Registre des traitements de données personnelles : intérêt et rédaction

Le registre des traitements : fondement de votre conformité RGPD

Le rythme des sanctions CNIL reste soutenu : 87 sanctions en 2024, contre 42 en 2023 (bilan CNIL publié le 5 février 2025), puis 83 en 2025, dont 67 en procédure simplifiée, pour 486,8 M€ d'amendes cumulées (bilan CNIL publié le 9 février 2026). Dans ce contexte, tenir un registre des traitements exhaustif et à jour n'est pas une option : c'est la pierre angulaire de votre conformité RGPD et votre meilleure protection en cas de contrôle.

Le registre des traitements n'est pas qu'un document administratif obligatoire : c'est un véritable tableau de bord stratégique qui vous permet de piloter vos activités de traitement de données personnelles, d'identifier les risques, de prioriser vos actions, et de prouver votre conformité (principe d'accountability).

La mise en oeuvre de ce chantier est le meilleur moyen de prendre conscience de la quantité de données personnelles en votre possession, de cartographier vos flux de données, d'auditer vos pratiques, et de commencer votre travail de documentation exigé par le RGPD. Enfin, il doit pouvoir être communiqué à la CNIL dès qu'elle le demande (article 30.4 du RGPD).

Qu'est-ce qu'un registre des traitements de données personnelles ?

Définition juridique et cadre légal

Le registre des traitements est prévu à l'article 30 du RGPD. Il s'agit d'un document écrit (papier ou électronique) qui recense de manière exhaustive et structurée toutes les activités de traitement de données personnelles réalisées par votre organisation, et qui aide à l'analyse de leur conformité.

Concrètement, ce registre vous permet de disposer d'une vue d'ensemble sur :

• Les finalités et objectifs de chaque traitement (pourquoi collectez-vous ces données ?)
• Les catégories de personnes concernées (clients, prospects, salariés, candidats, fournisseurs)
• Les catégories de données traitées (identité, coordonnées, données bancaires, données de santé)
• Les destinataires des données (services internes, sous-traitants, partenaires)
• Les transferts hors Union Européenne (pays, garanties)
• Les délais de conservation (combien de temps gardez-vous ces données ?)
• Les mesures de sécurité adoptées (techniques et organisationnelles)

Un outil stratégique au-delà de l'obligation

Un registre des activités de traitement bien tenu est incontournable pour plusieurs raisons stratégiques :

Preuve de conformité (accountability) : Le registre participe directement au respect du principe de responsabilité (accountability) qui oblige chaque entreprise à prouver qu'elle a pris les dispositions nécessaires pour la protection des données personnelles. En cas de contrôle CNIL ou de plainte, c'est votre premier élément de défense, aux côtés des autres documents RGPD à présenter pour prouver sa conformité.

Cartographie complète : La tenue du registre est l'occasion de cartographier l'ensemble des activités impactant des données personnelles, de comprendre vos flux de données, d'identifier les zones d'ombre, et de découvrir des traitements informels ou oubliés.

Audit continu : Le registre permet d'effectuer un audit régulier de vos traitements, de vérifier leur conformité au fil du temps, de détecter les dérives, et d'anticiper les risques avant qu'ils ne se matérialisent.

Priorisation des actions : En recensant tous vos traitements, vous pouvez prioriser vos actions RGPD selon les risques (données sensibles, volumes élevés, transferts internationaux) et l'impact business, et construire une feuille de route réaliste.

Communication interne : Le registre facilite la communication entre services (IT, juridique, métiers) en donnant un langage commun et une vision partagée des enjeux de protection des données.

Réponse aux personnes : Lorsqu'une personne exerce ses droits (accès, rectification, effacement), le registre vous permet de localiser rapidement toutes les données la concernant et de répondre dans les délais légaux (1 mois).

Quels traitements devez-vous recenser ?

Une donnée personnelle est toute information se rapportant à une personne physique identifiée (nom, prénom, email, téléphone) ou identifiable (numéro client, adresse IP, cookie).

