Article

Registre des traitements RGPD : contenu et tenue

Toute entreprise qui collecte des données sur ses clients, ses prospects ou ses salariés doit être capable d'expliquer précisément quelles données elle détient, pourquoi elle les conserve et comment elle les protège. Le registre des traitements est le document qui matérialise cette capacité : il recense, de manière structurée, l'ensemble des traitements de données personnelles opérés par l'organisme.

Ce registre n'est pas un formulaire administratif accessoire. Il constitue la pièce centrale de la conformité au RGPD, celle que la CNIL examine en priorité lors d'un contrôle. Son absence, ou son caractère incomplet, expose l'entreprise à des conséquences bien plus lourdes qu'une simple observation.

Cet article détaille qui doit tenir ce registre, ce qu'il doit contenir exactement selon la position de l'entreprise, et comment le construire puis le maintenir à jour dans la durée.

Qu'est-ce que le registre des traitements RGPD ?

Le registre des traitements est un document interne qui recense l'ensemble des activités de traitement de données personnelles mises en œuvre par une organisation : gestion de la paie, suivi des clients, prospection commerciale, vidéosurveillance, ou encore recrutement. Son fondement juridique se trouve à l'article 30 du Règlement (UE) 2016/679, plus connu sous le nom de RGPD.

Ce registre n'a pas vocation à être communiqué au public. Il s'agit d'un outil de pilotage interne, qui permet au responsable de traitement de garder une vision d'ensemble de ce qu'il fait des données qu'il collecte. Il constitue aussi la preuve concrète du principe d'accountability, c'est-à-dire de la responsabilisation des organismes prévue par le RGPD : ne pas se contenter de respecter la loi, mais pouvoir démontrer qu'on la respecte.

Le registre des traitements se distingue d'autres documents relevant également de la conformité RGPD, comme la politique de confidentialité destinée aux personnes concernées, ou les preuves de recueil du consentement. Ces documents sont complémentaires, mais répondent à des finalités et des destinataires différents.

Qui doit tenir un registre des traitements ?

L'obligation concerne deux catégories d'acteurs, dont les rôles sont juridiquement distincts. Le responsable de traitement est celui qui détermine les finalités et les moyens du traitement : c'est généralement l'entreprise elle-même. Le sous-traitant, à l'inverse, traite des données pour le compte d'un responsable de traitement, sur ses instructions : c'est le cas, par exemple, d'un prestataire de paie ou d'un hébergeur de données clients.

Le RGPD prévoit une exemption pour les organismes de moins de 250 salariés. En pratique, cette exemption reste toutefois d'une portée très limitée, car elle ne s'applique pas dès que l'une des conditions suivantes est remplie :

• le traitement n'est pas occasionnel ;
• le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées ;
• le traitement porte sur des données dites sensibles (santé, opinions politiques, origine, etc.) ;
• le traitement porte sur des données relatives à des condamnations pénales ou infractions.

Or, la gestion de la paie ou du personnel, présente dans la quasi-totalité des structures, n'est pas un traitement occasionnel. Dans les faits, la grande majorité des TPE et PME se trouve donc soumise à cette obligation, indépendamment de sa taille. Cette règle s'inscrit dans un cadre plus large d'obligations RGPD applicables aux TPE et PME, dont le registre constitue l'une des pierres angulaires.

Que doit contenir le registre des traitements ?

Le contenu exigé par l'article 30 du RGPD diffère selon que l'organisation agit en tant que responsable de traitement ou en tant que sous-traitant. Les deux registres ne se confondent pas, même si une entreprise peut, dans certains cas, cumuler les deux qualités pour des traitements différents.

Certaines finalités, comme la prospection commerciale par voie électronique, imposent également de pouvoir justifier du recueil du consentement des personnes concernées. Cette information n'a pas à figurer telle quelle dans le registre, mais elle doit être documentée séparément et cohérente avec la finalité déclarée.

Comment tenir et mettre à jour le registre ?

La forme du registre

L'article 30 du RGPD impose que le registre soit établi par écrit, y compris sous forme électronique. Aucun format particulier n'est imposé par la loi : tableur, logiciel dédié ou document texte structuré conviennent tous, à condition que l'ensemble des mentions obligatoires y figure de manière claire et exploitable.

Une fiche par activité de traitement

En pratique, le registre se construit sous la forme d'une fiche distincte pour chaque activité de traitement identifiée : gestion de la paie, gestion des clients, prospection commerciale, recrutement, vidéosurveillance des locaux, gestion des accès informatiques. Chaque fiche reprend l'ensemble des mentions prévues à l'article 30, pour ce traitement précis.

Un document vivant, pas figé

Le registre doit être actualisé chaque fois qu'un changement significatif intervient : mise en place d'un nouvel outil de gestion, ajout d'une finalité, recours à un nouveau sous-traitant, modification des durées de conservation. Un registre rédigé une seule fois puis jamais révisé perd rapidement toute valeur probante en cas de contrôle.

Qui en assure la tenue ?

Lorsqu'un délégué à la protection des données (DPO) a été désigné, il en assure généralement la tenue et la mise à jour. En l'absence de DPO, cette responsabilité incombe au dirigeant ou à la personne qu'il a désignée pour piloter la conformité. Le registre n'a pas à être transmis à la CNIL de manière systématique : il doit simplement être tenu à sa disposition en cas de demande ou de contrôle.

Que risque une entreprise sans registre des traitements ?

L'absence de registre, ou sa tenue manifestement incomplète, constitue un manquement à l'obligation de documentation prévue par le RGPD. Ce manquement figure parmi les points systématiquement examinés lors d'un contrôle de la CNIL, qu'il soit déclenché par une plainte, un incident ou une vérification aléatoire.

Sur le plan des sanctions, ce manquement peut donner lieu à une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, conformément à l'article 83 du RGPD. Dans la pratique, la CNIL privilégie d'abord la mise en demeure pour les manquements isolés : les sanctions financières prononcées par la CNIL restent réservées aux manquements graves ou répétés.

Le registre a également une utilité opérationnelle immédiate. En cas d'incident de sécurité, savoir précisément quelles données sont concernées, où elles sont stockées et qui y a accès conditionne la capacité de l'entreprise à réagir dans les délais impartis. Un registre à jour facilite considérablement la notification d'une violation de données dans les 72 heures imposées par le RGPD, un exercice bien plus difficile à mener sans cartographie préalable des traitements.