Déclaration CNIL : ce qui reste obligatoire

Pour un fichier courant de clients ou de salariés, l’ancienne déclaration préalable à la CNIL a disparu avec le RGPD. Cela ne signifie pas que toutes les déclarations, autorisations et consultations ont été supprimées. La bonne démarche consiste à qualifier le traitement, à documenter sa conformité et à vérifier les formalités particulières avant son démarrage.

Ce qui a changé depuis 2018

Le RGPD, applicable depuis le 25 mai 2018, place la démonstration de conformité au cœur des obligations : Art. 5(2) et 24(1). L’organisme doit mettre en œuvre des mesures appropriées et être en mesure de prouver le respect des règles. Un ancien récépissé de déclaration ne constitue pas un certificat de conformité actuel.

Ne jetez pas pour autant les pièces historiques sans examen : elles peuvent documenter la création ou le périmètre d’un traitement. Distinguez un simple récépissé d’une autorisation particulière, dont la portée doit être vérifiée au regard des textes et des changements intervenus.

La loi Informatique et Libertés en vigueur conserve des régimes spécifiques, notamment ses Art. 30 à 36 et les dispositions relatives à la santé. Une affirmation générale « aucune démarche auprès de la CNIL » serait donc erronée.

Pourquoi la déclaration générale a disparu

Sous la directive 95/46/CE, la notification des traitements à l’autorité de contrôle était la règle. Le RGPD a supprimé cette obligation générale : son considérant 89 explique que ces notifications généralisées ont créé des charges administratives et financières sans toujours améliorer la protection. Le texte les remplace par des obligations proportionnées au risque : registre, AIPD, consultation préalable dans certains cas, sécurité et responsabilité (Art. 5(2) et 24).

Le droit français a été mis en cohérence par la loi n° 2018-493 du 20 juin 2018, puis par l’ordonnance n° 2018-1125 du 12 décembre 2018, qui a réécrit la loi Informatique et Libertés. Pour le détail du texte du registre, voir notre guide de l’article 30 du RGPD.

Les documents à tenir dépendent de votre rôle

Le chapitre IV du RGPD prévoit plusieurs obligations documentaires. Il n’impose pas trois classeurs identiques à toute organisation.

Une entreprise peut cumuler les deux premiers rôles pour des opérations différentes. Par exemple, un prestataire gère ses salariés pour son compte et héberge des fichiers pour ses clients. Il doit distinguer ces activités, sans nécessairement utiliser deux logiciels.

L’Art. 33(5) vise les violations de données personnelles, y compris celles non notifiées. Tout incident informatique n’est pas nécessairement une violation de données. La qualification, les raisons de notifier ou non et les mesures prises doivent pouvoir être retrouvées dans le registre des violations.

Ce que le registre doit contenir

L’Art. 30(1) prévoit notamment l’identité et les coordonnées des acteurs concernés, les finalités, les catégories de personnes et de données, les destinataires, les transferts et, dans la mesure du possible, les délais d’effacement ainsi qu’une description générale de la sécurité.

Pour les transferts, le texte vise l’identification du pays tiers ou de l’organisation internationale et, dans le cas particulier de l’Art. 49(1), deuxième alinéa, les documents relatifs aux garanties appropriées. Une colonne générale sur le mécanisme de transfert est utile à la preuve, mais ne doit pas être présentée comme la formulation exacte du texte.

Ajoutez utilement la base légale, le responsable opérationnel et les pièces liées. Le modèle de registre complété distingue ces rubriques pratiques des exigences de l’Art. 30. Le registre est tenu par écrit, éventuellement sous forme électronique, et mis à disposition de l’autorité sur demande : Art. 30(3) et 30(4). Aucun dépôt annuel général n’est prévu par cet article.

L’exception des structures de moins de 250 employés

L’Art. 30(5) prévoit une exception assortie de limites. Elle ne joue pas pour les traitements susceptibles de comporter un risque pour les droits et libertés, non occasionnels, ou portant sur des données des Art. 9(1) ou 10.

La gestion régulière de clients ou de salariés doit donc être examinée comme un traitement non occasionnel. Cela ne permet pas d’effacer l’exception du texte ni d’affirmer que toutes les opérations de toute petite structure sont identiquement soumises au registre. Recenser l’ensemble des activités peut rester une organisation pratique utile, distincte de l’analyse de l’obligation.

Les formalités qui peuvent encore s’appliquer

Recherche en santé. La CNIL distingue les recherches internes remplissant les conditions prévues et les recherches soumises à déclaration de conformité à une méthodologie de référence ou à autorisation. Une recherche simplement réalisée « en interne » dans une entreprise n’est pas, pour cette seule raison, dispensée. Consultez la fiche sur les formalités de recherche en santé.

Les MR-001 et MR-003 ont été révisées en 2026 : utilisez les versions et dispositions transitoires actuelles, indiquées dans la présentation officielle de leur mise à jour. Une ancienne déclaration ne dispense pas de mettre à jour la documentation et les pratiques requises.

Vidéoprotection. Pour les systèmes concernés par ce régime, l’autorisation préfectorale reste une démarche distincte. Les autorités publiques, dont les communes, doivent en outre effectuer une déclaration préalable de conformité au RU-074 selon l’Art. R253-7 du Code de la sécurité intérieure. Les autres organismes n’ont pas cette même déclaration CNIL : fiche CNIL vidéoprotection.