Par conséquent, tous vos services sont concernés dès qu'ils manipulent des informations sur des personnes. Les activités de traitement sont extrêmement nombreuses :

Marketing et communication : Envoi de newsletters, SMS marketing, publicités ciblées, scoring comportemental, gestion des listes de prospects, campagnes sur les réseaux sociaux, cookies de tracking.

Ventes et relation client : Gestion des contacts prospects, CRM, facturation, service client, SAV, programme de fidélité, avis clients, enquêtes de satisfaction.

Ressources humaines : Recrutement (CVthèque, entretiens), gestion des salariés (paie, congés, formations, évaluations), gestion des temps et accès (badgeuse), mutuelle et prévoyance, médecine du travail.

Administration et comptabilité : Comptabilité clients/fournisseurs, gestion des contrats, litiges, contentieux, archivage légal.

Sécurité et contrôle : Vidéosurveillance, contrôle d'accès aux locaux, logs informatiques, gestion des incidents de sécurité.

IT et digital : Gestion des comptes utilisateurs, hébergement des données, sauvegardes, monitoring des systèmes, gestion des mots de passe.

Toutes ces activités impactent des données personnelles et doivent être recensées dans votre registre, même si elles vous semblent mineures ou évidentes.

Qui est concerné par la tenue d'un registre des traitements ?

Une obligation quasi-universelle : la dérogation étroite de l'article 30.5

Que vous soyez un organisme privé (entreprise, association, fondation) ou public (administration, collectivité, établissement public), peu importe. Le chiffre d'affaires, le secteur d'activité et la taille ne sont pas des éléments qui vous dispensent de tenir un registre.

Exception théorique pour les structures de moins de 250 salariés : L'article 30.5 du RGPD prévoit, depuis l'entrée en application du règlement le 25 mai 2018 et sans modification depuis, une exception pour les entreprises et organisations de moins de 250 employés, mais elle est si restrictive qu'elle ne s'applique quasiment jamais dans la pratique. Vous n'êtes dispensé que si vous remplissez TOUS ces critères cumulatifs :

• Moins de 250 salariés
• Traitements occasionnels uniquement (pas réguliers)
• Aucun risque pour les droits et libertés des personnes
• Pas de données sensibles (santé, origine, opinions, biométrie)
• Pas de données relatives aux condamnations pénales et aux infractions (article 10)

En pratique, dès que vous avez des salariés (paie, gestion RH : traitements réguliers) ou des clients (CRM, facturation : traitements réguliers), la dérogation ne joue plus. La CNIL est explicite : « En cas de doute sur l'application de cette dérogation à un traitement, la CNIL vous recommande de l'intégrer dans votre registre » (CNIL, « Le registre des activités de traitement »).

Responsabilité de la tenue du registre

Le respect de l'article 30 relatif au registre des activités de traitement concerne deux acteurs distincts :

Le responsable de traitement : Personne morale ou physique qui détermine les moyens et les finalités/objectifs des traitements de données personnelles. C'est généralement votre entreprise elle-même lorsqu'elle traite les données de ses clients, prospects, salariés pour ses propres besoins.

Le sous-traitant : Personne morale ou physique qui traite des données pour le compte et sur instruction du responsable de traitement. Ce sont vos prestataires et fournisseurs de services qui accèdent à vos données (hébergeurs, outils SaaS, agences marketing, call centers).

Attention : Chacun doit tenir son propre registre ! Si vous êtes responsable de traitement, vous tenez un registre responsable de traitement. Si vous êtes également sous-traitant pour d'autres clients (cas fréquent dans les agences, ESN, plateformes), vous devez tenir un second registre sous-traitant distinct.

Qui maintient concrètement le registre dans l'organisation ?

