Article 71 RGPD : exploiter le rapport annuel du CEPD

Le rapport annuel du Comité européen de la protection des données (CEPD) permet de retrouver ses travaux et d’organiser une revue de conformité. Il ne prédit pas, à lui seul, les prochains contrôles de votre entreprise. L’Art. 71 définit son objet et sa publicité.

Ce que l’article 71 impose

Le Comité établit un rapport annuel sur la protection des personnes à l’égard des traitements dans l’Union et, lorsque pertinent, dans les pays tiers et les organisations internationales. Ce rapport est public et communiqué au Parlement européen, au Conseil et à la Commission.

Il comprend notamment le bilan de l’application pratique des lignes directrices, recommandations et bonnes pratiques visées à l’Art. 70(1)(l), ainsi que des décisions contraignantes de l’Art. 65. Source : RGPD, Art. 71(1) et (2).

Cette obligation prolonge les missions du Comité. Elle est distincte du rapport annuel des autorités nationales, dont celui de la CNIL.

Le rapport 2025 : un point de départ documenté

Le rapport 2025 figure dans le document transmis le 3 juin 2026 aux délégations du Conseil de l’Union européenne. Cet exemplaire officiel permet de retrouver le bilan et ses différentes rubriques. Source : Conseil, document 10034/26 et rapport annexé.

Le rapport mentionne 29 avis de cohérence selon l’Art. 64(1) à la page 18, puis 414 dossiers transfrontaliers créés et 1 299 procédures de guichet unique engagées, dont 572 décisions finales, à la page 29. Son avant-propos présente aussi les travaux sur l’articulation du RGPD avec les autres réglementations numériques et le dialogue avec les parties intéressées. Ces repères décrivent le bilan 2025, sans établir le statut actuel de chaque document évoqué.

Ces indicateurs décrivent des objets différents : dossier, procédure, avis et décision. Ils ne constituent ni un taux de sanction des entreprises européennes, ni une probabilité de contrôle pour votre organisation. Une décision finale n’est pas nécessairement une amende.

Une grille de lecture pour le DPO

Cette grille est une méthode proposée pour exploiter le rapport. L’Art. 71 n’impose pas ce tableau aux entreprises.

Une organisation peut retenir quelques sujets qui correspondent à ses activités, ouvrir les textes cités, puis affecter chaque action à un responsable. Pour un dossier européen, la compréhension de la coopération de l’article 60 évite de confondre échanges procéduraux et décisions finales.

Partir d’une question de l’organisme

Une lecture utile commence par les traitements de l’entreprise. Le rapport rassemble de nombreux travaux ; tous ne justifient pas une action chez vous. Avant de parcourir les chapitres, formulez les questions en cours : une réponse aux droits est-elle difficile à produire, un fournisseur change-t-il ses flux de données, une fonctionnalité nouvelle modifie-t-elle les finalités ? Ces questions permettent de sélectionner les publications à examiner.

Utilisez le registre des activités de traitement comme point d’entrée, en vérifiant qu’il correspond encore aux usages. L’Art. 30 décrit notamment les finalités, les catégories de personnes et de données ainsi que les destinataires. Ces informations aident à rapprocher un sujet européen d’une opération identifiable. Elles ne prouvent pas que tous les traitements de l’organisme sont correctement décrits ni que le registre est à jour. RGPD, Art. 30.

Pour chaque sujet retenu, écrivez une phrase concrète : « vérifier la réponse fournie lors de l’accès au dossier client » est plus exploitable que « suivre les droits ». Si aucun traitement concerné n’est identifié, conservez le sujet en veille avec le motif de cette décision. Il n’est pas nécessaire de créer artificiellement un chantier pour chaque rubrique du rapport.

Retrouver la bonne version du document cité

Le rapport décrit une année d’activité. Un projet qui y apparaît peut avoir été modifié, adopté ou remplacé depuis. La date du rapport et l’année figurant sur sa couverture ne suffisent donc pas à établir le statut actuel d’une orientation. Recherchez la publication elle-même, son numéro, sa version et ses éventuelles étapes de consultation.

Conservez un lien vers le document effectivement lu et la date de votre vérification. Si vous utilisez une traduction, identifiez aussi sa version. En cas de différence apparente entre un résumé et le document complet, revenez au passage pertinent avant de diffuser une consigne aux équipes. Une phrase de communication institutionnelle peut présenter un objectif sans décrire toutes les conditions de son application.

Une décision mentionnée dans un bilan demande une lecture propre : faits retenus, traitement concerné, règle appliquée et mesures ordonnées. Ne transposez pas une conclusion à un fournisseur différent uniquement parce que les deux utilisent la même technologie. Les écarts de finalité, de rôle, de données ou de garanties peuvent modifier l’analyse. La comparaison doit être expliquée dans la note de veille.

