques et organisationnelles appropriées « pour s'assurer et être en mesure de démontrer » que le traitement est conforme.
Concrètement, une conformité qui n'est pas documentée n'existe pas aux yeux d'un contrôleur. C'est le coeur de l'accountability RGPD : la preuve fait partie de l'obligation, elle n'est pas un bonus.
Deux conséquences pratiques pour un DPO :
- Une preuve est datée et versionnée. Un registre sans date de dernière mise à jour ne prouve pas grand-chose le jour d'un contrôle.
- Une preuve est retrouvable en quelques minutes. Le procès-verbal d'un contrôle sur place peut fixer un délai court pour transmettre les pièces complémentaires.
Les documents imposés par le texte
Certains documents ne relèvent pas de la bonne pratique : le RGPD les exige nommément. Ce sont eux que tout destinataire demandera en premier.
Le registre des activités de traitement (art. 30)
L'article 30 impose au responsable du traitement de tenir un registre (finalités, catégories de personnes et de données, destinataires, transferts hors UE, durées de conservation, mesures de sécurité). Le sous-traitant tient aussi son propre registre (art. 30.2). L'article 30.4 prévoit qu'il est mis à la disposition de l'autorité de contrôle sur demande : c'est le premier document réclamé lors d'un contrôle.
L'exemption de l'article 30.5 pour les organismes de moins de 250 salariés est étroite : elle tombe dès que le traitement n'est pas occasionnel, ce qui est le cas de la paie ou de la gestion clients. Pour une ETI, la question ne se pose pas.
Rythme : à chaque nouveau traitement ou changement substantiel, avec une revue complète au moins annuelle. Notre guide sur le registre des traitements détaille sa rédaction.
Les analyses d'impact (art. 35)
L'article 35 impose une AIPD lorsqu'un traitement est susceptible d'engendrer un risque élevé. La CNIL a publié la liste des types d'opérations pour lesquels elle est requise (délibération n° 2018-327 du 11 octobre 2018). Si l'analyse conclut à un risque résiduel élevé, l'article 36 impose de consulter la CNIL avant la mise en oeuvre.
Un point souvent oublié : documenter pourquoi une AIPD n'a pas été réalisée sur un traitement sensible est aussi une preuve. Rythme : réexamen au moins lorsque le risque évolue (art. 35.11). Méthode pas à pas : réaliser son AIPD.
Les contrats de sous-traitance (art. 28)
L'article 28.3 impose un contrat ou un acte juridique avec chaque sous-traitant, et liste son contenu obligatoire : objet, durée, nature et finalité du traitement, instructions documentées, confidentialité, sécurité, sort des données en fin de contrat, assistance, audits. C'est ce qu'on appelle couramment le DPA (Data Processing Agreement).
Rythme : à chaque nouveau sous-traitant, et à chaque changement de sous-traitant ultérieur (art. 28.2 et 28.4).
La documentation des violations de données (art. 33.5)
L'article 33.5 impose de documenter toute violation de données : les faits, ses effets et les mesures prises. Toute violation, y compris celles qui n'ont pas été notifiées à la CNIL parce qu'elles ne présentaient pas de risque. C'est ce registre des violations qui permet à la CNIL de vérifier le respect de l'article 33.
Rythme : au fil de l'eau, dès qu'un incident est qualifié. Voir aussi comment réagir à une violation de données.
L'information des personnes (art. 13 et 14)
Les articles 13 et 14 fixent les informations à fournir aux personnes : identité du responsable, coordonnées du DPO, finalités et bases légales, destinataires, durées, droits. Les preuves attendues sont les supports eux-mêmes : politique de confidentialité, mentions sur les formulaires, notice RH remise aux salariés, affichage de vidéoprotection.
Rythme : à chaque nouvelle finalité ou nouveau destinataire. Méthode : créer une politique de confidentialité RGPD.
Les autres pièces qui font la preuve
Sans être toutes nommées comme des « documents », d'autres obligations se prouvent par écrit :
- La désignation du DPO et la communication de ses coordonnées à la CNIL (art. 37.7) : voir comment déclarer son DPO à la CNIL.
