Tenir un registre des traitements n’est pas une formalité réservée aux grandes entreprises. Le RGPD demande à la plupart des organismes qui manipulent des données personnelles de documenter leurs activités.
Une fiche claire aide à repérer les données collectées, les destinataires et les durées de conservation. Elle rend aussi plus concrètes les responsabilités liées à la protection des données et à la conformité réglementaire.
A retenir :
- Obligation étendue aux organismes publics et privés traitant des données personnelles
- Fiches distinctes selon les finalités du traitement et les rôles exercés
- Informations essentielles sur la base légale, les destinataires et la sécurité des données
- Mise à jour nécessaire lors des changements importants des activités
Registre des traitements RGPD : qui doit le tenir ?
Cette obligation concerne bien davantage que les grandes sociétés, car le RGPD vise les organismes publics comme privés qui traitent des données personnelles. Selon la CNIL, la taille de la structure ne suffit pas à écarter l’obligation.
Entreprises, associations et sous-traitants concernés
Le responsable de traitement doit documenter les activités dont il détermine les objectifs et les moyens. Un prestataire qui traite des informations pour le compte d’un client tient également un registre adapté à ses opérations.
Une petite entreprise fictive, Atelier Martin, peut donc devoir décrire la paie de ses salariés et la gestion des demandes clients. Si elle héberge aussi les fichiers de clients professionnels, elle documente séparément ces activités de sous-traitance.
Rôles et obligations à distinguer :
- Responsable de traitement : activités dont l’organisme fixe les objectifs et les moyens
- Sous-traitant : opérations réalisées pour le compte d’un client
- Organisme public : traitements liés à ses missions et services
- Structure agissant dans les deux rôles : registres clairement différenciés
| Situation | Rôle documenté | Exemple d’activité |
|---|---|---|
| Gestion interne des salariés | Responsable de traitement | Administration de la paie |
| Gestion d’un fichier de clients propres | Responsable de traitement | Suivi des commandes |
| Hébergement de données pour une entreprise cliente | Sous-traitant | Stockage et accès aux fichiers |
| Envoi de courriels pour un client | Sous-traitant | Transmission de messages commerciaux |
L’exception des organismes de moins de 250 salariés
Le règlement prévoit une dérogation limitée pour certaines structures de moins de 250 salariés. Elle ne s’applique que si les traitements sont occasionnels, sans données sensibles et sans risque pour les droits des personnes.
Cette exception couvre rarement les activités ordinaires d’une entreprise, notamment lorsque celle-ci gère régulièrement ses salariés, ses clients ou ses candidatures. Selon la CNIL, il faut examiner les traitements réels plutôt que présumer une dispense fondée sur l’effectif.
Contenu du registre RGPD : informations à documenter
Une fois les activités identifiées, chaque fiche doit décrire le traitement de façon suffisamment précise pour rendre ses usages compréhensibles. L’article 30 du RGPD fixe les informations principales à consigner pour les responsables et les sous-traitants.
Finalités, base légale et catégories de données
Pour un responsable, la fiche précise notamment les finalités du traitement, les catégories de personnes et de données concernées, ainsi que les destinataires. Elle indique aussi, lorsque cela s’applique, les transferts hors de l’Union européenne et les garanties associées.
Le registre inclut également les délais ou critères de durée de conservation et, dans la mesure du possible, une description générale des mesures de sécurité des données. La base légale doit être cohérente avec l’activité : obligation légale pour certains traitements de paie, par exemple.
Informations utiles à vérifier pour chaque fiche :
- Objectif précis et fondement juridique du traitement
- Personnes concernées et catégories de données réellement utilisées
- Destinataires internes, prestataires et éventuels partenaires
- Durées prévues, transferts internationaux et mesures de sécurité
| Information | Question pratique | Exemple de réponse |
|---|---|---|
| Finalité | Pourquoi les données sont-elles utilisées ? | Gérer les demandes de devis |
| Personnes concernées | Qui les données décrivent-elles ? | Clients et prospects |
| Destinataires | Qui peut accéder aux informations ? | Équipe commerciale et prestataire autorisé |
| Conservation | Combien de temps sont-elles gardées ? | Selon les règles applicables au traitement |
Différences entre registre du responsable et du sous-traitant
Pour un sous-traitant, le registre recense les catégories d’activités réalisées pour chaque client, les clients concernés et les sous-traitants auxquels il fait lui-même appel. Il documente également les transferts éventuels et les mesures de sécurité mises en œuvre.
La CNIL recommande de distinguer les activités lorsque le même organisme agit dans les deux rôles. Son modèle de base peut aider à démarrer, mais chaque fiche doit refléter les pratiques réelles, et non simplement reprendre un formulaire générique.
Tenir à jour le registre et démontrer sa conformité
Un registre utile reste proche du fonctionnement quotidien de l’organisme, plutôt que de dormir dans un dossier oublié. Selon la CNIL, il doit évoluer au gré des changements fonctionnels et techniques qui touchent les traitements.
Choisir un format et organiser les mises à jour
Le RGPD impose une forme écrite, mais ne prescrit pas un logiciel particulier : un document papier ou électronique peut convenir. Le bon format permet aux personnes chargées du suivi de retrouver rapidement les fiches et de les corriger.
Pour Atelier Martin, un tableur peut suffire au départ si les accès sont maîtrisés et les modifications suivies. Quand les activités se multiplient, un outil dédié ou une gestion documentaire structurée peut faciliter les validations et l’historique.
Événements déclenchant une révision :
- Lancement d’un service ou d’une nouvelle activité
- Changement de prestataire, de logiciel ou de destinataires
- Collecte de nouvelles données ou évolution des finalités
- Modification des durées de conservation ou des mesures de sécurité
Une revue périodique aide à repérer les écarts, tandis qu’une mise à jour rapide après chaque changement important évite les fiches obsolètes. Le registre peut ainsi soutenir un plan d’action et les échanges avec les équipes métier.
Contrôle, DPO et risques d’un registre incomplet
La CNIL peut demander à consulter le registre dans le cadre de ses contrôles. Un document absent ou manifestement incomplet fragilise la démonstration de conformité et peut s’ajouter à d’autres manquements constatés.
Le RGPD prévoit, pour les manquements visés à son article 83, paragraphe 4, une amende pouvant atteindre dix millions d’euros ou deux pour cent du chiffre d’affaires annuel mondial. Le registre ne suffit pas à garantir la conformité, mais il facilite l’identification des traitements et des risques.
La désignation d’un DPO n’est pas obligatoire pour chaque organisme, tandis que la tenue du registre reste généralement requise. Un responsable interne peut en assurer le suivi, avec l’appui du DPO lorsqu’il existe, sans lui transférer la responsabilité générale de l’organisme.
Source : CNIL, « Le registre des activités de traitement », 13 avril 2018 ; Parlement européen et Conseil, « Règlement (UE) 2016/679 », 27 avril 2016.