Tous les plans de contrôle

Plan de contrôle RGPD

Plan de contrôle RGPD (règlement (UE) 2016/679 et loi Informatique et Libertés). 43 points de contrôle, chacun relié à l'article et à sa source officielle. Modèle Excel (plan de contrôle) et Word (rapport) gratuits. Vérifié le 2026-10-18.

Droit applicable

RGPD applicable depuis le 25 mai 2018, complété en France par la loi n° 78-17 du 6 janvier 1978 modifiée. Au 18 octobre 2026, la proposition COM(2025) 501, qui élargirait la dérogation au registre (art. 30 § 5), a fait l'objet d'un accord interinstitutionnel approuvé en commission le 2 juillet 2026 ; la plénière est prévue, à titre indicatif, le 23 novembre 2026 : elle n'est pas applicable. Le « Digital Omnibus » (COM(2025) 837) attend le vote en commission parlementaire. Le règlement (UE) 2025/2518 ajoutera des règles de procédure pour les affaires transfrontalières à compter du 2 avril 2027.

Qui est soumis

Tout responsable du traitement ou sous-traitant, pour les traitements effectués dans le cadre des activités d'un établissement dans l'Union, ainsi que celui qui, établi hors de l'Union, offre des biens ou des services à des personnes qui s'y trouvent ou suit leur comportement (art. 3), pour tout traitement automatisé en tout ou en partie, ou non automatisé de données contenues ou appelées à figurer dans un fichier, hors exclusions de l'article 2 (notamment activités strictement personnelles ou domestiques).

Textes de référence

Les 43 points de contrôle

Gouvernance

  1. RGPD-01 (Élevée) : Le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est conforme ; elles sont réexaminées et actualisées si nécessaire et comprennent, lorsque c'est proportionné, des politiques de protection des données. RGPD, art. 24 § 1 et 2 ; art. 5 § 2, CNIL : RGPD, art. 24 : responsabilité du responsable du traitement (chapitre IV, CNIL)
  2. RGPD-02 (Critique) : Le responsable du traitement et le sous-traitant désignent un délégué à la protection des données lorsque le traitement est effectué par une autorité ou un organisme public (sauf juridictions agissant dans leur fonction juridictionnelle), ou lorsque leurs activités de base consistent en des opérations exigeant un suivi régulier et systématique à grande échelle des personnes, ou en un traitement à grande échelle de données sensibles ou pénales. RGPD, art. 37 § 1, CNIL : RGPD, art. 37 : désignation du délégué à la protection des données (chapitre IV, CNIL). Applicabilité : Organismes publics (sauf juridictions dans leur fonction juridictionnelle) ; entités dont l'activité de base implique à grande échelle un suivi régulier et systématique ou des données sensibles ou pénales (art. 37 § 1).
  3. RGPD-03 (Élevée) : Le délégué est désigné sur la base de ses qualités professionnelles, en particulier de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions de l'article 39 ; ses coordonnées sont publiées et communiquées à l'autorité de contrôle. RGPD, art. 37 § 5 et 7, CNIL : RGPD, art. 37 : désignation du délégué à la protection des données (chapitre IV, CNIL). Applicabilité : Entités ayant désigné un délégué à la protection des données, à titre obligatoire ou volontaire.
  4. RGPD-04 (Élevée) : Le délégué est associé en temps utile à toutes les questions de protection des données, dispose des ressources nécessaires, ne reçoit aucune instruction pour l'exercice de ses missions, rend compte au plus haut niveau de la direction et n'est pas en conflit d'intérêts ; il exerce au moins les missions de l'article 39. RGPD, art. 38 § 1, 2, 3 et 6 ; art. 39 § 1, CNIL : RGPD, art. 38 : fonction du délégué à la protection des données (chapitre IV, CNIL). Applicabilité : Entités ayant désigné un délégué à la protection des données, à titre obligatoire ou volontaire.
  5. RGPD-05 (Moyenne) : Les responsables conjoints du traitement définissent par voie d'accord leurs obligations respectives, notamment pour l'exercice des droits et l'information des personnes ; les grandes lignes de l'accord sont mises à la disposition des personnes concernées. RGPD, art. 26 § 1 et 2, CNIL : RGPD, art. 26 : responsables conjoints du traitement (chapitre IV, CNIL). Applicabilité : Entités qui déterminent conjointement avec un autre organisme les finalités et les moyens d'un traitement (art. 26).
  6. RGPD-06 (Moyenne) : Le responsable du traitement ou le sous-traitant établi hors de l'Union et soumis au RGPD au titre de l'article 3 § 2 désigne par écrit un représentant dans l'Union, sauf traitement occasionnel sans risque ni données sensibles ou pénales à grande échelle, ou autorité ou organisme public. RGPD, art. 27 § 1 et 2, CNIL : RGPD, art. 27 : représentants des responsables et sous-traitants non établis dans l'Union (chapitre IV, CNIL). Applicabilité : Responsables du traitement ou sous-traitants non établis dans l'Union qui offrent des biens ou services à des personnes dans l'Union ou suivent leur comportement (art. 3 § 2).

