Le registre des traitements est le document que la Commission nationale de l’informatique et des libertés (CNIL) peut exiger à tout moment. L’article 30 du règlement général sur la protection des données (RGPD) l’impose depuis le 25 mai 2018 et oblige à le présenter sur demande. En cas de manquement, l’article 83.4 prévoit une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.
Sur le terrain, la difficulté tient rarement à l’existence du document. Elle tient en effet à son contenu : fiches recopiées d’un modèle, destinataires résumés en un mot, durées notées « durée légale » sans précision. Ce guide reprend donc chaque exigence et montre ce qu’on écrit dans chaque champ. Il indique ensuite comment garder le registre exact dans le temps.
Registre des traitements : ce que l’article 30 du RGPD exige
D’abord, l’article 30.1 oblige chaque responsable de traitement à tenir un registre des activités effectuées sous sa responsabilité. Un traitement désigne ainsi toute opération sur des données personnelles : collecte, enregistrement, consultation, communication ou effacement. Le registre décrit donc ce que l’organisme fait réellement des données, et non les logiciels qu’il possède.
Le texte impose peu de formes. Le registre se présente par écrit, sur papier ou en format électronique (article 30.3). De plus, vous le mettez à la disposition de l’autorité de contrôle sur demande (article 30.4). La CNIL en fait toutefois un outil de pilotage. En le remplissant, vous vérifiez en effet si chaque donnée sert, si sa durée se justifie et si sa protection suffit.
Deux publics peuvent aussi le lire. D’abord la CNIL, qui l’utilise pendant ses contrôles. Ensuite le public, lorsque vous êtes un organisme public. La CNIL rappelle en effet que le registre d’une administration est un document administratif communicable à toute personne. Les informations protégées, notamment celles qui touchent à la sécurité des systèmes d’information, sont alors occultées. Rédigez donc chaque fiche comme un texte qu’un tiers lira.
Qui doit tenir un registre des traitements ?
Tous les organismes qui traitent des données personnelles tiennent un registre, publics comme privés, quelle que soit leur taille. La CNIL le formule ainsi sans détour sur sa page consacrée au registre. Une entreprise, une commune ou un cabinet libéral tiennent donc leur registre dès qu’ils gèrent un salarié, un client ou un usager.
La dérogation des moins de 250 salariés et ses limites
L’article 30.5 écarte l’obligation pour les entreprises et organisations de moins de 250 employés. La dérogation tombe toutefois si le traitement comporte un risque pour les droits et libertés des personnes. Elle tombe aussi s’il n’est pas occasionnel, ou s’il porte sur des données sensibles (article 9) ou d’infractions (article 10).
En pratique, la paie, la gestion des clients et des fournisseurs ou la vidéosurveillance sortent de la dérogation, car ces traitements reviennent chaque mois. La CNIL limite ainsi l’exemption à des cas très particuliers, comme une campagne de communication ponctuelle. Elle recommande aussi d’inscrire au registre tout traitement qui laisse un doute. Une petite structure tient donc presque toujours un registre, même réduit.
Le projet européen de relever le seuil à 750 salariés
Le 21 mai 2025, la Commission européenne a proposé de modifier l’article 30.5. La dérogation viserait alors les organisations de moins de 750 employés, sauf traitement à risque élevé au sens de l’article 35. Pourtant, au 8 novembre 2026, la fiche de la procédure 2025/0130 sur EUR-Lex la présente toujours comme en cours. Le texte en vigueur reste donc celui de 2016, avec le seuil de 250 salariés et ses trois exceptions.
Même adoptée, cette réforme laisserait de plus intacte la documentation des traitements à risque élevé, fréquents en santé et dans le social. Ne supprimez donc aucune fiche en attendant le texte final.
Responsable de traitement et sous-traitant : deux registres distincts
L’article 30.2 impose un second registre au sous-traitant, c’est-à-dire à l’organisme qui traite des données pour un client. Ce registre recense ainsi les traitements effectués pour chaque client, les transferts hors de l’Union et la sécurité. Lorsque votre organisme agit dans les deux rôles, la CNIL recommande de tenir deux registres séparés. Notre article sur le registre du sous-traitant et son contenu détaille ce second document.
