Déclaration CNIL abolie : 3 registres RGPD à tenir en 2026

L’essentiel. La déclaration CNIL n’existe plus depuis le 25 mai 2018. Le RGPD a supprimé le régime des formalités préalables (déclaration, autorisation, récépissé) et l’a remplacé par un principe de responsabilité : vous ne demandez plus l’autorisation de la CNIL avant de traiter des données, mais vous devez pouvoir démontrer votre conformité à tout moment. Concrètement, cela passe par la tenue de trois registres internes (traitements, sous-traitance, violations) que vous n’envoyez à personne, mais que vous devez tenir à jour et présenter en cas de contrôle.

Si vous cherchez « comment déclarer un fichier à la CNIL » ou « faire une déclaration CNIL en 2026 », arrêtez-vous : cette démarche n’existe plus. Elle a été abolie il y a plus de sept ans par le Règlement général sur la protection des données (RGPD). Beaucoup d’entreprises l’ignorent encore et cherchent un formulaire qui a disparu, tandis que d’autres croient, à tort, qu’ayant obtenu jadis un récépissé de la CNIL, elles seraient « en règle pour toujours ». Les deux se trompent.

Cet article fait le point complet : ce qu’était l’ancien régime déclaratif (1), ce qui l’a remplacé — le principe de responsabilité et les trois registres RGPD (2 à 4), les rares formalités qui subsistent encore en France (5), et enfin un plan d’action pour vous mettre en conformité (6). L’objectif : que vous sachiez exactement quoi faire à la place de l’ancienne déclaration.

1. L’ancienne déclaration CNIL : un régime aboli en 2018

Avant le 25 mai 2018, la loi Informatique et Libertés du 6 janvier 1978 organisait un régime de formalités préalables. Autrement dit, avant de mettre en œuvre un traitement de données personnelles, une entreprise ou une administration devait, selon les cas, accomplir une démarche auprès de la CNIL. Ce régime était volontairement graduel, en fonction du risque présumé du traitement :

Ce système présentait deux défauts majeurs. D’abord, le récépissé de déclaration ne valait pas certificat de conformité : la CNIL délivrait un simple accusé de réception, sans contrôler le fond. Une entreprise pouvait donc détenir un récépissé tout en étant parfaitement non conforme. Ensuite, le circuit des autorisations était engorgé : certains dossiers sensibles attendaient des mois, voire des années, avant d’obtenir une réponse — un frein réel à l’innovation.

Le RGPD a balayé cette architecture. Depuis le 25 mai 2018, il n’y a plus, en principe, de déclaration, plus de récépissé, plus d’autorisation préalable pour l’immense majorité des traitements. En droit français, la loi Informatique et Libertés a été réécrite pour s’aligner sur le règlement (loi du 20 juin 2018, puis ordonnance du 12 décembre 2018).

2. Ce qui remplace la déclaration : le principe de responsabilité

L’esprit du RGPD tient en un basculement : on passe d’un contrôle a priori (la CNIL vérifie avant) à un contrôle a posteriori fondé sur la responsabilité (l’organisation s’auto-organise et rend des comptes en cas de contrôle). C’est le principe d’accountability, posé par l’article 5.2 et développé par l’article 24 du RGPD :

« Le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. » (art. 24.1)

Deux mots comptent : « s’assurer » et « démontrer ». Vous ne demandez plus la permission, mais vous devez, à tout instant, être capable de prouver que vos traitements respectent la loi. Cette exigence est en réalité plus contraignante que l’ancienne déclaration : là où un formulaire suffisait autrefois, il faut désormais recenser l’ensemble de vos traitements et documenter leur conformité (base légale, durées, sécurité, information des personnes).

La pièce centrale de cette démonstration, c’est le registre des activités de traitement. Il ne remplace pas une déclaration adressée à la CNIL : il constitue votre documentation interne, que vous conservez chez vous et que vous produisez uniquement si l’autorité vous le demande. La tenue et la mise à jour de ce registre étant particulièrement fastidieuses, un logiciel RGPD permet d’industrialiser la fabrication du registre, de disposer de fiches de traitement pré-documentées et de suivre les mises à jour — ce qui évite des dizaines d’heures de saisie manuelle.

Au total, le RGPD impose de tenir trois registres. Deux servent à recenser les traitements, le troisième à tracer les incidents.

3. Le registre des traitements (art. 30.1) : le cœur du dispositif

Le registre des traitements recense chacune des activités de traitement mises en œuvre par votre organisation en tant que responsable de traitement : gestion de la paie, fichier clients, prospection, vidéosurveillance, recrutement, etc. Pour chaque traitement, l’article 30.1 impose de renseigner les informations suivantes :

• a) le nom et les coordonnées du responsable du traitement (et, le cas échéant, du responsable conjoint, du représentant et du délégué à la protection des données) ;
• b) les finalités du traitement ;
• c) une description des catégories de personnes concernées et des catégories de données ;
• d) les catégories de destinataires auxquels les données sont communiquées, y compris dans des pays tiers ;
• e) le cas échéant, les transferts vers un pays tiers ou une organisation internationale, avec l’identification des garanties appropriées (art. 46) ;
• f) dans la mesure du possible, les délais d’effacement prévus pour chaque catégorie de données ;
• g) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles (art. 32).