NIR et traitements régaliens. Examinez les conditions de l’Art. 30 de la loi pour le numéro de sécurité sociale et les Art. 31 à 36 pour les traitements qui y sont visés. La présence d’un NIR ne signifie pas automatiquement qu’il faut déposer une demande individuelle d’autorisation ; il faut identifier le régime applicable à la finalité et à l’acteur.

AIPD, DPO et notification : trois démarches différentes

Une AIPD doit précéder le traitement lorsqu’il est susceptible d’engendrer un risque élevé, selon l’Art. 35. La consultation préalable prévue par l’Art. 36 doit être examinée lorsque les risques ne peuvent être suffisamment atténués. L’analyse interne ne remplace pas une formalité sectorielle.

Si un DPO est désigné, ses coordonnées sont publiées et communiquées à l’autorité selon l’Art. 37(7). Cette communication n’est pas une déclaration du fichier ni une validation de conformité. Le guide sur la désignation obligatoire du DPO aide à vérifier les cas concernés.

Enfin, la notification d’une violation suit l’Art. 33(1) : sans délai indu et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque. Le sous-traitant alerte le responsable sans délai indu, selon l’Art. 33(2). Ce régime n’est pas une autorisation préalable de traiter les données.

Exemple hypothétique : une société de formation lance un nouvel outil

Cet exemple est fictif ; il illustre la méthode et ne décrit pas une organisation réelle.

Une société de formation de 40 salariés, dans une ville de province, ouvre un espace en ligne pour ses stagiaires et remplace son tableur de suivi. Aucune déclaration générale à la CNIL n’est à déposer pour ce fichier courant. La responsable administrative passe pourtant par cinq vérifications avant le démarrage :

1. Rôle. La société est responsable du traitement pour ses stagiaires et ses salariés. L’éditeur du logiciel est son sous-traitant : un contrat conforme à l’Art. 28 est à signer (modèle de contrat de sous-traitance).
2. Registre. Elle ajoute une fiche « suivi des stagiaires » avec les rubriques de l’Art. 30(1). Elle ne se fonde pas sur l’exception de l’Art. 30(5), puisque ses traitements de gestion sont réguliers.
3. Risque élevé ? Elle applique les critères de la liste CNIL des traitements exigeant une AIPD. Un simple suivi de présence n’en relève pas ; la fiche conserve la raison de cette conclusion. Si elle ajoutait une surveillance des connexions des stagiaires à grande échelle, la question serait à rouvrir.
4. Formalité spécifique. Le projet ne comporte ni recherche en santé, ni vidéoprotection, ni usage du NIR : aucune formalité sectorielle n’apparaît, et la fiche le consigne.
5. Preuve. La fiche est datée, signée par la direction et rattachée au dossier du projet.

Un an plus tard, le même organisme souhaite ajouter un module de reconnaissance des visages pour contrôler l’émargement. La fiche doit alors être refaite : donnée biométrique de l’Art. 9, analyse du risque, AIPD probable et vérification du régime applicable. C’est ce réexamen au moment du changement, et non un dépôt ancien, qui protège l’organisme.

Que risque-t-on à ne rien documenter ?

Les manquements aux obligations des responsables du traitement et des sous-traitants (Art. 25 à 39, dont le registre de l’Art. 30 et l’AIPD de l’Art. 35) peuvent être sanctionnés par des amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu : Art. 83(4)(a). Les manquements aux principes de base de l’Art. 5 relèvent du plafond supérieur de 20 millions d’euros ou 4 % : Art. 83(5)(a).

Ces montants sont des plafonds, non des tarifs. La CNIL tient compte, selon l’Art. 83(2), de la gravité, de la durée, des mesures prises et de la coopération. En pratique, l’absence de registre est souvent constatée lors d’un contrôle ou d’une procédure déclenchée par une plainte : l’autorité peut demander la communication de la documentation (Art. 58(1)(a) et 31). Mieux vaut un registre simple et à jour qu’un document ambitieux jamais ouvert.

La fiche de décision avant démarrage

Consignez quatre conclusions : rôle de l’organisme ; documentation requise ; besoin d’AIPD et de consultation ; formalités spécifiques et preuves de leur accomplissement. Désignez une personne chargée de réexaminer cette fiche lors d’un changement de finalité, de données ou d’intervenants.

Ce qu’il faut retenir

• La déclaration courante a disparu, pas toutes les formalités.
• Les documents requis dépendent du rôle et du traitement.
• Le registre n’est pas un certificat de conformité.
• Santé, vidéoprotection publique et traitements particuliers nécessitent un examen spécifique.
• Consultation, désignation du DPO et notification de violation sont distinctes.

FAQ

Faut-il déclarer un fichier clients courant ?

Il n’existe plus de déclaration générale de ce fichier à la CNIL. Il faut toutefois respecter le RGPD et vérifier qu’aucune caractéristique particulière du traitement n’entraîne une formalité spécifique.

Faut-il envoyer son registre chaque année ?

L’Art. 30 ne prévoit pas un tel dépôt. Le registre doit être disponible pour l’autorité sur demande et refléter les activités concernées.

La CNIL peut-elle demander mon registre ?

Oui. L’Art. 30(4) impose de mettre le registre à la disposition de l’autorité sur demande, et l’Art. 31 prévoit l’obligation de coopérer. Il vaut donc mieux le tenir à jour que le reconstituer au moment d’un contrôle.

L’ancien récépissé suffit-il pour poursuivre le traitement ?

Non. Il n’atteste pas que les finalités, données, garanties et pratiques actuelles sont conformes. Conservez-le comme pièce historique si elle reste utile, sans le confondre avec une validation actuelle.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.