Registre et documentation

  1. RGPD-07 (Critique) : Le responsable du traitement tient, sous forme écrite, un registre des activités de traitement indiquant son nom et ses coordonnées (et, le cas échéant, ceux du responsable conjoint, du représentant et du délégué), les finalités, les catégories de personnes et de données, les catégories de destinataires, les transferts le cas échéant et, dans la mesure du possible, les délais d'effacement et une description générale des mesures de sécurité. RGPD, art. 30 § 1, 3 et 5, CNIL : RGPD, art. 30 : registre des activités de traitement (chapitre IV, CNIL). Applicabilité : Tout responsable du traitement. La dérogation sous 250 employés (art. 30 § 5) cesse dès qu'un traitement est non occasionnel, à risque ou porte sur des données sensibles ou pénales : à apprécier, rarement ouverte.
  2. RGPD-08 (Élevée) : Le sous-traitant tient un registre écrit de toutes les catégories d'activités de traitement effectuées pour le compte du responsable du traitement, mentionnant son nom et ses coordonnées et ceux de chaque responsable pour le compte duquel il agit, les catégories de traitements effectués pour chacun, les transferts le cas échéant et, dans la mesure du possible, une description générale des mesures de sécurité. RGPD, art. 30 § 2, 3 et 5, CNIL : RGPD, art. 30 : registre des activités de traitement (chapitre IV, CNIL). Applicabilité : Entités agissant comme sous-traitant pour le compte d'un responsable du traitement ; dérogation de l'art. 30 § 5 à apprécier dans les mêmes limites que pour le responsable.
  3. RGPD-09 (Moyenne) : Le responsable du traitement et le sous-traitant mettent le registre à la disposition de l'autorité de contrôle sur demande et coopèrent avec elle, à sa demande, dans l'exécution de ses missions. RGPD, art. 30 § 4 et art. 31, CNIL : RGPD, art. 30 : registre des activités de traitement (chapitre IV, CNIL)