Le contenu obligatoire du registre des traitements, champ par champ
Le registre comporte d’abord les coordonnées de l’organisme, de son représentant éventuel et de son délégué à la protection des données (DPO). Ensuite, chaque activité de traitement reçoit sa propre fiche. Le tableau suit donc l’ordre de l’article 30.1 et prend pour exemple fictif la gestion des candidatures d’une entreprise.
| Champ | Ce que vous écrivez | Exemple fictif |
|---|---|---|
| Responsables | Organisme, responsable conjoint éventuel, représentant, DPO, avec leurs coordonnées (30.1.a). | La société, son service des ressources humaines comme référent, le DPO externe. |
| Finalités | L’objectif concret, une ligne par usage distinct (30.1.b). | Sélectionner les candidats à un poste ouvert ; constituer un vivier avec leur accord. |
| Personnes | Les catégories de personnes concernées (30.1.c). | Candidats, personnes recommandées, membres du jury. |
| Données | Les catégories de données, en signalant les données sensibles (30.1.c). | Identité, coordonnées, parcours, diplômes, notes d’entretien. |
| Destinataires | Qui reçoit les données, services internes et prestataires compris, et tout destinataire situé hors de l’Union (30.1.d). | Recruteurs habilités, managers du poste, éditeur du logiciel de recrutement. |
| Transferts | Le pays tiers ou l’organisation internationale, et les garanties dans les cas de l’article 49.1 alinéa 2 (30.1.e). | Aucun transfert ; hébergement du logiciel dans l’Union, vérifié dans le contrat. |
| Durées | Les délais d’effacement par catégorie de données, ou le critère qui les fixe (30.1.f). | Le délai retenu après la clôture du recrutement, puis suppression ou anonymisation. |
| Sécurité | Une description générale des mesures techniques et organisationnelles de l’article 32 (30.1.g). | Accès nominatifs, droits limités au jury, journalisation, chiffrement des échanges. |
Les points f et g portent la mention « dans la mesure du possible ». Ne la lisez pas comme une dispense. En effet, sans durée ni mesure, la fiche ne permet ni de purger ni de démontrer la sécurité. Pour les délais, appuyez-vous sur notre tableau des durées de conservation RGPD.
Les mentions complémentaires recommandées par la CNIL
La CNIL conseille d’enrichir le registre pour en faire un outil de pilotage. Ajoutez par exemple la base légale de chaque finalité, l’origine des données et les droits applicables. Ces champs alimentent ainsi directement vos mentions d’information. Vous pouvez aussi y rattacher l’historique des violations, les contrats de sous-traitance et les documents qui encadrent les transferts.
La CNIL applique d’ailleurs elle-même ce principe. Son registre des activités de traitement publié associe à chaque activité une fiche fondée sur les articles 30, 13, 14 et 15. Inspirez-vous donc de cette structure pour décider des champs que votre registre ajoute au socle légal.
Comment tenir un registre des traitements : la méthode pas à pas
La CNIL décrit une démarche en trois temps : recenser, lister, analyser. Nous l’appliquons dans cet ordre avec les organismes que nous accompagnons, en ajoutant une validation formelle à la fin :
- Recensez les sources d’information. Rencontrez le responsable de chaque service, ouvrez le site internet et relevez chaque formulaire, chaque cookie et chaque mention d’information.
- Listez les activités par finalité, jamais par logiciel. Un même outil sert souvent plusieurs traitements, et un traitement mobilise souvent plusieurs outils.
- Remplissez ensuite une fiche par activité, en citant les contrats et les procédures qui prouvent chaque réponse.
- Analysez les fiches : données inutiles, durées absentes, sous-traitants sans contrat, analyses d’impact manquantes. Ces constats forment ainsi votre plan d’action.
- Enfin, faites valider chaque fiche par le responsable du service et datez-la. La date de dernière mise à jour figure d’ailleurs dans le modèle de la CNIL.
Tenir le registre à jour sans le refaire chaque année
Pour la CNIL, toute modification d’un traitement entre au registre : nouvelle donnée collectée, durée allongée, nouveau destinataire. Le registre suit donc les projets, et non le calendrier.
En pratique, branchez la mise à jour sur les événements qui la déclenchent. Un nouveau logiciel, un changement de prestataire ou un nouveau formulaire passent ainsi par le DPO avant leur mise en service. Une revue annuelle complète ensuite ce circuit. Chaque responsable de service relit alors ses fiches et les corrige au besoin.
