La fiche 9 du guide CNIL pour les SPST traite de l’attestation de conformité et de la certification des services, dont le référentiel est la SPEC 2217 de l’AFNOR. La conformité au RGPD en est une composante : le service doit montrer, preuves à l’appui, que ses traitements respectent le règlement.
Aucune révision de la SPEC 2217 n’est intervenue en octobre. Plusieurs décisions du mois disent en revanche comment une autorité lit un dossier de conformité, et ce qui fait basculer un écart en négligence.
Ce qui change
Le Conseil d’État a jugé le 16 octobre 2026 (décision n° 501268) que la multiplicité des manquements à une règle claire caractérise la négligence. Il a aussi jugé que la présidente de la CNIL n’a pas à justifier la saisine directe de la formation restreinte sans mise en demeure préalable.
Dans la sanction Fnac du 22 octobre 2026 (délibération SAN-2026-015), la CNIL précise que répondre aux demandes de l’autorité est une obligation et non une circonstance atténuante, et que la négligence est retenue lorsque la règle méconnue est ancienne.
Les clôtures d’injonction France Travail et Google (délibérations SAN-2026-013 et SAN-2026-014, publiées les 8 et 14 octobre) montrent l’autre face : des preuves de mise en conformité produites dans le délai éteignent l’astreinte. La CNIL a par ailleurs habilité 135 agents aux missions de vérification (délibération HAB-2026-002 du 24 septembre 2026, publiée au Journal officiel du 1er octobre).
Ce que cela implique pour un SPST
Pour un service engagé dans la certification, ces décisions changent la lecture des écarts. Un écart connu et non traité d’une revue de direction à l’autre pèse plus lourd qu’un écart nouveau. Au-delà du plan d’action, l’autorité cherchera la date de la correction et sa preuve.
- Le dossier de certification doit permettre d’identifier les écarts signalés depuis plus d’un an et non corrigés. Ce sont eux qu’une autorité qualifierait de négligence.
- Chaque correction doit être datée et accompagnée d’une preuve : capture, contrat signé, attestation, procès-verbal.
- L’absence de mise en demeure préalable n’est plus une protection : la CNIL peut saisir directement sa formation restreinte.
- Le calendrier de suivi doit être régulier. Dans un service suivi depuis juin, la direction et la référente RGPD ont convenu d’un point d’étape trimestriel et d’un rapport annuel du DPO calé sur l’année civile, avec un premier rapport partiel au 31 décembre 2026. La revue de direction attendue par la SPEC 2217 dispose ainsi d’une trace datée à chaque trimestre.
Le rapport annuel prend alors la forme attendue d’un délégué : ce qui a été fait, ce qui reste ouvert, ce que la direction a décidé. Il devient aussi, pour l’auditeur de certification, la trace la plus lisible du suivi des écarts d’une année sur l’autre.
Comment le traiter dans DPO SUITE
Ouvrez le module des non-conformités et reprenez les écarts ouverts depuis plus de douze mois. Pour chacun, mettez à jour l’action corrective, fixez une échéance et désignez un responsable. Rattachez la preuve de correction dès qu’elle existe, depuis le drive du client connecté.
Dans l’audit SPEC 2217, utilisez la localisation des preuves pour vérifier que chaque exigence relative aux données personnelles renvoie à un document daté. Une exigence sans preuve localisée devient une non-conformité.
Planifiez dans le module des réunions les points d’étape trimestriels avec la direction, et créez la campagne annuelle correspondante. Le rapport annuel du DPO, préparé dans DPO SUITE, retrace ensuite les non-conformités, les actions correctives et leurs dates de clôture.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 5.2, 24 et 83 du RGPD
- Conseil d’État, 16 octobre 2026, n° 501268, conseil-etat.fr
- Délibérations CNIL SAN-2026-013, SAN-2026-014 et SAN-2026-015 ; délibération HAB-2026-002 du 24 septembre 2026
- Article L. 4622-9-3 du code du travail ; AFNOR SPEC 2217, édition d’août 2023
- Guide CNIL SPST, fiche 9