Licéité et principes

  1. RGPD-10 (Élevée) : Les données sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible ; un traitement à une autre fin non fondé sur le consentement ou sur la loi fait l'objet d'un test de compatibilité. RGPD, art. 5 § 1 b) ; art. 6 § 4, CNIL : RGPD, art. 5 : principes relatifs au traitement (chapitre II, CNIL)
  2. RGPD-11 (Élevée) : Les données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités (minimisation). RGPD, art. 5 § 1 c), CNIL : RGPD, art. 5 : principes relatifs au traitement (chapitre II, CNIL)
  3. RGPD-12 (Moyenne) : Les données sont exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables sont prises pour effacer ou rectifier sans tarder les données inexactes. RGPD, art. 5 § 1 d), CNIL : RGPD, art. 5 : principes relatifs au traitement (chapitre II, CNIL)
  4. RGPD-13 (Critique) : Chaque traitement repose sur au moins une des six bases légales : consentement, contrat ou mesures précontractuelles, obligation légale, intérêts vitaux, mission d'intérêt public, intérêts légitimes (non ouverts aux autorités publiques dans l'exécution de leurs missions). RGPD, art. 6 § 1, CNIL : RGPD, art. 6 : licéité du traitement (chapitre II, CNIL)
  5. RGPD-14 (Moyenne) : Lorsqu'un traitement est fondé sur l'intérêt légitime, cet intérêt ne doit pas être supplanté par les intérêts ou les droits et libertés de la personne, en particulier d'un enfant ; le responsable doit être en mesure de démontrer cette mise en balance. RGPD, art. 6 § 1 f) ; art. 5 § 2, CNIL : RGPD, art. 6 : licéité du traitement (chapitre II, CNIL). Applicabilité : Traitements fondés sur l'intérêt légitime, au sens de l'art. 6 § 1 f), base non ouverte aux autorités publiques dans l'exécution de leurs missions.
  6. RGPD-15 (Élevée) : Lorsque le traitement repose sur le consentement, le responsable est en mesure de le démontrer ; dans une déclaration écrite portant aussi sur d'autres questions, la demande s'en distingue clairement, en termes clairs et simples ; le consentement peut être retiré à tout moment, aussi simplement qu'il a été donné, et la personne en est informée au préalable. Son caractère libre s'apprécie notamment au regard de la subordination d'un contrat à un consentement non nécessaire. RGPD, art. 7 § 1 à 4, CNIL : RGPD, art. 7 : conditions applicables au consentement (chapitre II, CNIL). Applicabilité : Traitements fondés sur le consentement, au sens de l'art. 6 § 1 a) ou de l'art. 9 § 2 a).
  7. RGPD-16 (Élevée) : En France, pour l'offre directe de services de la société de l'information fondée sur le consentement, un mineur consent seul à partir de 15 ans ; en dessous, le consentement est donné conjointement par le mineur et le ou les titulaires de l'autorité parentale. Les informations sont rédigées en termes compréhensibles par le mineur. Loi n° 78-17, art. 45 ; RGPD, art. 8 § 1 et 2, CNIL : Loi Informatique et Libertés, art. 45 : consentement des mineurs (texte consolidé publié par la CNIL). Applicabilité : Services de la société de l'information proposés directement à des mineurs et dont le traitement repose sur le consentement.
  8. RGPD-17 (Critique) : Le traitement de données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, biométriques d'identification, de santé, vie ou orientation sexuelle) est interdit, sauf si l'une des exceptions de l'article 9 § 2 s'applique. RGPD, art. 9 § 1 et 2, CNIL : RGPD, art. 9 : catégories particulières de données (chapitre II, CNIL). Applicabilité : Entités traitant des catégories particulières de données (art. 9 § 1), y compris dans la gestion du personnel.
  9. RGPD-18 (Élevée) : Les données relatives aux condamnations pénales et aux infractions ne sont traitées que sous le contrôle de l'autorité publique ou si le droit de l'Union ou d'un État membre l'autorise ; en France, la loi Informatique et Libertés (art. 46) limite les personnes pouvant les traiter. RGPD, art. 10 ; loi n° 78-17, art. 46, CNIL : RGPD, art. 10 : données relatives aux condamnations pénales (chapitre II, CNIL). Applicabilité : Entités traitant des données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes.
  10. RGPD-19 (Élevée) : Les données sont conservées sous une forme permettant l'identification des personnes pendant une durée n'excédant pas celle nécessaire au regard des finalités, sauf conservation plus longue à des fins archivistiques, scientifiques, historiques ou statistiques avec des garanties appropriées. RGPD, art. 5 § 1 e), CNIL : RGPD, art. 5 : principes relatifs au traitement (chapitre II, CNIL)