- La preuve du consentement quand c'est la base légale retenue (art. 7.1).
- Les mesures de sécurité (art. 32) : politique de sécurité, gestion des habilitations, journalisation, sauvegardes.
- L'encadrement des transferts hors UE (art. 44 à 49) : clauses contractuelles types et analyse d'impact des transferts.
- Le traitement des demandes de droits (art. 12 à 22) : un journal des demandes reçues, des délais et des réponses apportées.
Ce que la CNIL demande lors d'un contrôle
Selon son rapport annuel 2025, publié le 18 mai 2026, la CNIL a mené 323 contrôles en 2025 : 165 sur place, 126 en ligne, 27 sur pièces et 5 sur audition. Elle a prononcé 83 sanctions et adressé 143 mises en demeure. La cybersécurité représente un tiers des contrôles.
Quel que soit le format, la page de la CNIL « Comment se passe un contrôle de la CNIL ? » est explicite : la délégation peut demander copie de contrats (par exemple de sous-traitance informatique), de formulaires, de dossiers et de bases de données. Le procès-verbal liste en annexe les documents copiés et peut fixer un délai pour transmettre des pièces complémentaires.
Dans les faits, les demandes tournent autour de cinq familles :
- Le registre des traitements, pour cadrer le périmètre du contrôle.
- Les contrats avec les sous-traitants qui interviennent sur les traitements contrôlés.
- Les AIPD des traitements à risque, ou la justification de leur absence.
- Les mesures de sécurité : politique de mots de passe, habilitations, journaux d'accès, registre des violations.
- Les supports d'information et les procédures d'exercice des droits.
Ne pas pouvoir les produire a un coût propre. L'article 31 impose de coopérer avec l'autorité de contrôle, et la CNIL sanctionne ce manquement : le 4 décembre 2025, elle a prononcé une amende de 10 000 euros contre une société d'hôtellerie pour défaut de coopération (procédure simplifiée). Pour voir sur quoi portent concrètement les contrôles, la liste des contrôles RGPD de la CNIL recense plusieurs centaines de missions menées depuis 2018.
Ce que demandent vos clients B2B et vos auditeurs
Pour la plupart des ETI, c'est le client qui demande des preuves bien plus souvent que la CNIL. La raison est dans le texte : l'article 28.1 oblige le client à ne recourir qu'à des sous-traitants présentant des « garanties suffisantes », et l'article 28.3 h) oblige le sous-traitant à mettre à disposition toutes les informations nécessaires pour démontrer sa conformité. Chaque questionnaire reçu est la traduction de ces deux alinéas.
Le questionnaire sécurité
Il reprend en général les mêmes blocs : gouvernance (DPO, politique de protection des données), registre, sous-traitants ultérieurs et localisation des données, mesures de sécurité, gestion des violations, transferts hors UE. Les réponses doivent renvoyer à des pièces existantes, pas à des déclarations. Pour gagner du temps : 6 astuces pour répondre aux questionnaires de sécurité.
Le DPA et la liste des sous-traitants ultérieurs
Le client attend un DPA conforme à l'article 28.3 et la liste à jour des sous-traitants ultérieurs, avec leur pays de traitement. Un DPA signé mais une liste de sous-traitants vieille de deux ans est une incohérence que tout acheteur attentif relèvera. Si vous êtes vous-même prestataire, le guide RGPD du sous-traitant B2B détaille ces obligations.
Le plan d'assurance sécurité
Dans les marchés de services informatiques, le client peut exiger un plan d'assurance sécurité (PAS) : il décrit les engagements de sécurité du prestataire pour la durée du contrat et sert de référence en cas d'audit. Il s'appuie directement sur les mesures documentées au titre de l'article 32.
L'auditeur interne
L'audit interne ou le comité d'audit ne cherche pas seulement la présence des documents : il vérifie leur cohérence entre eux et la trace des décisions. Registre aligné avec les contrats, AIPD reliées aux traitements du registre, plan d'actions avec des échéances tenues. La méthode complète est dans notre guide pour réaliser un audit RGPD.
En résumé, qui demande quoi :
- CNIL : registre, contrats de sous-traitance, AIPD, registre des violations, mesures de sécurité, supports d'information.
