# Rapport Cour des Comptes sur la CNIL : ce que les DPO doivent retenir URL: https://mdp-data.com/rapport-cnil-2026-dpo/ Date: 2026-06-09 Last modified: 2026-06-08 Author: Christophe SAINT-PIERRE --- > La Cour des Comptes vient de publier son premier audit externe de la CNIL. Pour les DPO, au-delà du diagnostic institutionnel, trois signaux pratiques méritent attention : le rythme de contrôle, l’état de la base DPO et l’impossibilité actuelle pour la CNIL de superviser les certifications. Le [rapport CNIL 2026 de la Cour des Comptes](https://www.ccomptes.fr/fr/publications/la-commission-nationale-de-linformatique-et-des-libertes), publié le 4 juin, est le premier audit externe de l’autorité de protection des données françaises. Pour les DPO, privés comme publics, sa lecture révèle trois signaux concrets sur lesquels il est utile de se positionner dès maintenant.   ## Un bilan globalement positif, mais trois points clés pour les DPO La Cour des Comptes reconnaît que la CNIL a « globalement su s’adapter » à l’entrée en vigueur du RGPD. Mais son audit identifie des marges de progrès aux implications directes pour la [pratique DPO](https://mdp-data.com/programme-cnil-2026-dpo-controles-priorites/). ### 1. Le rythme de contrôle ne va pas augmenter La CNIL réalise entre 300 et 350 contrôles par an. Ce chiffre est stable et la Cour note explicitement qu’il n’est « pas prévu de le modifier ». [Pour les DPO](https://mdp-data.com/dpo-dans-le-cadre-du-rgpd/), la pression de contrôle reste prévisible. L’énergie peut donc être investie sur les sujets à réel risque de plainte ou de signalement. Un point cependant : la Cour constate que **plusieurs délégué à la protection des données consultés signalent des contrôles aux durées longues** (plus d’une année). [L’affaire Voyageurs du Monde](https://investir.lesechos.fr/actu-des-valeurs/la-vie-des-actions/voyageurs-du-monde-menace-par-la-cnil-dune-amende-de-18-million-deuros-2235584), contrôlée en novembre 2024 et passée devant la formation restreinte le 4 juin 2026.  illustre parfaitement ce délai. ### 2. La CNIL ne peut toujours pas contrôler les certificateurs DPO Depuis 2019, la loi confie à la CNIL la mission de contrôler les organismes qui certifient les DPO. Mais **aucun décret d’application n’a été publié**. La Cour recommande de le compléter d’ici fin 2026. Pour les DPO qui font valoir leur certification, la valeur de celle-ci repose pour l’instant sur la réputation de l’organisme, non sur un contrôle public. La vigilance sur la formation continue reste entière. ### 3. La base nationale des DPO va être fiabilisée Au 31 décembre 2024, **103 602 organismes avaient notifié un Délégué » la protection des données à la CNIL**. La Cour identifie de nombreuses erreurs dans cette base et recommande de la fiabiliser d’ici fin 2027. Elle pointe aussi que les critères de désignation obligatoire dans le secteur privé sont « relativement flous ». [Pour les DPO](https://mdp-data.com/preuves-conformite-rgpd-centralisation/) qui n’ont pas vérifié leur fiche CNIL récemment, c’est le bon moment. Et pour les responsables de traitement, cette reconnaissance officielle du flou des critères encourage à documenter davantage la justification de la décision.   ## Ce que le rapport dit sur la structure du marché DPO L’enquête annuelle de la DGEFP (3 625 répondants en 2024) confirme une tendance de fond : **78 % de DPO internes** (contre 68 % en 2019), 12 % externalisés (contre 17 %) et 10 % mutualisés. La fonction s’internalise. Mais l’augmentation de la[complexité réglementaire](https://mdp-data.com/dpo-rgpd-sujets-techniques-complexes/) (AI Act, NIS2, DORA) crée un besoin d’accompagnement externe que le DPO interne ne peut pas toujours assumer seul.   ## Une recommandation importante pour les DPO du secteur public La Cour demande la **mise en place d’une procédure formalisée** permettant aux DPO des ministères et de la Sécurité sociale d’obtenir une position écrite de la CNIL dans un délai fixé. Actuellement, cette possibilité n’existe pas formellement. Si cette recommandation aboutit, ce sera un changement majeur pour la pratique DPO dans le secteur public.   ## Comment utiliser ce rapport en interne - Argumenter pour maintenir les ressources allouées à la conformité RGPD - Documenter la décision de désigner (ou non) un DPO, dans un contexte où les critères légaux restent flous - Préparer l’organisation à un éventuel contrôle CNIL (procédures pouvant durer plus d’un an) - Anticiper les évolutions sur la certification DPO, potentiellement encadrée d’ici fin 2026 [Vous souhaitez faire le point sur votre programme de conformité RGPD ? Prenez rendez-vous avec notre équipe.](https://content.mdp-data.com/premier-contact-25022026-083012)   ## **FAQ – Rapport Cour des Comptes CNIL 2026** **Que dit le rapport sur les DPO ?** Le rapport signale 103 602 organismes ayant notifié un DPO à la CNIL fin 2024, des erreurs dans la base, des critères de désignation flous dans le privé, et l’incapacité de la CNIL à contrôler les certificateurs faute de décret d’application. **Le nombre de contrôles CNIL va-t-il augmenter ?** Non. Le rythme de 300 à 350 contrôles par an est stable et non prévu d’être modifié. En revanche, les procédures peuvent durer plus d’un an. **La CNIL peut-elle contrôler les certifications DPO ?** Non encore. La loi lui confie cette mission depuis 2019 mais le décret d’application n’a jamais été publié. La Cour recommande de le compléter d’ici fin 2026. **Dois-je vérifier mon inscription comme DPO auprès de la CNIL ?** Oui. La Cour a identifié de nombreuses erreurs dans la base. Il est utile de vérifier que vos coordonnées et l’organisme auquel vous êtes rattaché sont corrects, surtout après un changement de poste. **Qu’est-ce que cela change pour les DPO du secteur public ?** La Cour recommande une procédure permettant aux DPO des ministères et de la Sécurité sociale d’obtenir une position écrite de la CNIL dans un délai fixé. Cette avancée n’existe pas encore.   ## En résumé Le rapport de 2026 de la Cour des Comptes sur la CNIL confirme une autorité qui fonctionne mais qui manque de moyens pour tout superviser. Pour les DPO, les signaux essentiels sont : le rythme de contrôle reste stable à 300-350 par an, la certification DPO échappe encore au contrôle public, et la base nationale des DPO va être fiabilisée d’ici 2027. Un rapport à citer en interne pour démontrer l’importance de structurer sa conformité sans attendre un contrôle.   ## Sources - [La Commission nationale de l’informatique et des libertés – Cour des Comptes, 4 juin 2026](https://www.ccomptes.fr/fr/publications/la-commission-nationale-de-linformatique-et-des-libertes) - [Synthèse du rapport – Cour des Comptes, juin 2026](https://www.ccomptes.fr/sites/default/files/2026-06/20260604-synthese-CNIL.pdf) - [Le délégué à la protection des données (DPO) : un métier de plus en plus représenté dans les petites structures](https://www.cnil.fr/fr/observatoire-dpo-enquete-2024) --- Source: https://mdp-data.com/rapport-cnil-2026-dpo/ Generated by Hack The SEO