Modèle de registre des traitements : partir du modèle CNIL
La CNIL propose un modèle de registre simplifié au format ODS, destiné aux petites structures. Le fichier contient d’abord un tutoriel, puis une liste des traitements et un modèle de fiche à dupliquer. Il propose enfin une fiche d’exemple sur la paie et des listes déroulantes. Il couvre ainsi le socle de l’article 30. En revanche, les anciens modèles RTF et PDF ne sont plus mis à jour.
Avant de l’utiliser, vérifiez ses listes déroulantes. Dans la version téléchargée le 8 novembre 2026, la liste des garanties propose encore le « Privacy shield ». Or la Cour de justice de l’Union européenne l’a invalidé le 16 juillet 2020. La liste des pays classe de plus le Japon, la Corée du Sud et le Brésil parmi les pays non adéquats. Pourtant, la page de la Commission européenne sur les décisions d’adéquation les compte parmi les pays reconnus. Corrigez donc ces deux listes avant de remplir le champ des transferts.
Pour des fiches déjà rédigées, consultez par exemple nos exemples de fiches de registre par secteur et nos guides champ par champ. Le contenu de chaque fiche vient ensuite de vos entretiens et de vos contrats.
Exemples de registre des traitements par secteur
Le socle reste identique d’un secteur à l’autre. Les traitements sensibles, les textes qui fixent les durées et la répartition des rôles avec les partenaires varient en revanche.
Établissements de santé et médico-sociaux
Le dossier du patient ou de l’usager porte sur des données de santé, ce qui exclut toute dérogation. La fiche nomme donc l’hébergeur et sa certification. La CNIL rappelle en effet qu’un hébergeur de données de santé doit être certifié HDS. L’Agence du numérique en santé publie la liste des hébergeurs certifiés : vérifiez-la avant d’écrire. Notre guide RGPD en santé et en médico-social détaille les traitements propres au secteur.
Services de prévention et de santé au travail
Le guide pratique de la CNIL pour les services de prévention et de santé au travail consacre une fiche au registre et propose des modèles en annexe 3. Selon ce guide, un service interentreprises est responsable de traitement pour ses missions habituelles et sa propre gestion. Il devient en revanche sous-traitant lorsqu’il exécute une commande d’un autre organisme, par exemple une étude demandée par un comité social et économique. Le service tient alors deux registres.
Pour le dossier médical en santé au travail, le guide renvoie ensuite au Code du travail, qui prévoit des durées propres aux travailleurs exposés à des risques particuliers. Plus de 40 services ont d’ailleurs désigné DPO PARTAGE comme DPO : notre page RGPD et santé au travail présente cet accompagnement.
Collectivités territoriales
Une commune tient par exemple des dizaines de traitements : état civil, urbanisme, cantine, action sociale, listes électorales, vidéoprotection. Son registre est communicable au public, c’est pourquoi il oblige à rédiger les mesures de sécurité en termes généraux. Ses prestataires viennent de plus de marchés publics : la CNIL demande d’y intégrer les clauses de l’article 28. Notre offre DPO pour les collectivités part de ce registre.
Comités sociaux et économiques
La CNIL note que les instances représentatives du personnel traitent un grand nombre de données relatives aux salariés. Le comité qui décide lui-même de ses activités sociales et culturelles en fixe les finalités et les moyens. Il en est donc responsable de traitement et tient son propre registre, distinct de celui de l’employeur. La billetterie ou la plateforme d’avantages qu’il utilise figure alors parmi ses sous-traitants. Notre article sur la conformité RGPD des CSE approfondit ces situations.
Entreprises
Le registre d’une entreprise s’articule autour de la paie, du recrutement, de la relation client, de la messagerie et du contrôle d’accès. Chacun de ces traitements dispose ainsi sur ce site d’un guide champ par champ, par exemple pour la réception des CV et la gestion des candidatures ou le CRM et la relation clients. Partez de ces guides, puis remplacez chaque exemple par votre situation réelle.
