Depuis le 27 avril 2026, les DPO disposent d’un modèle officiel de rapport d’activité publié par la CNIL. Reste à le remplir : choisir les bons chiffres, les collecter sans y passer des semaines et convaincre la direction. Voici ce que contient le modèle, pourquoi le bilan du DPO est devenu un outil de pilotage, et un kit gratuit pour passer à l’action.
Le modèle CNIL de rapport d'activité du DPO (avril 2026)
Le modèle est un fichier, proposé « à titre indicatif et sans caractère contraignant ». Chaque DPO reste libre de l'adapter à son organisme, sur le fond comme sur la forme.
Quatre parties et des annexes
- L'essentiel : une synthèse d'une à deux pages maximum, avec les enjeux stratégiques, les messages et chiffres clés, les grandes réalisations, les principales alertes et les perspectives.
- L'organisation et les conditions d'exercice de la fonction : désignation, périmètre, qualifications, statut et indépendance, temps affecté, moyens, modalités d'échange avec la direction.
- Les actions de mise en conformité : sensibilisation, procédures, registre, AIPD, audits, transferts hors UE, sécurité, violations, droits des personnes, suivi des contrôles CNIL.
- L'évaluation, les perspectives et les besoins : maturité de l'organisme, réussites, points d'attention, feuille de route et moyens requis.
Des annexes complètent le tout : synthèse d'AIPD, lettre de mission, procédures internes.
Quand le rédiger, et à quelle fréquence
La CNIL laisse le choix : un an après la prise de fonction, en début d'année civile, ou au moment où se préparent les budgets annuels. La fréquence est libre aussi : trimestrielle, semestrielle ou annuelle, à condition de la préciser.
Notre conseil : calez le bilan sur le calendrier budgétaire. Une demande de moyens chiffrée a plus de chances d'aboutir avant les arbitrages qu'après.
Le rapport d'activité du DPO est-il obligatoire ?
Non. Aucun article du RGPD ne parle de « rapport d'activité », et aucun texte n'impose de format ni de date. Trois dispositions le rendent pourtant difficile à éviter.
- L'article 38.3 prévoit que le DPO « fait directement rapport au niveau le plus élevé de la direction ». C'est un canal direct, sans filtre hiérarchique. Les lignes directrices européennes sur le DPO citent le rapport annuel remis à la direction comme exemple de ce reporting.
- L'article 39 confie au DPO le contrôle du respect du règlement, audits compris, en tenant compte du risque des traitements. Contrôler suppose de mesurer, et prioriser suppose de pouvoir l'expliquer.
- Les articles 24 et 5.2 obligent l'organisme à réexaminer ses mesures dans le temps et à démontrer sa conformité. Le bilan est l'un des rares documents qui montre ce réexamen, année après année.
Le manque est réel. En 2023, l'action coordonnée des autorités européennes sur le rôle du DPO a relevé parmi les points faibles l'absence de rapport d'activité, le manque de reporting à la direction et le manque de moyens.
La CNIL qualifie donc le rapport de « bonne pratique recommandée ». Elle précise aussi que le demander au DPO ne remet pas en cause son indépendance.
Pourquoi le bilan du DPO est devenu un outil de pilotage
Piloter la conformité et rendre compte
La CNIL attribue au rapport quatre fonctions : diagnostiquer les traitements et projets à enjeux, évaluer les risques pour l'organisme, documenter les démarches en gardant un historique, et identifier les freins. Il débouche naturellement sur la feuille de route de l'année suivante.
Parler chiffres à la direction
Une direction écoute mieux un risque évité ou un marché gagné qu'une liste d'actions. Les données publiées par la CNIL aident à traduire le travail du DPO en euros :
- 42 % des DPO constatent un effet positif sur les appels d'offres, et 50 % lorsqu'ils sont consultés en amont des projets.
- Une entreprise de 150 M€ de chiffre d'affaires a économisé 400 000 € de serveurs en rationalisant ses données.
- Après des formations au phishing, un DPO a vu le taux de clic sur les liens piégés passer de 21 % à 5 %.
Montrer une trajectoire en cas de contrôle
Des bilans successifs documentent l’évolution de la conformité dans le temps : l’état des lieux à une date donnée, les écarts identifiés, le plan d’action décidé et son avancement d’une période à l’autre. En cas de contrôle, ils permettent de montrer les progrès réalisés et les mesures prises, ce qu’une documentation sans historique ne permet pas.
Protéger le DPO
La conformité relève du responsable de traitement, et le DPO a un rôle de conseil. Le bilan garde une trace écrite et datée de ses recommandations, des risques qu’il a signalés et des moyens qu’il a demandés. Il distingue ainsi ce qui relève du conseil du DPO et ce qui relève des décisions de la direction.
Les 10 indicateurs clés du bilan du DPO
Le modèle CNIL ne fixe pas d'indicateur chiffré, mais ses questions en appellent dix. Ils couvrent les trois volets du modèle : la fonction de DPO, les actions de mise en conformité et l'évaluation d'ensemble de l'organisme.
