Moins de 250 salariés : la dispense de registre, mode d’emploi

« Nous avons moins de 250 salariés, nous n’avons pas besoin de registre. » La phrase revient souvent, et elle est presque toujours fausse. L’article 30.5 du RGPD prévoit bien une dispense pour les petites structures, mais il l’assortit de conditions qui la rendent exceptionnelle.

Ce que dit le texte

L’article 30.5 du RGPD prévoit que l’obligation de tenir un registre ne s’applique pas à une entreprise ou une organisation comptant moins de 250 employés, sauf si le traitement qu’elle effectue :

• est susceptible de comporter un risque pour les droits et libertés des personnes concernées ;
• n’est pas occasionnel ;
• ou porte sur des catégories particulières de données (santé, opinions, origine, biométrie…) ou sur des données relatives aux condamnations pénales et aux infractions.

Il suffit qu’une seule de ces conditions soit remplie pour que le traitement doive figurer au registre.

La condition décisive : le traitement « occasionnel »

Un traitement occasionnel est un traitement ponctuel, qui ne se répète pas : l’organisation d’un événement isolé, par exemple. À l’inverse, la plupart des traitements d’une entreprise sont réguliers :

• la paie et la gestion administrative du personnel, faites chaque mois ;
• la gestion des clients : devis, commandes, facturation, relances ;
• la gestion des fournisseurs ;
• le site internet et son formulaire de contact ;
• la messagerie professionnelle.

Ces traitements ne sont pas occasionnels : ils doivent figurer au registre, quelle que soit la taille de l’organisation. C’est la lecture retenue par la CNIL, qui invite toutes les structures à tenir un registre, au moins pour ces traitements courants.

Les données sensibles, même dans une petite structure

La troisième condition concerne plus d’organisations qu’on ne l’imagine :

• un cabinet médical, un kinésithérapeute, une pharmacie traitent des données de santé ;
• un employeur qui gère des arrêts maladie ou des visites médicales en traite aussi, de façon limitée ;
• une association cultuelle, politique ou syndicale traite des données révélant des convictions ;
• une entreprise qui vérifie le casier judiciaire de certains salariés, lorsque la loi l’y autorise, traite des données pénales.

Dans tous ces cas, la dispense ne s’applique pas.

Cas pratiques

Une boulangerie de trois salariés. Elle gère la paie (régulière), un fichier de clients pour les commandes de gâteaux (régulier) et la vidéoprotection de sa boutique (régulière, et à risque). Registre obligatoire pour ces trois traitements.

Un cabinet de conseil de douze personnes. Paie, clients, prospection commerciale, recrutement, outils en ligne de gestion de projet : registre obligatoire.

Une association de quartier sans salarié. Elle tient la liste de ses adhérents et envoie une lettre d’information : ces traitements sont réguliers, le registre est obligatoire. Il sera simplement court.

Une TPE qui fête, une seule fois, ses dix ans d’existence. La liste des invités inscrits à la soirée est constituée pour l’événement, sans donnée sensible, puis supprimée : on peut y voir un traitement occasionnel. Le tenir au registre reste une bonne pratique, à moindre coût.

Pourquoi tenir un registre même quand on pourrait s’en dispenser

Même lorsqu’une dispense est envisageable, le registre reste l’outil le plus simple pour respecter les autres obligations du RGPD, qui s’appliquent quelle que soit la taille : informer les personnes, fixer des durées de conservation, sécuriser les données, encadrer les sous-traitants, répondre aux demandes d’accès. Il permet aussi de démontrer sa bonne foi lors d’une plainte ou d’un contrôle.

Pour une petite structure, qui compte souvent une dizaine de traitements, des modèles de fiches pour les traitements les plus courants permettent de constituer un premier registre sans partir de zéro.

Ce qu’il faut retenir

• La dispense de l’article 30.5 ne vaut que pour les traitements occasionnels, sans risque et sans données sensibles ni pénales.
• La paie, la gestion des clients et des fournisseurs sont des traitements réguliers : ils doivent figurer au registre.
• Le registre d’une petite structure est court, mais il est presque toujours obligatoire.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 9, 10 et 30, EUR-Lex.
• CNIL, « Le registre des activités de traitement », cnil.fr.