Le RGPD ne précise pas qui doit matériellement rédiger et maintenir le registre au sein de l'entreprise. Plusieurs configurations existent :

• Si vous avez un DPO (délégué à la protection des données), il pilote généralement la tenue du registre, coordonne les contributions des différents services, et en assure la cohérence et la mise à jour
• Sans DPO, la mission incombe souvent au responsable juridique, au RSSI, au DSI, ou à un référent RGPD nommé en interne
• Dans les petites structures, c'est fréquemment le dirigeant lui-même ou son bras droit qui s'en charge

L'essentiel est que cette responsabilité soit clairement attribuée, que la personne dispose du temps et des moyens nécessaires, et qu'elle puisse interagir avec tous les services pour collecter les informations.

Comment rédiger un registre des traitements : contenu obligatoire

La distinction entre responsable de traitement et sous-traitant est essentielle car le contenu du registre diffère selon ces deux statuts. L'article 30 du RGPD détaille précisément les mentions obligatoires pour chacun.

Registre du responsable de traitement : les mentions de l'article 30.1

L'article 30.1 liste sept points (a à g). Détaillés rubrique par rubrique, ils donnent les neuf entrées ci-dessous :

1. Identité et coordonnées du responsable de traitement : Nom de l'entreprise/organisme, adresse postale complète, numéro de téléphone (accueil ou service client), email de contact
2. Identité et coordonnées du DPO (si désigné) : Nom, prénom, fonction, email dédié, téléphone. Si pas de DPO, indiquer le contact RGPD de l'organisation
3. Finalités du traitement : Objectif précis poursuivi pour chaque traitement. Exemples : "Gestion de la relation client", "Recrutement et gestion des candidatures", "Envoi de newsletters marketing", "Gestion de la paie", "Vidéosurveillance des locaux". Chaque finalité distincte = un traitement distinct dans le registre
4. Catégories de personnes concernées : Qui sont les personnes dont vous traitez les données ? Exemples : prospects, clients actifs, clients inactifs, salariés, candidats, stagiaires, visiteurs du site web, fournisseurs, partenaires
5. Catégories de données personnelles : Quelles informations collectez-vous ? Détaillez par grandes catégories : données d'identification (nom, prénom, date de naissance), coordonnées (adresse, email, téléphone), données de connexion (login, mot de passe, logs), données bancaires (IBAN, CB), données de localisation, données de santé, etc.
6. Catégories de destinataires : À qui communiquez-vous ces données ? Distinguez : services internes (marketing, RH, compta), sous-traitants (hébergeur, CRM, outil emailling, agence), partenaires (réseaux sociaux, régies pub), autorités publiques (URSSAF, impôts, police sur réquisition)
7. Transferts hors UE (le cas échéant) : Si vous transférez des données vers un pays hors Union Européenne, indiquez : le pays de destination, les garanties appropriées mises en place (clauses contractuelles types, règles d'entreprise contraignantes, décision d'adéquation comme pour le Data Privacy Framework UE-États-Unis)
8. Délais d'effacement : Combien de temps conservez-vous chaque catégorie de données ? Exemples : prospects inactifs 3 ans, clients 5 ans après dernière commande (obligations comptables), CV non retenus 2 ans, logs de connexion 1 an
9. Mesures de sécurité : Description générale des mesures techniques et organisationnelles mises en place pour protéger les données. Exemples : chiffrement des données sensibles, authentification multi-facteur, contrôle d'accès aux données, sauvegardes régulières isolées, formation des équipes, politique de mots de passe robustes

Registre du sous-traitant : les mentions de l'article 30.2

L'article 30.2 en liste quatre (a à d), que l'on détaille en six entrées :

1. Identité et coordonnées du sous-traitant : Nom de votre entreprise, adresse, téléphone, email
2. Identité et coordonnées de chaque responsable de traitement pour le compte duquel vous agissez : Listez tous vos clients pour lesquels vous traitez des données. Indiquez leurs coordonnées et celles de leur DPO si disponible
3. Identité et coordonnées de votre DPO (si désigné)
4. Catégories de traitements effectués pour le compte de chaque responsable : Décrivez les types d'opérations que vous réalisez. Exemples : "Hébergement et maintenance des bases de données clients", "Campagnes emailling pour le compte de...", "Gestion du service client externalisé", "Traitement et analyse de données marketing"
5. Transferts hors UE (le cas échéant) : Si dans le cadre de vos prestations vous transférez des données hors Union Européenne, précisez les pays et garanties
6. Mesures de sécurité : Description générale (pas besoin d'être aussi détaillé que le responsable de traitement) des mesures techniques et organisationnelles que vous mettez en oeuvre pour sécuriser les données de vos clients

