Responsabilité au sens du RGPD : comment les entreprises prouvent le respect de leurs obligations

Le principe de responsabilité (« accountability ») de l'art. 5, par. 2 RGPD oblige les entreprises non seulement à garantir le respect des principes de protection des données, mais aussi à pouvoir le démontrer activement. La preuve repose sur des documents concrets : un registre des activités de traitement (art. 30), des mesures techniques et organisationnelles documentées (art. 32), des contrats de sous-traitance (art. 28) et des attestations de formation. En l'absence de preuve, la règle en cas de doute est : non fait.

Par la rédaction de Provimedia · Date : juillet 2026 · Cet article est une information générale et ne constitue pas un conseil juridique.

Que signifie le principe de responsabilité selon l'art. 5, par. 2 RGPD ?

L'article 5, paragraphe 2 du RGPD formule une phrase unique, mais de grande portée : le responsable du traitement est responsable du respect des six principes du paragraphe 1 et doit pouvoir en apporter la preuve (« responsabilité »). C'est ce qui distingue le RGPD de nombreuses réglementations plus anciennes : il ne suffit pas de se comporter conformément à la protection des données. Une entreprise doit pouvoir, le cas échéant, lors d'un contrôle de l'autorité de surveillance, après une violation de données ou en cas de plainte, prouver qu'elle a respecté les règles.

Concrètement, cela signifie que la documentation n'est pas une fin bureaucratique en soi, mais l'obligation proprement dite. Qui ne documente rien ne peut rien présenter en cas de litige, même si tout s'est déroulé correctement en interne.

De quoi exactement devez-vous rendre compte ?

Le principe de responsabilité porte sur les six principes de l'art. 5, par. 1 RGPD, que tout traitement de données doit respecter simultanément :

• Licéité, loyauté, transparence – il faut une base juridique et de la transparence à l'égard des personnes concernées.
• Limitation des finalités – n'utiliser les données que pour la finalité pour laquelle elles ont été collectées.
• Minimisation des données – seulement autant de données que nécessaire.
• Exactitude – les données doivent être exactes et à jour.
• Limitation de la conservation – ne conserver les données que le temps nécessaire.
• Intégrité et confidentialité – protection appropriée contre la perte et l'accès non autorisé.

Pour chacun de ces principes, une entreprise doit pouvoir montrer, en cas de doute, comment elle le met en œuvre, et pas seulement affirmer qu'elle le respecte.

Quelles preuves comptent en pratique ?

Le RGPD ne prescrit pas de liste de contrôle unique pour la preuve, mais un noyau de documents s'est établi en pratique, découlant de différentes dispositions :

L'attestation de formation n'est pas un sujet marginal : l'article 39, paragraphe 1, point b) cite expressément « la sensibilisation et la formation du personnel participant aux opérations de traitement » comme une mission suivie dans le cadre de l'organisation de la protection des données. Une participation documentée et datée à une formation constitue donc un élément concret et vérifiable du principe de responsabilité, que l'on ait ou non désigné un délégué à la protection des données.

Que se passe-t-il si vous ne pouvez rien prouver ?

Les violations des principes de l'art. 5 RGPD, et donc aussi du principe de responsabilité du paragraphe 2, relèvent de la catégorie d'amendes supérieure : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 83, par. 5 RGPD).

Pour le montant effectif dans un cas donné, sont déterminants entre autres la gravité et la durée de la violation ainsi que les mesures techniques et organisationnelles prises par le responsable du traitement (art. 83, par. 2 RGPD) : qui a pris des précautions démontrables se trouve en meilleure position lors de la fixation de l'amende que celui qui n'a aucune documentation. Ces chiffres constituent un cadre légal, non un pronostic pour chaque cas : ils montrent pourquoi la capacité à prouver est plus qu'un formalisme.

En quatre étapes vers une responsabilité démontrable

1. État des lieux : quelles données personnelles traitez-vous, à quelle fin, avec quels prestataires ? Base du registre des traitements.
2. Créer les documents : établir ou actualiser le registre, l'aperçu des TOM et les contrats de sous-traitance avec tous les prestataires concernés.
3. Former les collaborateurs et conserver la preuve : une attestation de participation datée par personne comble la lacune documentaire visée à l'art. 39, par. 1, point b).
4. Tenir à jour : en cas de nouveaux outils, de nouveaux prestataires ou d'évolutions du droit, mettre à jour les documents et la formation.

Un programme de formation numérique couvre efficacement l'étape 3. Notre formation de base au RGPD pour les collaborateurs est réservable en ligne et fournit précisément cette preuve datée et vérifiable par QR code pour chaque personne ; le certificat IA la complète par un élément documenté pour l'exigence de maîtrise de l'IA prévue à l'art. 4 du règlement sur l'IA (AI Act).

Questions fréquentes (FAQ)

Qu'est-ce que le principe de responsabilité selon le RGPD ?

L'obligation de l'art. 5, par. 2 RGPD de non seulement garantir le respect des six principes de protection des données de l'art. 5, par. 1, mais aussi de pouvoir le démontrer activement, par exemple à l'égard d'une autorité de surveillance.

De quelles preuves ai-je concrètement besoin ?

En pratique, surtout d'un registre des activités de traitement (art. 30), de TOM documentées (art. 32), de contrats de sous-traitance (art. 28) et de preuves des formations des collaborateurs (art. 39, par. 1, point b).

Une attestation de participation à une formation suffit-elle comme preuve ?

Une attestation de participation prouve qu'une personne a été formée : c'est un élément isolé, mais reconnu, du principe de responsabilité. Elle ne remplace pas les autres preuves telles que le registre ou les contrats de sous-traitance et n'est pas une certification RGPD officielle de l'entreprise.

Que risque-t-on sans preuve suffisante ?

Les violations des principes de l'art. 5 RGPD peuvent être sanctionnées par des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (art. 83, par. 5 RGPD). Le montant effectif dépend du cas d'espèce, notamment des mesures de protection prises.

Sources

• Règlement (UE) 2016/679 (RGPD), art. 5, art. 7, par. 1, art. 28, par. 3, art. 30, art. 32, art. 35, art. 39, par. 1, point b), art. 83, par. 2 et par. 5 – eur-lex.europa.eu