Information et droits

  1. RGPD-20 (Critique) : Lors de la collecte auprès de la personne, le responsable fournit son identité et ses coordonnées, celles de son représentant et du délégué le cas échéant, les finalités et bases légales, l'intérêt légitime le cas échéant, les destinataires, les transferts, la durée de conservation, les droits, le droit de retirer le consentement, le droit de réclamation, le caractère obligatoire de la fourniture et l'existence d'une décision automatisée. RGPD, art. 13 § 1 et 2 ; art. 12 § 1, CNIL : RGPD, art. 13 : informations lors de la collecte auprès de la personne (chapitre III, CNIL)
  2. RGPD-21 (Élevée) : Lorsque les données ne sont pas collectées auprès de la personne, le responsable lui fournit les mêmes informations ainsi que les catégories de données et leur source, dans un délai raisonnable ne dépassant pas un mois et, selon le cas, au plus tard lors de la première communication avec elle ou de la première communication des données à un autre destinataire, sauf exceptions de l'article 14 § 5. RGPD, art. 14 § 1 à 3 et 5, CNIL : RGPD, art. 14 : informations en cas de collecte indirecte (chapitre III, CNIL). Applicabilité : Traitements portant sur des données obtenues auprès de tiers ou de sources publiques.
  3. RGPD-22 (Moyenne) : En France, la personne est également informée de son droit de définir des directives relatives au sort de ses données après sa mort ; tout prestataire d'un service de communication au public en ligne informe l'utilisateur du sort de ses données à son décès. Loi n° 78-17, art. 48 al. 3 et art. 85 III, CNIL : Loi Informatique et Libertés, art. 48 : droit à l'information (texte consolidé publié par la CNIL)
  4. RGPD-23 (Critique) : Le responsable facilite l'exercice des droits et répond dans les meilleurs délais et au plus tard dans un mois à compter de la réception de la demande, délai prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, avec information motivée dans le premier mois ; un refus est motivé avec mention des voies de recours ; la réponse est gratuite sauf demande manifestement infondée ou excessive. RGPD, art. 12 § 2 à 6, CNIL : RGPD, art. 12 : transparence et modalités d'exercice des droits (chapitre III, CNIL)
  5. RGPD-24 (Élevée) : La personne obtient la confirmation que ses données sont ou non traitées, l'accès à ces données et les informations sur les finalités, catégories, destinataires, durée, droits, source et décisions automatisées, ainsi qu'une copie des données. RGPD, art. 15 § 1 à 4, CNIL : RGPD, art. 15 : droit d'accès (chapitre III, CNIL)
  6. RGPD-25 (Élevée) : La personne obtient dans les meilleurs délais la rectification de ses données inexactes et l'effacement de ses données dans les cas prévus (données plus nécessaires, retrait du consentement, opposition, traitement illicite, obligation légale, données collectées auprès d'un enfant pour un service de la société de l'information), sous réserve des exceptions de l'article 17 § 3. RGPD, art. 16 et art. 17 § 1 à 3, CNIL : RGPD, art. 16 : droit de rectification (chapitre III, CNIL)
  7. RGPD-26 (Moyenne) : La personne obtient la limitation du traitement dans les cas de l'article 18 et est informée avant sa levée ; le responsable notifie toute rectification, tout effacement ou toute limitation à chaque destinataire, sauf impossibilité ou efforts disproportionnés. RGPD, art. 18 et art. 19, CNIL : RGPD, art. 18 : droit à la limitation du traitement (chapitre III, CNIL)
  8. RGPD-27 (Moyenne) : Pour les traitements automatisés fondés sur le consentement ou le contrat, la personne reçoit les données qu'elle a fournies dans un format structuré, couramment utilisé et lisible par machine, et peut obtenir leur transmission directe à un autre responsable lorsque c'est techniquement possible. RGPD, art. 20 § 1 et 2, CNIL : RGPD, art. 20 : droit à la portabilité (chapitre III, CNIL). Applicabilité : Traitements automatisés fondés sur le consentement ou sur un contrat (art. 20 § 1).
  9. RGPD-28 (Élevée) : La personne peut s'opposer au traitement fondé sur l'art. 6 § 1 e) ou f) pour des raisons tenant à sa situation (le traitement cesse, sauf motifs légitimes et impérieux ou droits en justice), et à tout moment à la prospection, qui cesse alors ; ce droit lui est présenté clairement et séparément au plus tard lors de la première communication. RGPD, art. 21 § 1 à 4, CNIL : RGPD, art. 21 : droit d'opposition (chapitre III, CNIL)
  10. RGPD-29 (Élevée) : Une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne n'est admise que si elle est nécessaire au contrat, autorisée par la loi ou fondée sur le consentement explicite ; dans les cas du contrat et du consentement, la personne a au moins le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision ; les données sensibles n'y sont utilisables que dans les conditions du § 4. RGPD, art. 22 § 1 à 4 ; loi n° 78-17, art. 47, CNIL : RGPD, art. 22 : décision individuelle automatisée (chapitre III, CNIL). Applicabilité : Entités prenant des décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, à l'égard des personnes.