Forme et structure du registre : outils et bonnes pratiques

Liberté totale sur le format

Le RGPD n'impose aucune obligation spécifique quant à la forme du registre des traitements. La seule contrainte : il doit être écrit (pas oral) et facilement accessible en cas de contrôle CNIL. Vous avez donc le choix entre :

Carnet papier : Solution la plus rudimentaire, acceptable pour les très petites structures avec 3-4 traitements, mais rapidement ingérable dès qu'on dépasse 10 traitements. Mise à jour fastidieuse, recherche impossible, risque de perte.

Tableau Excel/Google Sheets : Solution intermédiaire fréquente, gratuite, personnalisable. Acceptable pour 10-30 traitements. Limites : pas de workflow de validation, difficultés de collaboration multi-utilisateurs, aucune automatisation, risque d'incohérence entre versions.

Logiciel RGPD dédié comme Leto : Solution professionnelle recommandée dès 20+ traitements ou pour toute structure souhaitant gagner du temps et sécuriser sa conformité. Avantages : modèles pré-remplis, workflows collaboratifs, automatisation des mises à jour, détection des incohérences, génération automatique de la documentation associée (mentions légales, politique de confidentialité), tableau de bord de pilotage.

Le principal critère de choix : votre registre doit être exhaustif, logique, lisible et facilement maintenable dans le contexte de votre entreprise. N'oubliez pas le principe d'accountability : en cas de contrôle CNIL, vous devez pouvoir présenter un registre complet, cohérent et à jour immédiatement.

Structuration recommandée par traitement

Pour chaque traitement recensé dans votre registre, créez une "fiche traitement" contenant toutes les mentions obligatoires vues précédemment. Structurez-la de manière claire et logique :

En-tête de la fiche :

• Nom du traitement (court et explicite, ex : "Newsletter marketing mensuelle")
• Service responsable (Marketing, RH, IT)
• Référent métier (nom de la personne pilote)
• Date de création de la fiche
• Date de dernière mise à jour

Corps de la fiche : Développez chacune des rubriques de l'article 30.1 (responsable de traitement, neuf entrées) ou de l'article 30.2 (sous-traitant, six entrées) avec le niveau de détail approprié. Soyez précis mais pas verbeux : un paragraphe ou une liste à puces pour chaque rubrique suffit généralement.

Annexes : Joignez ou référencez les documents liés : contrat avec les sous-traitants (DPA), analyse d'impact (AIPD) si réalisée, procédures de sécurité détaillées, politique de conservation.

Constitution du registre en pratique : méthodologie étape par étape

En théorie, tenir un registre semble assez simple. Sur le terrain, rassembler et trier une telle masse d'informations éparpillées dans toute l'organisation peut vite devenir un casse-tête. Voici une méthodologie éprouvée :

Étape 1 : Désigner un pilote et mobiliser les services

Nommez un responsable du projet "Registre RGPD" (DPO, juriste, RSSI) qui coordonnera l'ensemble. Identifiez ensuite un référent par service (Marketing, RH, IT, Ventes, Compta) qui sera l'interlocuteur privilégié pour recenser les traitements de son périmètre.

Organisez une réunion de lancement pour expliquer l'objectif, la méthodologie, le planning, et l'importance de la contribution de chacun. Insistez sur le fait que ce n'est pas "un projet juridique" mais un chantier transverse essentiel pour protéger l'entreprise.