Lire un indicateur avec sa définition

Les volumes d’activité renseignent sur le travail des autorités. Pour les utiliser, relevez leur unité, la période observée et les éventuelles conditions de comptage. Une affaire enregistrée, une procédure déclenchée et une décision rendue ne désignent pas trois événements interchangeables. Il ne faut pas additionner ces catégories comme si chacune correspondait à une entreprise différente.

La comparaison entre deux années demande la même discipline. Une variation peut traduire un changement d’activité, de périmètre ou de méthode de comptage. Avant de la commenter, recherchez les définitions et les notes. Si elles ne permettent pas de conclure, dites précisément ce qui reste inconnu. Un pourcentage calculé correctement peut néanmoins répondre à une mauvaise question.

Cette prudence s’applique aussi au tableau de bord du DPO. Dans un exemple entièrement fictif, une équipe reçoit douze demandes de droits pendant un mois et en clôt sept. Les cinq autres restent ouvertes à la date d’arrêté. Calculer sept sur douze décrit seulement une clôture observée à cette date, si les catégories sont bien définies. Cela ne démontre ni que les cinq réponses restantes sont en retard, ni que les sept réponses clôturées respectent toutes les exigences applicables.

Pour apprécier ces sujets, il faut regarder les dates, la nature de chaque demande, les réponses et les éventuelles conditions de prolongation. L’exemple ne reproduit aucune statistique du CEPD : il montre comment garder le lien entre un chiffre et ce qu’il mesure, avant de le présenter à la direction.

Construire une note d’écart et une décision traçable

La note d’écart relie trois éléments : le texte pertinent, les faits de l’organisme et la décision proposée. Évitez de recopier intégralement une publication. Sélectionnez le passage utile, décrivez la pratique actuelle et expliquez la différence qui mérite une action ou une analyse complémentaire.

Voici une structure de travail proposée, sans valeur de modèle officiel :

L’échéance interne doit être présentée comme telle. Ne lui donnez pas l’apparence d’un nouveau délai réglementaire tiré du rapport annuel. Si une obligation comporte une date légale, indiquez séparément son fondement. La note peut aboutir à plusieurs résultats : modifier une pratique, compléter l’analyse, demander une pièce ou maintenir la solution existante avec une justification vérifiable.

Fermer une action sur une preuve adaptée

Une tâche intitulée « mettre la notice à jour » ne peut pas être close sur le seul envoi d’un brouillon. Définissez la preuve attendue selon l’action : texte validé, version effectivement utilisée, canal concerné et date d’application. Un contrat révisé mais non conclu ne démontre pas non plus que la relation avec le fournisseur est désormais encadrée par cette version.

Pour un changement technique, demandez ce qui a été vérifié et sur quel périmètre. Le résultat relatif à un formulaire ne s’étend pas automatiquement à tous les parcours. La fiche de suivi doit permettre de distinguer une mesure envisagée, réalisée et contrôlée. Elle n’a pas besoin d’accumuler des captures sans objet ; elle doit rendre la conclusion compréhensible.

Enfin, préparez une restitution courte à la direction : quelques sujets pertinents, les décisions à prendre, les dépendances et les points non résolus. Le nombre de pages lues n’est pas l’indicateur principal de ce travail. La valeur de la veille tient à la manière dont elle aide à justifier et à améliorer les pratiques, dans la logique de responsabilité de l’Art. 24(1), tout en conservant les limites de l’analyse.

Ce qu’il faut retenir

• L’Art. 71 impose un rapport public annuel au Comité.
• Le rapport européen et celui de la CNIL répondent à des obligations distinctes.
• Les chiffres doivent être lus avec leur unité et leur périmètre.
• Le rapport oriente la recherche ; les actes cités doivent ensuite être lus directement.

FAQ

Le rapport annuel crée-t-il de nouvelles obligations ?

Il rend compte des travaux et de leur application. Une obligation doit être rattachée au texte applicable ; le rapport ne remplace pas cette vérification.

Les thèmes du rapport annoncent-ils nécessairement les prochains contrôles ?

Non. Ils constituent des informations utiles pour la veille, mais ne permettent pas de prédire les décisions de contrôle d’une autorité ou le dossier d’une entreprise.

Peut-on comparer le nombre de dossiers et le nombre de décisions ?

Seulement après avoir vérifié leurs définitions, leur période et leur périmètre. Il ne faut pas convertir automatiquement ces volumes en taux de sanction.

Recevez nos analyses de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.