- Client B2B : DPA, liste des sous-traitants ultérieurs, mesures de sécurité, PAS, encadrement des transferts, coordonnées du DPO.
- Auditeur interne : tout ce qui précède, plus le plan d'actions et la preuve de sa mise en oeuvre.
Nous avons consacré un webinaire complet à ce sujet, avec une checklist des documents à transmettre : RGPD : comment prouver sa conformité ?
Tenir ces preuves à jour sans y passer ses semaines
La difficulté n'est presque jamais de produire un document une fois. Elle est de le garder cohérent avec les autres quand l'organisation bouge : un nouvel outil SaaS est adopté, un sous-traitant change d'hébergeur, un traitement RH évolue. Dans un dossier partagé, chaque changement impose de mettre à jour à la main le registre, le DPA, la liste des sous-traitants et parfois l'AIPD. C'est là que les écarts apparaissent.
Trois principes d'organisation limitent cette dérive :
- Une source unique. Le registre sert de pivot : les AIPD, les sous-traitants et les transferts y sont rattachés, au lieu de vivre dans des fichiers séparés.
- Des documents générés, pas recopiés. Une liste de sous-traitants ou une annexe de mesures de sécurité produite depuis le registre ne peut pas le contredire.
- Un historique. Chaque version est datée, ce qui permet de montrer à un contrôleur l'état de la conformité à une date donnée.
C'est l'approche de Leto : le registre des traitements sert de hub, la documentation de conformité est générée et versionnée à partir de lui, et Hari, l'IA de Leto, aide à préparer les réponses aux questionnaires sécurité à partir des éléments déjà documentés. Pour voir comment cela s'applique à votre organisation, vous pouvez demander une démo.
Questions fréquemment posées
Quels documents sont obligatoires pour être conforme au RGPD ?
Le RGPD impose nommément le registre des activités de traitement (art. 30), les analyses d'impact pour les traitements à risque élevé (art. 35), les contrats avec les sous-traitants (art. 28), la documentation des violations de données (art. 33.5) et l'information des personnes (art. 13 et 14). Le principe d'accountability (art. 5.2 et 24) oblige en plus à pouvoir démontrer toutes les autres obligations, ce qui suppose de les documenter.
Quel document la CNIL demande-t-elle en premier lors d'un contrôle ?
En pratique, le registre des traitements, que l'article 30.4 oblige à mettre à disposition de l'autorité sur demande. Il permet à la délégation de cadrer le périmètre du contrôle, avant de demander les contrats de sous-traitance, les AIPD et les mesures de sécurité des traitements concernés.
Que risque-t-on si l'on ne peut pas présenter ces documents ?
Chaque document manquant peut constituer un manquement à l'article qui l'impose. S'y ajoute le manquement à l'obligation de coopération de l'article 31 : la CNIL l'a par exemple sanctionné le 4 décembre 2025 par une amende de 10 000 euros contre une société d'hôtellerie, en procédure simplifiée.
Une entreprise de moins de 250 salariés doit-elle tenir un registre ?
Dans la très grande majorité des cas, oui. L'exemption de l'article 30.5 ne s'applique pas dès que le traitement est régulier, comporte un risque ou porte sur des données sensibles. La gestion de la paie ou des clients étant des traitements réguliers, presque toutes les entreprises y sont soumises.
Quels documents transmettre à un client qui audite sa conformité RGPD ?
Le client attend en général le DPA conforme à l'article 28.3, la liste à jour des sous-traitants ultérieurs et leur localisation, la description des mesures de sécurité (art. 32), l'encadrement des transferts hors UE et les coordonnées du DPO. L'article 28.3 h) oblige le sous-traitant à fournir les informations nécessaires pour démontrer sa conformité.
À quelle fréquence mettre à jour sa documentation RGPD ?
Au fil de l'eau pour le registre, les contrats et le registre des violations, dès qu'un traitement, un sous-traitant ou un incident change la situation. Une revue complète au moins annuelle est une bonne pratique. Les AIPD doivent être réexaminées au moins lorsque le risque évolue (art. 35.11).
