La Commission Nationale de l'Informatique et des Libertés (CNIL) recommande l'élaboration d'un rapport d'activité par le délégué à la protection des données et propose un modèle pour faciliter sa rédaction.
Bien que sa rédaction ne soit pas une obligation, ce rapport est présenté comme une bonne pratique permettant de piloter la conformité et de rendre compte au plus haut niveau de la direction. Il sert à évaluer la maturité de l'organisme en matière de protection des données et peut être utilisé pour la communication interne et externe. Le document a pour vocation de poser des diagnostics sur les traitements et projets principaux, d'évaluer les risques juridiques, financiers et réputationnels, de documenter les démarches de conformité et de définir les mesures d'amélioration nécessaires. Il constitue un tableau de bord pour le délégué, assurant un historique des actions menées.
Le rapport permet au délégué de présenter un panorama de ses activités et des indicateurs clés, tels que le nombre de demandes d'exercice des droits ou de violations de données. La CNIL suggère une présentation formelle à la direction pour échanger sur le niveau de conformité et justifier d'éventuels besoins en moyens. Ce document peut aussi être un support de sensibilisation pour le personnel. Pour accompagner les délégués, la CNIL met à disposition un modèle non contraignant au format ODT, adaptable selon les spécificités de l'organisme. Il est conseillé de l'élaborer au fil du temps et d'y inclure des éléments chiffrés et visuels pour en faciliter la lecture.