Étape 2 : Inventorier les traitements par service

Demandez à chaque référent de service de recenser toutes les activités impliquant des données personnelles dans son périmètre. Pour cela, proposez-leur une grille de questions :

• Quelles sont vos missions principales ?
• Pour chacune, collectez-vous/utilisez-vous des informations sur des personnes ?
• Quels outils/logiciels utilisez-vous ? (CRM, outil RH, plateforme email, site web)
• À qui transmettez-vous ces informations ?
• Combien de temps les conservez-vous ?

Cette phase révèle souvent des traitements "fantômes" : fichiers Excel locaux, listes de diffusion informelles, accès à des outils par quelques personnes seulement, données stockées "au cas où" depuis des années. C'est l'occasion de faire le ménage.

Étape 3 : Qualifier chaque traitement

Pour chaque traitement identifié, complétez une fiche détaillée en répondant aux questions structurantes :

• Finalité : Pourquoi traitons-nous ces données ? (gestion clients, paie, sécurité)
• Base légale : Sur quel fondement juridique ? (contrat, obligation légale, intérêt légitime, consentement)
• Personnes concernées : Qui ? (clients, salariés, prospects)
• Données collectées : Quoi exactement ? (nom, email, adresse, n° sécu, données bancaires)
• Origine : Comment obtient-on ces données ? (formulaire web, achat de fichier, partenaire)
• Destinataires : Qui y accède ? (service interne, quel sous-traitant précisément, partenaires)
• Transferts hors UE : Y a-t-il des transferts ? Vers quels pays ? Avec quelles garanties ?
• Durée de conservation : Combien de temps ? Sur quelle base (obligation légale, intérêt business) ?
• Sécurité : Quelles mesures protègent ces données ? (chiffrement, MFA, contrôle d'accès, sauvegardes)

Étape 4 : Identifier les actions de mise en conformité

Une fois les traitements recensés et qualifiés, analysez chacun au regard du RGPD et identifiez les éventuels écarts de conformité :

• Minimisation : Certaines données collectées sont-elles superflues ? Pouvez-vous faire sans ?
• Durée : Conservez-vous des données trop longtemps sans justification ?
• Sécurité : Les mesures en place sont-elles adaptées à la sensibilité des données ?
• Droits : Les personnes peuvent-elles facilement exercer leurs droits (accès, rectification, opposition) ?
• Sous-traitants : Avez-vous des contrats DPA signés avec tous vos prestataires accédant à des données ?
• Information : Vos mentions d'information (politique de confidentialité, mentions sur les formulaires) sont-elles complètes et à jour ?

Établissez un plan d'action priorisé : traitez d'abord les risques élevés (données sensibles, volumes importants, sécurité faible), puis les risques moyens, puis les optimisations.

Étape 5 : Documenter et maintenir à jour

Centralisez l'ensemble dans votre registre (Excel ou logiciel RGPD). Assurez-vous que le registre est accessible aux personnes habilitées (DPO, direction, référents RGPD services) mais protégé (il contient des informations sensibles sur votre organisation).

Mise à jour continue : Le registre n'est pas un document figé ! Il doit être actualisé à chaque fois que :

• Vous lancez une nouvelle activité impliquant des données personnelles (nouveau produit, nouveau service, nouvelle campagne marketing)
• Vous changez de sous-traitant ou ajoutez un nouvel outil SaaS
• Vous modifiez des durées de conservation
• Vous renforcez vos mesures de sécurité
• Vous cessez un traitement

Idéalement, instaurez une revue trimestrielle du registre avec les référents de chaque service pour capturer les évolutions.

Modèle de registre des traitements 2026 (Article 30 RGPD)

Modèles officiels CNIL

La CNIL a créé et publié plusieurs ressources pour vous aider :

Modèle de registre simplifié : un fichier au format ODS, téléchargeable gratuitement sur la page de la CNIL consacrée au registre, « destiné à répondre aux besoins les plus courants en matière de traitements de données », en particulier des petites structures (TPE-PME, associations, petites collectivités). Il couvre le socle d'exigences de l'article 30.

Deux registres si vous êtes aussi sous-traitant : la CNIL recommande dans ce cas d'en tenir deux, l'un pour les traitements dont vous êtes responsable, l'autre pour ceux que vous opérez pour le compte de vos clients.