Sous-traitance et transferts

  1. RGPD-30 (Élevée) : Le responsable du traitement ne fait appel qu'à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. RGPD, art. 28 § 1, CNIL : RGPD, art. 28 : sous-traitant (chapitre IV, CNIL)
  2. RGPD-31 (Critique) : Le traitement par un sous-traitant est régi par un contrat écrit définissant l'objet, la durée, la nature et la finalité du traitement, les types de données et catégories de personnes, et prévoyant les obligations a) à h) de l'article 28 § 3 (instructions documentées, confidentialité, sécurité, sous-traitance ultérieure, assistance, sort des données, audits). RGPD, art. 28 § 3 et 9, CNIL : RGPD, art. 28 : sous-traitant (chapitre IV, CNIL)
  3. RGPD-32 (Moyenne) : Le sous-traitant ne recrute un autre sous-traitant qu'avec l'autorisation écrite préalable du responsable, en l'informant de tout changement prévu en cas d'autorisation générale, et lui impose par contrat les mêmes obligations de protection des données. RGPD, art. 28 § 2 et 4, CNIL : RGPD, art. 28 : sous-traitant (chapitre IV, CNIL)
  4. RGPD-33 (Critique) : Un transfert de données vers un pays tiers ou une organisation internationale, y compris un transfert ultérieur, n'a lieu que sur la base d'une décision d'adéquation, de garanties appropriées (clauses types, règles d'entreprise contraignantes, etc.) ou, à défaut, d'une dérogation de l'article 49 ; un transfert fondé sur les intérêts légitimes impérieux (art. 49 § 1, deuxième alinéa) est signalé à l'autorité de contrôle et documenté dans le registre. RGPD, art. 44 à 46 et art. 49 § 1 et 6, CNIL : RGPD, art. 44 : principe général applicable aux transferts (chapitre V, CNIL). Applicabilité : Entités dont les données sont transférées ou rendues accessibles vers un pays tiers ou une organisation internationale.