En pratique, on ajoute utilement à ce socle minimal la base légale de chaque traitement (article 6 du RGPD : consentement, contrat, obligation légale, intérêt légitime…), car c’est l’une des premières choses que la CNIL vérifie. Pour voir à quoi ressemble un registre complété ligne par ligne, consultez notre exemple de registre RGPD rempli. Pour la colonne « durées de conservation », appuyez-vous sur notre tableau des durées de conservation des données.

L’exception des « moins de 250 salariés » est un piège

L’article 30.5 semble, à première lecture, dispenser les petites structures du registre :

« Les obligations visées aux paragraphes 1 et 2 ne s’appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés, sauf si le traitement qu’elles effectuent est susceptible de comporter un risque pour les droits et libertés des personnes concernées, s’il n’est pas occasionnel ou s’il porte […] sur les catégories particulières de données visées à l’article 9. »

Cette exception est en réalité quasiment inopérante. Il suffit que l’une des trois conditions soit remplie pour que l’obligation renaisse. Or, dès qu’une entreprise gère la paie de ses salariés ou un fichier clients, elle réalise des traitements non occasionnels (ils sont réguliers et permanents). La condition d’exclusion tombe. La CNIL retient d’ailleurs une lecture stricte : dans son modèle de registre destiné aux TPE/PME, elle recommande à toutes les structures d’en tenir un. À cela s’ajoute l’article 24 déjà cité : impossible de « démontrer » la conformité de traitements que l’on n’a même pas recensés. Conclusion pratique : quelle que soit sa taille, votre organisation doit tenir un registre.

4. Le registre du sous-traitant (art. 30.2) et le registre des violations (art. 33.5)

Si votre entreprise traite des données pour le compte d’un client — hébergeur, prestataire informatique, agence marketing, cabinet de paie, éditeur SaaS —, elle agit comme sous-traitant au sens du RGPD. Elle doit alors tenir un second registre, celui des activités de sous-traitance (art. 30.2), qui recense les traitements effectués pour le compte de tiers. Il contient :

• a) le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel vous agissez, ainsi que, le cas échéant, du représentant et du DPO ;
• b) les catégories de traitements effectués pour le compte de chaque responsable de traitement ;
• c) le cas échéant, les transferts vers un pays tiers, avec les garanties associées ;
• d) dans la mesure du possible, une description générale des mesures de sécurité (art. 32).

Ce registre s’articule directement avec le contrat de sous-traitance imposé par l’article 28 du RGPD, qui doit encadrer chaque relation client. Beaucoup d’entreprises portent d’ailleurs les deux « casquettes » : responsable de traitement pour leurs propres fichiers (RH, comptabilité), et sous-traitant pour les prestations vendues à leurs clients. Dans ce cas, les deux registres se tiennent en parallèle.

Enfin, l’article 33.5 impose un troisième registre, souvent oublié : le registre interne des violations de données personnelles. Vous devez y consigner tous les incidents (fuite, perte, accès non autorisé, rançongiciel…), y compris ceux que vous décidez de ne pas notifier à la CNIL. Ce registre documente pour chaque incident : les faits, ses effets et les mesures prises. Il permet à l’autorité de vérifier, en cas de contrôle, que vous avez correctement qualifié chaque événement. Lorsqu’une notification est requise, elle doit intervenir dans les 72 heures : nous détaillons la procédure et fournissons un modèle de notification de violation à la CNIL (72h).

5. Les formalités préalables qui subsistent (rares mais réelles)

Dire que « toute déclaration a disparu » serait inexact. Le droit français a conservé, sur le fondement des articles 31 et 32 de la loi Informatique et Libertés modifiée, un petit nombre de formalités préalables résiduelles, essentiellement pour des traitements particulièrement sensibles ou régaliens. Sans prétendre à l’exhaustivité, on peut citer :

• Certains traitements mis en œuvre pour le compte de l’État touchant à la sûreté, à la sécurité publique ou à la défense, qui restent soumis à un arrêté après avis de la CNIL ;
• Des traitements utilisant le numéro de sécurité sociale (NIR) dans des cas définis par décret ;
• Les traitements de données de santé à des fins de recherche : ils ne relèvent pas d’une « déclaration » au sens ancien, mais d’une démarche spécifique — conformité à une méthodologie de référence (MR) publiée par la CNIL, ou à défaut demande d’autorisation auprès de la CNIL ;
• Les traitements de données biométriques mis en œuvre pour le compte de l’État aux fins d’authentification ou de contrôle d’identité.

Pour l’écrasante majorité des entreprises privées — commerce, services, industrie, professions libérales — aucune de ces formalités ne s’applique. Le réflexe correct n’est donc plus « déclarer », mais « documenter » : inscrire le traitement au registre, définir sa base légale, et, si le traitement présente un risque élevé, réaliser une analyse d’impact (AIPD) avant sa mise en œuvre. L’AIPD est, en un sens, le seul véritable « garde-fou préalable » qui subsiste dans le régime RGPD — mais elle reste interne : vous ne consultez la CNIL que si le risque résiduel demeure élevé malgré les mesures prévues (art. 36).