Enrichir le socle : la CNIL recommande, « dans la mesure du possible, d'enrichir le registre de mentions complémentaires afin d'en faire un outil plus global de pilotage de la conformité ». Par exemple : base légale, origine des données, référence de l'analyse d'impact.

Structure type d'une fiche traitement (exemple Article 30)

Pour vous aider à démarrer, voici un exemple de fiche remplie pour le traitement "Gestion de la newsletter marketing" :

• Finalité : Envoi de la newsletter mensuelle aux abonnés ayant consenti
• Base légale : Consentement (article 6.1.a RGPD)
• Personnes concernées : Clients et prospects abonnés à la newsletter
• Catégories de données : Nom, prénom, adresse email, historique d'ouverture et clics
• Destinataires : Equipe marketing (interne) + prestataire emailing (ex. Brevo, Mailchimp) en qualité de sous-traitant
• Transferts hors UE : Selon hébergement du prestataire - encadré par clauses contractuelles types (CCT) de la Commission européenne
• Durée de conservation : 3 ans à compter du dernier engagement ou désinscription
• Mesures de sécurité : Accès restreint à l'équipe marketing, chiffrement en transit (TLS), gestion automatisée des désinscriptions, journalisation des accès

Ce modèle s'applique à chaque traitement de votre registre. Répétez l'exercice pour chaque activité (CRM, recrutement, paie, vidéosurveillance, etc.) jusqu'à obtenir une cartographie exhaustive conforme à l'article 30 RGPD. Leto fournit plus de 100 modèles pré-remplis de ce type, directement utilisables dans l'outil. Demandez une démonstration.

Leto automatise votre registre des traitements

Cartographie automatisée : Identifiez automatiquement les traitements de données via l'analyse de vos outils connectés (CRM, outils RH, plateforme email, site web). Leto détecte les traitements et vous propose des fiches pré-remplies à valider.

Modèles pré-configurés : Bibliothèque de 100+ modèles de traitements types (newsletter, recrutement, paie, CRM, cookies, vidéosurveillance) avec toutes les mentions obligatoires déjà remplies. Personnalisez en quelques clics.

Workflow collaboratif : Chaque service contribue à son périmètre. Les référents remplissent leurs fiches, le DPO valide, tout est tracé et versionné. Fini les allers-retours par email.

Mise à jour continue : Dès qu'un nouvel outil est connecté ou qu'un traitement change, Leto vous alerte et vous guide pour mettre à jour le registre. Revue trimestrielle automatisée.

Gestion intégrée des sous-traitants : Pour chaque traitement, identifiez vos sous-traitants, vérifiez qu'ils sont auditables (base de 6 000+ sous-traitants pré-audités), assurez-vous que les DPA sont signés. Leto alerte en cas de sous-traitant non conforme. Hari, l'IA de Leto, accompagne le traitement des questionnaires de sécurité, et l'audit IA des sous-traitants identifie ceux qui recourent à l'intelligence artificielle.

Documentation générée automatiquement : À partir de votre registre, Leto génère automatiquement vos mentions légales, politique de confidentialité, documentation pour exercice des droits. Tout est cohérent et à jour.

Tableau de bord de pilotage : Visualisez en un coup d'oeil vos traitements à risque, vos actions en retard, votre taux de conformité, vos transferts hors UE. Priorisez vos efforts.

Prêt pour les contrôles : En cas de contrôle CNIL, exportez votre registre complet en PDF en un clic, avec toute la documentation associée. Démontrez votre conformité immédiatement.

Demandez une démonstration pour découvrir comment Leto simplifie radicalement la gestion de votre registre et de votre conformité RGPD.