Notre document des 10 indicateurs clés donne, pour chacun, son mode de calcul, pourquoi il compte, un seuil d'alerte indicatif pour savoir quand en parler à la direction, et la rubrique du modèle CNIL dont il découle.
Présenter le rapport à la direction : la synthèse
Pourquoi présenter votre bilan à la direction
Le RGPD prévoit que le DPO rende compte directement au plus haut niveau de l'organisme. Le rapport d'activité est l'outil naturel de ce reporting : au moins une fois par an, il donne aux décideurs une vision d'ensemble du travail quotidien du DPO, de ses constats et de ses recommandations.
C'est surtout une opportunité, à trois titres :
- Rendre votre engagement visible. Montrez l'ampleur de votre travail, les progrès de l'organisme et ce qu'ils lui apportent : une meilleure sécurité juridique et informatique, un climat social plus serein, une image et une confiance renforcée auprès des clients.
- Mettre des mots sur les difficultés. Compétences qui manquent, blocages internes, charge de travail trop lourde, voire atteintes à votre indépendance.
- Demander les moyens nécessaires. Formation, soutien managérial, temps dédié, adhésion à un réseau professionnel : une demande chiffrée et argumentée a plus de chances d'aboutir.
Ce que contient notre modèle de synthèse
La direction ne lira pas vingt pages. Le modèle CNIL le prévoit : le rapport s'ouvre sur « l'essentiel », une synthèse d'une à deux pages maximum qui sert aussi à communiquer auprès des directions métiers. Notre modèle de synthèse reprend cette structure en cinq blocs.
- Les enjeux de l'année : deux ou trois priorités, une ligne chacune.
- Les chiffres clés : les dix indicateurs, avec N-1, N et la tendance.
- Ce qui a été fait, et le temps passé : chaque réalisation avec ce qu'elle a apporté, et la répartition du temps entre sensibilisation, conseil et contrôle.
- Les risques et les décisions attendues : pour chaque risque, son niveau, la décision demandée à la direction et l'échéance.
- L'année prochaine et les moyens nécessaires : les priorités de la feuille de route, les moyens humains, techniques et financiers, et leur coût.
Du livrable annuel à la vue continue
La CNIL recommande un rapport « vivant », alimenté au fil de l’eau et ventilé par catégorie d’activités : sensibilisation, conseil, contrôle. C’est ce qui évite des semaines de compilation en fin d’année, entre notes éparses, extractions et tableurs.
Dans Dastra, le questionnaire guidé de bilan du DPO suit la structure du modèle CNIL d’avril 2026. Il est dynamique : il s’appuie sur les données déjà présentes dans la plateforme, qu’il s’agisse du registre, des demandes d’exercice des droits, des violations ou des AIPD.
- Une vue à jour au quotidien sur l’ensemble de l’activité de conformité.
- Un bilan disponible à tout moment, sans compilation de dernière minute.
- Un DPO qui valide et commente : il ajoute son analyse, ses alertes et ses demandes de moyens.
Téléchargez le kit Rapport d'activité du DPO 2026
Le kit complète le modèle officiel de la CNIL avec ce qu'il ne fournit pas : des chiffres à suivre et une synthèse prête à présenter.
| Ce que contient le kit | À quoi il sert |
|---|---|
| Modèle de synthèse pour la direction (Word) | Présenter « l'essentiel » en une à deux pages : enjeux, chiffres clés, réalisations, risques et décisions attendues, moyens pour l'année suivante |
| Les 10 indicateurs clés (PDF) | Pour chaque indicateur : son calcul, pourquoi il compte, un seuil d'alerte indicatif et la rubrique du modèle CNIL dont il découle |
Voir le bilan dynamique en action
Le questionnaire guidé de bilan du DPO, aligné sur le modèle CNIL, est disponible dans la plateforme Dastra. Pour le découvrir sur vos propres cas d'usage, réservez une démo par ici.
Questions fréquentes sur le rapport d'activité du DPO
Le rapport d'activité du DPO est-il obligatoire ?
Non. Aucun texte ne l'impose. Mais l'article 38.3 du RGPD oblige le DPO à rendre compte au plus haut niveau de la direction, et la CNIL qualifie le rapport de « bonne pratique recommandée ».
Que doit contenir un rapport d'activité du DPO ?
Le modèle CNIL d'avril 2026 propose quatre parties : l'essentiel, l'organisation et les conditions d'exercice de la fonction, les actions de mise en conformité, puis l'évaluation, les perspectives et les besoins. Des annexes peuvent compléter l'ensemble.
À quelle fréquence rédiger le bilan du DPO ?
La fréquence est libre : trimestrielle, semestrielle ou annuelle. La CNIL cite trois moments possibles, dont la préparation des budgets annuels, le plus utile pour obtenir des moyens.
Quels indicateurs suivre dans un rapport DPO ?
Le modèle CNIL n'en fixe pas. Notre kit en propose dix, tirés des questions du modèle, avec leur mode de calcul et un seuil d'alerte indicatif pour chacun.
Faut-il présenter le rapport à la direction ?
C'est recommandé. La CNIL conseille une présentation formelle en réunion de direction, appuyée sur une synthèse courte, chiffrée et visuelle.