Les erreurs fréquentes dans un registre des traitements
Une fiche par logiciel
Des destinataires en un mot
La « durée légale » sans chiffre
Des mesures de sécurité copiées d’une fiche à l’autre
Le registre du sous-traitant mélangé au vôtre
Registre, AIPD et durées de conservation : relier les documents
Le registre sert de point de départ aux autres documents. Par exemple, une fiche qui décrit des données de santé à grande échelle ou un profilage signale un traitement soumis à une possible analyse d’impact (AIPD) au titre de l’article 35. Ajoutez donc à chaque fiche un champ « AIPD requise » avec la date de l’analyse. Notre guide AIPD : guide complet de l’analyse d’impact RGPD détaille cette qualification.
Les durées de conservation suivent la même logique. L’article 30.1.f les inscrit au registre, et l’article 5.1.e les limite au temps nécessaire à la finalité. Une fiche sans durée produit ainsi des données jamais purgées. Pour passer ensuite de la durée écrite à l’effacement réel, lisez notre méthode de purge des données en fin de conservation.
Le registre des violations, enfin, découle de l’article 33.5, qui oblige à documenter toute violation de données. La CNIL suggère d’ailleurs de rattacher cet historique au registre des traitements. Notre tutoriel pour notifier une violation de données personnelles décrit la procédure complète.
Outil de gestion du registre : tableur ou logiciel ?
Un tableur suffit pour une dizaine de fiches tenues par une seule personne. Au-delà, il montre vite ses limites : versions multiples, aucune trace des modifications, aucun lien vers les contrats. Le jour d’un contrôle, vous peinez alors à prouver qu’une fiche était exacte à une date donnée.
Un logiciel de registre des traitements relie au contraire les fiches aux autres registres. DPO Suite, l’application de conformité de notre groupe, gère par exemple dans un même espace les registres, les sous-traitants et les violations. Elle couvre aussi les demandes d’exercice des droits et propose une AIPD guidée par intelligence artificielle. Quel que soit l’outil, vérifiez donc avant de choisir l’historique des modifications, le lien entre fiches et sous-traitants, et l’export du registre.
Un outil ne remplit pas le registre à votre place. En effet, les réponses viennent des services, et la validation reste celle du responsable de traitement.
Le rôle du DPO dans la tenue du registre des traitements
Le registre engage le responsable de traitement : l’article 24 lui impose de démontrer la conformité de ses traitements. La CNIL admet toutefois qu’une personne désignée tienne le registre, notamment le délégué à la protection des données. Le registre sert alors ses missions de l’article 39 : informer, conseiller et contrôler le respect du RGPD.
Dans notre pratique de DPO à temps partagé depuis 2018, le DPO anime ainsi les entretiens et relit chaque fiche. Le service, lui, valide ce qui le concerne. Cette répartition évite donc deux écueils : le registre rédigé seul par le DPO, et le registre rempli sans regard extérieur. Enfin, pour savoir si vous devez désigner un DPO, consultez notre page désigner un DPO ; pour un premier état des lieux, demandez un Audit Flash gratuit.
Nos analyses sur le registre des traitements
Chaque article approfondit un traitement ou une difficulté de ce guide. Choisissez celui qui correspond à la fiche que vous rédigez.
Vos prestataires tiennent eux aussi un registre, celui des activités menées pour votre compte. Notre guide du registre des sous-traitants et de leur suivi détaille ce que vous devez exiger d’eux.
Sources consultées
Les articles cités viennent du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, publié sur EUR-Lex. Les règles de tenue, la dérogation et la méthode viennent ensuite de la page de la CNIL Le registre des activités de traitement, qui propose aussi le modèle au format ODS.
La CNIL publie son propre Registre des activités de traitement de la CNIL. De plus, les règles propres à la santé au travail figurent dans le Guide pratique SPST : services de prévention et de santé au travail. Les instances du personnel sont traitées sur la page Instances représentatives du personnel, et la certification HDS sur la fiche Sécurité : Gérer la sous-traitance.
La CNIL rappelle aussi l’invalidation du Privacy Shield sur la page Transférer des données hors de l’UE. La liste des pays adéquats provient de la page de la Commission européenne Data protection adequacy for non-EU countries. Enfin, le projet de seuil à 750 salariés figure dans la proposition de règlement COM(2025) 501 du 21 mai 2025, dont l’avancement se suit sur la fiche de procédure 2025/0130.