Conclusion : le registre, pivot de votre conformité 2026

Le contexte n'invite pas à attendre : 83 sanctions RGPD prononcées par la CNIL en 2025 (bilan du 9 février 2026) et, le 13 janvier 2026, 42 M€ d'amendes contre FREE MOBILE (27 M€) et FREE (15 M€), notamment pour des mesures de sécurité insuffisantes (article 32) et, s'agissant de FREE MOBILE, une conservation excessive de données (article 5.1.e). Sécurité et durées de conservation sont précisément deux rubriques que le registre oblige à documenter.

Le registre des traitements n'est pas qu'une contrainte administrative : c'est votre tableau de bord stratégique pour piloter la protection des données, votre outil d'audit pour détecter les risques, votre feuille de route pour prioriser vos actions, et votre meilleure protection en cas de contrôle ou de plainte.

Il doit pouvoir être communiqué à la CNIL sur simple demande (article 30.4), et la CNIL indique pouvoir l'utiliser dans le cadre de sa mission de contrôle : c'est l'une des premières pièces sur lesquelles un contrôle peut s'appuyer.

Investir le temps nécessaire pour constituer un registre complet et structurer son maintien à jour n'est pas un coût mais un investissement protecteur. Les organisations qui disposent d'un registre vivant et précis répondent plus vite aux demandes d'exercice des droits, détectent et gèrent mieux les violations de données, sécurisent leurs sous-traitants, et construisent la confiance avec leurs clients et partenaires.

N'attendez pas un contrôle ou une crise pour vous y mettre. Commencez dès aujourd'hui, service par service, traitement par traitement. Et si vous souhaitez gagner du temps tout en garantissant l'exhaustivité et la conformité, un logiciel RGPD comme Leto automatise l'essentiel et vous libère pour vous concentrer sur l'analyse et les décisions stratégiques.

Questions fréquemment posées

Qu'est-ce qu'un registre des traitements RGPD et est-il obligatoire ?

Le registre des traitements est le document prévu à l'article 30 du RGPD. Il recense les activités de traitement de données personnelles d'un organisme : finalités, catégories de personnes et de données, destinataires, transferts hors UE, délais d'effacement et mesures de sécurité. Il est obligatoire pour les responsables de traitement comme pour les sous-traitants, sous réserve de la dérogation très étroite de l'article 30.5, et doit être communiqué à la CNIL sur demande (article 30.4).

Qui doit tenir un registre des traitements ?

Tout responsable de traitement et tout sous-traitant. L'article 30.5 dispense les entreprises et organisations de moins de 250 employés, sauf si le traitement est susceptible de comporter un risque pour les droits et libertés des personnes, s'il n'est pas occasionnel, ou s'il porte sur des données sensibles (article 9) ou relatives aux condamnations pénales et aux infractions (article 10). La paie ou un fichier clients étant des traitements réguliers, la dérogation joue rarement. En cas de doute, la CNIL recommande d'intégrer le traitement au registre.

Quelles informations doit contenir un registre des traitements ?

Pour le responsable de traitement, l'article 30.1 liste sept points : nom et coordonnées du responsable (et du DPO le cas échéant), finalités, catégories de personnes concernées et de données, catégories de destinataires, transferts hors UE et garanties, délais d'effacement, description générale des mesures de sécurité. Pour le sous-traitant, l'article 30.2 en liste quatre : coordonnées du sous-traitant, de chaque responsable pour le compte duquel il agit et du DPO, catégories de traitements, transferts hors UE, description générale des mesures de sécurité.

Comment tenir et mettre à jour son registre des traitements ?

Le RGPD n'impose aucun format : le registre doit seulement être écrit, y compris sous forme électronique (article 30.3). Mettez-le à jour à chaque nouveau traitement, à chaque modification substantielle et à chaque changement de sous-traitant, et organisez une revue périodique avec les référents de chaque service. Des outils comme Leto permettent de le tenir de manière collaborative et d'automatiser les mises à jour.

Le registre des traitements doit-il être rendu public ?

Non, c'est un document interne. Il doit en revanche être mis à la disposition de la CNIL sur demande (article 30.4). Il sert aussi de base pour rédiger vos mentions d'information, qui, elles, doivent être accessibles aux personnes concernées (articles 13 et 14).