Registre des traitements : le guide complet de l’article 30 du RGPD

Le registre des activités de traitement est la pierre angulaire de la conformité au RGPD. C’est le document qui recense, pour une organisation, tous les traitements de données personnelles qu’elle met en œuvre. Il n’est pas une formalité administrative : c’est l’une des premières pièces demandées lors d’un contrôle de la CNIL, et l’outil qui permet de démontrer que l’on respecte le règlement, comme l’exige le principe de responsabilité (article 5.2 du RGPD).

Qui doit tenir un registre ?

L’article 30 du RGPD impose un registre à deux types d’acteurs :

• le responsable du traitement, c’est-à-dire l’organisation qui détermine pourquoi et comment les données sont traitées (une entreprise pour la paie de ses salariés, une association pour la gestion de ses adhérents, une commune pour l’état civil) ;
• le sous-traitant, qui traite des données pour le compte d’un responsable (un cabinet de paie, un hébergeur, un éditeur de logiciel en ligne). Il tient un registre distinct, plus court, des activités qu’il mène pour ses clients.

Le registre est tenu par entité juridique : deux filiales d’un même groupe tiennent deux registres, même si elles partagent des outils.

L’article 30.5 prévoit une dispense pour les organisations de moins de 250 salariés, mais elle est beaucoup plus étroite qu’on ne le croit : elle ne joue pas pour les traitements réguliers, à risque ou portant sur des données sensibles. En pratique, la paie ou la gestion des clients suffisent à rendre le registre obligatoire. Nous détaillons ce point dans un article dédié.

Ce que doit contenir chaque fiche (article 30.1)

Pour chaque traitement, le registre du responsable comporte les mentions suivantes :

1. Le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint, du représentant dans l’Union et du délégué à la protection des données (DPO).
2. Les finalités du traitement : à quoi servent les données. Une finalité est précise (« gestion de la paie et des déclarations sociales »), pas générique (« gestion RH »).
3. Les catégories de personnes concernées (salariés, candidats, clients, prospects, fournisseurs…) et les catégories de données (identité, coordonnées, vie professionnelle, données bancaires, numéro de sécurité sociale…).
4. Les catégories de destinataires, y compris dans des pays tiers : services internes, sous-traitants, organismes sociaux, administration fiscale.
5. Les transferts hors de l’Union européenne, avec le pays destinataire et, pour certains transferts exceptionnels, les documents attestant des garanties.
6. Dans la mesure du possible, les délais d’effacement prévus pour chaque catégorie de données.
7. Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles (article 32).

Ces mentions sont un minimum. La CNIL recommande d’y ajouter des éléments qui servent à démontrer la conformité : la base légale de chaque traitement (contrat, obligation légale, intérêt légitime, consentement…), la manière dont les personnes sont informées, l’existence d’une analyse d’impact, les contrats conclus avec les sous-traitants. Un registre ainsi enrichi devient un véritable outil de pilotage.

Le registre du sous-traitant (article 30.2)

Le sous-traitant recense, pour chacun de ses clients responsables du traitement :

• son propre nom et ses coordonnées, ceux de chaque client pour le compte duquel il agit et, le cas échéant, de leur DPO ;
• les catégories de traitements effectués pour le compte de chaque client ;
• les transferts hors de l’Union européenne ;
• une description générale des mesures de sécurité.

Un cabinet qui tient le registre de ses clients, ou un DPO externe, est souvent dans cette situation pour une partie de son activité.

Sous quelle forme ?

L’article 30.3 exige une forme écrite, y compris électronique. Aucun modèle n’est imposé. La CNIL met à disposition un modèle de registre, qui reprend les mentions de l’article 30 et constitue une bonne base de départ.

Le registre doit pouvoir être mis à la disposition de la CNIL sur demande (article 30.4). Il doit donc être à jour, lisible par un tiers, et exportable rapidement.

Un tableur convient pour une très petite structure. Il montre vite ses limites : versions multiples, absence d’historique, pas de rappel de révision, aucune trace de qui a modifié quoi. C’est la raison d’être des outils dédiés.

Méthode : constituer son registre en cinq étapes

1. Recenser les traitements

Partez des activités de l’organisation, service par service : ressources humaines (paie, recrutement, formation, gestion des absences), commercial (clients, prospection, site internet), achats (fournisseurs), informatique (messagerie, contrôle d’accès, journaux), sécurité (vidéoprotection, badges). Une petite structure compte souvent une dizaine de traitements, une PME plusieurs dizaines.

2. Décrire chaque traitement

Rédigez la fiche avec la personne qui le connaît le mieux : le responsable de la paie pour la paie, le directeur commercial pour la prospection. Les informations les plus souvent oubliées sont la durée de conservation, les destinataires réels (y compris les outils en ligne) et la base légale.

3. Documenter les mesures de sécurité

Indiquez, pour chaque traitement, les mesures qui le protègent : gestion des habilitations, authentification, sauvegardes, chiffrement, sensibilisation des équipes. Une description générale suffit, mais elle doit correspondre à la réalité.

4. Vérifier les sous-traitants et les transferts

Chaque prestataire qui accède aux données doit être lié par un contrat conforme à l’article 28. Chaque outil hébergé hors de l’Union implique un transfert, qui doit reposer sur une garantie du chapitre V du RGPD.

5. Valider, puis réviser

Faites valider chaque fiche, puis fixez une date de révision. Le registre doit être mis à jour à chaque nouveau traitement, nouvel outil ou nouveau prestataire, Le RGPD ne fixe pas de fréquence de révision ; une relecture complète au moins une fois par an est une bonne pratique.

Les erreurs les plus fréquentes

• Un registre fait une fois, jamais mis à jour : c’est la situation la plus courante, et la plus visible lors d’un contrôle.
• Des finalités trop vagues, qui ne permettent pas de vérifier la proportionnalité des données collectées.
• Des durées de conservation absentes ou fixées à « illimité ».
• Des transferts ignorés : messagerie, logiciel de gestion de la relation client (CRM), outil de visioconférence ou de signature électronique hébergés hors de l’Union.
• Une base légale inadaptée, par exemple le consentement pour la gestion de la paie, alors qu’elle repose sur le contrat de travail et les obligations légales de l’employeur.

Ce que l’on risque

L’absence de registre, ou un registre incomplet, est un manquement à l’article 30. La CNIL peut mettre l’organisation en demeure de se mettre en conformité, puis prononcer une sanction : rappel à l’ordre, injonction ou amende, celle-ci pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (article 83.4 du RGPD). Pour les dossiers les plus simples, la procédure de sanction simplifiée permet de prononcer des amendes jusqu’à 20 000 euros. Mais le premier risque est ailleurs : sans registre, une organisation ne peut tout simplement pas démontrer sa conformité.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 5, 28, 30, 32 et 83, EUR-Lex.
• CNIL, « Le registre des activités de traitement » et modèle de registre, cnil.fr.