La fiche 9 du guide pratique de la CNIL pour les SPST relie la conformité au RGPD à l’attestation de conformité et à la certification selon la SPEC 2217. Le guide présente la documentation de conformité comme un ensemble de preuves, utile à l’auditeur comme à l’autorité de contrôle.
Le 17 septembre 2026, le Comité européen de la protection des données (CEPD) a adopté ses lignes directrices 04/2026 sur les amendes administratives et les autres mesures correctrices. Elles sont en consultation jusqu’au 13 novembre 2026.
Ce qui change
Le projet de lignes directrices décrit une méthode en cinq étapes pour l’application de l’article 83 du RGPD :
- l’infraction est-elle passible d’amende ;
- quelle est la responsabilité de l’organisme ;
- y a-t-il intention ou négligence ;
- quelles sont les circonstances aggravantes et atténuantes ;
- l’amende est-elle effective, proportionnée et dissuasive.
Le texte comporte quatorze exemples. Il rappelle que l’avertissement, le rappel à l’ordre ou l’injonction peuvent remplacer l’amende. La CNIL devra suivre cette grille une fois les lignes directrices adoptées.
Les deux sanctions publiées en septembre (SAN-2026-009 et SAN-2026-010) montrent déjà ce que la CNIL retient. Comme aggravant : une négligence avérée au regard des moyens de l’organisme, des avertissements antérieurs. Comme atténuant : les mesures prises en cours de procédure et la coopération.
Ce que cela implique pour un SPST
La grille du CEPD pose des questions qu’un service peut anticiper. Avait-il les moyens de faire mieux ? Avait-il déjà été prévenu ? A-t-il coopéré ? A-t-il corrigé avant la décision ? Chaque réponse s’appuie sur une preuve.
Le dossier de certification SPEC 2217 contient déjà une grande partie de ces preuves : registre à jour, analyses d’impact, procédure de violation appliquée, plan de sensibilisation exécuté, revues d’accès documentées, réponses aux demandes de droits tracées, suites données aux courriers de la CNIL. La grille pénalise à l’inverse l’écart entre les moyens du service et les mesures prises, la répétition d’un manquement déjà signalé, l’absence de réponse.
- Relire le dossier de certification avec la grille du CEPD.
- Vérifier que chaque mesure de sécurité et chaque réponse à une demande de droits laisse une preuve datée.
- Repérer les écarts entre les moyens du service et les mesures en place, car ils fondent le critère de négligence.
- Traiter en priorité les écarts déjà signalés lors d’un audit précédent.
Une trace manquante sera lue comme une négligence. Une correction datée avant tout contrôle sera lue comme une circonstance atténuante.
Comment le traiter dans DPO SUITE
Ouvrez l’audit SPEC 2217 et utilisez la localisation des preuves pour vérifier, exigence par exigence, qu’une pièce datée est rattachée. Les exigences sans preuve forment la liste des écarts à traiter. Rattachez les pièces manquantes depuis la connexion au drive du client ; elles restent dans le drive du service.
Dans le module non-conformités, filtrez les écarts déjà relevés lors des audits précédents et encore ouverts. La grille du CEPD les traiterait comme une répétition. Donnez-leur une échéance rapprochée et un responsable.
Vérifiez dans le module des demandes d’exercice de droits que chaque demande close porte une réponse rattachée, et dans le module incidents que chaque violation qualifiée porte la trace de sa notification ou de la décision de ne pas notifier. Les saisines de la CNIL, suivies comme des incidents, doivent montrer la réponse apportée.
Le rapport annuel du DPO peut reprendre cette revue pour la direction, et l’audit annuel l’inscrire dans la campagne de l’année. ALIX peut proposer un rapprochement entre la grille du CEPD et les exigences de l’audit, à valider.
Pour rassembler vos preuves de conformité, testez la création de votre registre.
Repères
- Projet de lignes directrices CEPD 04/2026 sur les amendes administratives (17 septembre 2026, consultation jusqu’au 13 novembre 2026)
- RGPD, article 83
- Délibérations CNIL SAN-2026-009 et SAN-2026-010 du 21 juillet 2026
- Code du travail, article L. 4622-9-3
- AFNOR SPEC 2217, édition d’août 2023
- Guide CNIL SPST, fiche 9