6. Plan d’action : que faire concrètement en 2026 ?

Voici la marche à suivre pour remplacer proprement l’ancienne « déclaration » par une démarche conforme au régime actuel.

1. Cartographiez vos traitements. Faites le tour des services (RH, commercial, marketing, comptabilité, IT) et listez tout ce qui manipule des données personnelles. Chaque activité = une fiche de registre.
2. Créez votre registre des traitements (art. 30.1) en reprenant les rubriques a) à g), enrichies de la base légale. Partez du modèle de registre RGPD et de notre exemple rempli.
3. Ouvrez un registre de sous-traitance (art. 30.2) si vous traitez des données pour des clients, et vérifiez la présence d’un contrat conforme à l’article 28 pour chaque prestation.
4. Mettez en place le registre des violations (art. 33.5) et une procédure interne de gestion des incidents, avec le réflexe des 72 heures.
5. Renseignez les durées de conservation pour chaque catégorie de données, en vous appuyant sur le tableau des durées légales.
6. Traitez les données sensibles à part. Les données sensibles (santé, opinions, biométrie…) au sens de l’article 9 du RGPD appellent une vigilance renforcée et, souvent, une AIPD.
7. Actualisez régulièrement. Le registre est un document vivant : chaque nouveau traitement, chaque nouvel outil doit y être inscrit.

L’ensemble de cette documentation ne s’envoie à personne tant que la CNIL ne la réclame pas. Mais le jour d’un contrôle — ou d’une plainte —, c’est précisément ce que l’autorité examinera en premier. Ne pas tenir de registre, ou tenir un registre lacunaire, constitue un manquement autonome à l’article 30, passible d’une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (art. 83.4). Pour une vue d’ensemble du régime répressif, voyez notre article sur les sanctions RGPD à connaître.

FAQ

Faut-il encore déclarer un fichier à la CNIL en 2026 ?

Non. La déclaration préalable des fichiers a été supprimée par le RGPD le 25 mai 2018. Pour l’immense majorité des traitements, vous n’avez plus aucune démarche à accomplir auprès de la CNIL avant de traiter des données. Vous devez en revanche inscrire chaque traitement à votre registre interne et être en mesure de démontrer sa conformité en cas de contrôle. Seuls quelques traitements très spécifiques (données de santé pour la recherche, traitements régaliens, biométrie pour l’État) restent soumis à des formalités particulières.

Mon ancien récépissé de déclaration CNIL a-t-il encore une valeur ?

Non, un récépissé délivré avant 2018 n’a plus aucune portée juridique et ne vous protège pas. Il n’a d’ailleurs jamais valu certificat de conformité : la CNIL délivrait un simple accusé de réception sans contrôler le fond. Aujourd’hui, ce qui compte, c’est votre capacité à démontrer votre conformité par la documentation (registre, bases légales, mesures de sécurité, information des personnes), et non un document d’archive.

Une TPE ou une association doit-elle vraiment tenir un registre ?

Oui. L’exception de l’article 30.5 pour les organisations de moins de 250 salariés est en réalité inopérante dès qu’un traitement est régulier (paie, fichier clients, adhérents…). La CNIL recommande à toutes les structures, même les plus petites, de tenir un registre, et fournit un modèle simplifié. Une association qui gère un fichier d’adhérents ou une TPE qui gère ses salariés doivent donc en tenir un.

Quelle est la différence entre le registre des traitements et le registre de sous-traitance ?

Le registre des traitements (art. 30.1) recense les traitements que vous menez pour votre propre compte, en tant que responsable de traitement. Le registre de sous-traitance (art. 30.2) recense les traitements que vous réalisez pour le compte de vos clients, en tant que sous-traitant. Une même entreprise peut devoir tenir les deux : l’un pour sa RH et sa compta, l’autre pour les prestations qu’elle vend.

Que risque-t-on à ne pas tenir de registre RGPD ?

L’absence de registre est un manquement autonome à l’article 30, sanctionnable même en l’absence de tout incident. Il relève du plafond de l’article 83.4 : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Surtout, l’absence de registre est le premier signal d’alerte lors d’un contrôle : elle laisse penser que l’organisation ne maîtrise pas ses traitements, ce qui oriente le contrôle vers d’autres manquements potentiels.

Le registre doit-il être transmis à la CNIL chaque année ?

Non. Aucun envoi périodique n’est prévu. Le registre est un document interne que vous tenez à jour en permanence et que vous ne communiquez qu’à la demande de la CNIL, typiquement dans le cadre d’un contrôle sur place, en ligne ou sur pièces. Il n’y a ni dépôt annuel, ni portail de télédéclaration.

En résumé : la « déclaration CNIL » appartient au passé. Le régime actuel repose sur votre responsabilité et sur trois registres que vous tenez chez vous. Bien construits, ils ne sont pas une contrainte administrative de plus, mais la colonne vertébrale de votre conformité — celle qui vous protège le jour où la CNIL frappe à la porte.