Sécurité, violations et AIPD

  1. RGPD-34 (Élevée) : Le responsable met en œuvre, dès la conception et lors du traitement, des mesures, telles que la pseudonymisation, destinées à appliquer les principes de protection des données, par exemple la minimisation, et garantit que, par défaut, seules les données nécessaires à chaque finalité sont traitées, en quantité, étendue, durée et accessibilité. RGPD, art. 25 § 1 et 2, CNIL : RGPD, art. 25 : protection des données dès la conception et par défaut (chapitre IV, CNIL)
  2. RGPD-35 (Critique) : Le responsable et le sous-traitant mettent en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque, y compris selon les besoins pseudonymisation et chiffrement, confidentialité, intégrité, disponibilité et résilience, rétablissement de la disponibilité des données après incident et procédure visant à tester, analyser et évaluer régulièrement leur efficacité. RGPD, art. 32 § 1 et 2, CNIL : RGPD, art. 32 : sécurité du traitement (chapitre IV, CNIL)
  3. RGPD-36 (Élevée) : Le responsable et le sous-traitant prennent des mesures pour que toute personne agissant sous leur autorité et ayant accès aux données ne les traite que sur instruction du responsable, sauf obligation légale. RGPD, art. 32 § 4, CNIL : RGPD, art. 32 : sécurité du traitement (chapitre IV, CNIL)
  4. RGPD-37 (Critique) : En cas de violation de données, sauf si elle n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes, le responsable la notifie à l'autorité de contrôle compétente (la CNIL ou l'autorité cheffe de file) dans les meilleurs délais et si possible dans les 72 heures après en avoir pris connaissance (motifs du retard au-delà), avec les informations de l'article 33 § 3 ; le sous-traitant notifie toute violation au responsable dans les meilleurs délais. RGPD, art. 33 § 1 à 4, CNIL : RGPD, art. 33 : notification d'une violation à l'autorité de contrôle (chapitre IV, CNIL)
  5. RGPD-38 (Élevée) : Le responsable documente toute violation de données, notifiée ou non, en indiquant les faits, ses effets et les mesures prises pour y remédier, de façon à permettre à l'autorité de contrôle de vérifier le respect de l'article 33. RGPD, art. 33 § 5, CNIL : RGPD, art. 33 : notification d'une violation à l'autorité de contrôle (chapitre IV, CNIL)
  6. RGPD-39 (Élevée) : Lorsqu'une violation est susceptible d'engendrer un risque élevé pour les droits et libertés, le responsable la communique dans les meilleurs délais aux personnes concernées, en termes clairs et simples, sauf si l'une des conditions de l'article 34 § 3 est remplie (données rendues incompréhensibles, par exemple par chiffrement ; mesures ultérieures écartant le risque élevé ; efforts disproportionnés, avec alors une communication publique). RGPD, art. 34 § 1 à 3, CNIL : RGPD, art. 34 : communication d'une violation à la personne concernée (chapitre IV, CNIL)
  7. RGPD-40 (Critique) : Avant tout traitement susceptible d'engendrer un risque élevé, notamment ceux de l'article 35 § 3 et ceux figurant sur la liste publiée par la CNIL, le responsable effectue une analyse d'impact comportant au moins la description, l'évaluation de la nécessité et de la proportionnalité, l'évaluation des risques et les mesures envisagées, en demandant conseil au délégué s'il a été désigné. RGPD, art. 35 § 1 à 4, 7 et 11 ; liste CNIL (délibération n° 2018-327), CNIL : RGPD, art. 35 : analyse d'impact relative à la protection des données (chapitre IV, CNIL). Applicabilité : Traitements susceptibles d'engendrer un risque élevé, en particulier ceux de l'art. 35 § 3 et de la liste CNIL des traitements soumis à AIPD.
  8. RGPD-41 (Moyenne) : Le responsable consulte l'autorité de contrôle préalablement au traitement lorsque l'analyse d'impact indique que le traitement présenterait un risque élevé en l'absence de mesures d'atténuation, en lui communiquant les informations de l'article 36 § 3. RGPD, art. 36 § 1 et 3, CNIL : RGPD, art. 36 : consultation préalable (chapitre IV, CNIL). Applicabilité : Traitements dont l'AIPD conclut à un risque résiduel élevé malgré les mesures envisagées.

Cookies et traceurs

  1. RGPD-42 (Critique) : Texte national : toute lecture ou écriture d'informations dans le terminal de l'utilisateur est précédée d'une information claire et complète sur sa finalité et les moyens de s'y opposer, et n'a lieu qu'après son consentement, sauf accès ou inscription ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique, ou strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur. Loi n° 78-17, art. 82 (transposition de la directive 2002/58/CE), CNIL : Loi Informatique et Libertés, art. 82 : cookies et autres traceurs (texte consolidé publié par la CNIL). Applicabilité : Éditeurs de sites, d'applications ou de services qui lisent ou déposent des traceurs sur le terminal des utilisateurs.
  2. RGPD-43 (Élevée) : Selon la CNIL (lignes directrices et recommandation du 17 septembre 2020 interprétant l'article 82), l'utilisateur doit pouvoir accepter ou refuser les traceurs avec le même degré de simplicité, retirer son consentement aussi simplement et à tout moment, et l'organisme doit pouvoir prouver le consentement recueilli. Lignes directrices et recommandation CNIL du 17 septembre 2020 (cookies et autres traceurs) ; RGPD, art. 7 § 1 et 3, CNIL : Cookies et traceurs : que dit la loi ?. Applicabilité : Éditeurs de sites, d'applications ou de services qui déposent des traceurs soumis à consentement.

Ce que le plan ne couvre pas