Le registre des traitements est la pierre angulaire de toute demarche de conformite RGPD. Obligatoire pour la quasi-totalite des organismes, il constitue le document central qui recense l’ensemble des activites de traitement de donnees personnelles. Ce guide explique comment recenser vos traitements, organiser leur documentation et tenir le registre à jour.
Qu’est-ce que le registre des traitements RGPD ?
Le registre des traitements, prevu a l’article 30 du RGPD, est un document qui recense et decrit l’ensemble des traitements de donnees personnelles realises par un organisme. Il s’agit d’un outil de pilotage interne qui permet de disposer d’une vision d’ensemble de toutes les activites impliquant des donnees personnelles : gestion des clients, gestion du personnel, videosurveillance, site internet, communications marketing.
Ce registre n’est pas un simple document administratif. C’est un veritable tableau de bord de la conformite qui permet d’identifier les risques, de verifier que chaque traitement repose sur une base legale valide et de demontrer sa conformite en cas de controle de la CNIL.
Qui doit tenir un registre des traitements ?
Les organismes de moins de 250 salariés bénéficient d’une dérogation limitée. Ils doivent notamment inscrire au registre les traitements non occasionnels, ceux susceptibles d’engendrer un risque pour les personnes et ceux portant sur des données sensibles ou relatives aux condamnations pénales et aux infractions.
Les sous-traitants qui traitent des donnees pour le compte d’autres organismes doivent egalement tenir leur propre registre, detaillant les traitements qu’ils realisent pour chacun de leurs clients.
Que doit contenir le registre ?
Pour chaque activite de traitement, le registre doit mentionner les informations suivantes : le nom et les coordonnees du responsable de traitement (et du DPO le cas echeant), les finalites du traitement (pourquoi vous collectez ces donnees), les categories de personnes concernees (clients, salaries, fournisseurs), les categories de donnees personnelles traitees (identite, coordonnees, donnees financieres), les destinataires des donnees, les transferts hors UE le cas echeant, les durees de conservation prevues et les mesures de securite mises en place.
Il est également utile de documenter la base légale du traitement dans le registre. Cette rubrique complémentaire facilite le suivi de la conformité, même si elle ne figure pas parmi les mentions énumérées à l’article 30. Le traitement doit reposer sur une base légale : consentement, execution d’un contrat, obligation legale, interet legitime, mission d’interet public ou sauvegarde des interets vitaux.
Comment creer votre registre etape par etape
La premiere etape consiste a recenser tous vos traitements de donnees. Passez en revue chaque service de votre organisme et identifiez les activites qui impliquent des donnees personnelles. Le service RH traite les donnees des salaries, le service commercial gere un fichier clients, le service informatique administre les comptes utilisateurs, le service marketing envoie des newsletters.
Pour chaque traitement identifie, remplissez une fiche detaillee en suivant les rubriques obligatoires. Commencez par les traitements les plus importants ou les plus risques, puis completez progressivement votre registre. N’oubliez pas les traitements moins visibles : videosurveillance, gestion des badges d’acces, cookies du site internet, formulaires de contact.
Le registre doit etre un document vivant, mis a jour regulierement. Chaque nouveau traitement doit etre ajoute, chaque modification documentee. Prevoyez une revision au moins annuelle pour verifier l’exactitude des informations.
Les erreurs a eviter
La premiere erreur est de creer un registre trop generique, avec des fiches vagues qui ne refletent pas la realite des traitements. Chaque fiche doit etre suffisamment detaillee pour permettre de comprendre concretement ce qui est fait des donnees. La deuxieme erreur est de creer le registre une fois et de ne jamais le mettre a jour. Un registre obsolete n’a aucune valeur en cas de controle.
Autre erreur frequente : confondre le registre du responsable de traitement et le registre du sous-traitant. Si votre organisme agit dans les deux roles, vous devez tenir deux registres distincts. Enfin, ne negligez pas les traitements « informels » : le fichier Excel du service commercial, la liste de contacts sur le telephone du dirigeant, le groupe WhatsApp de l’equipe.
Modele de fiche de traitement
Consultez aussi les rubriques à renseigner et le modèle CNIL.
Voici les elements a renseigner pour chaque fiche : nom du traitement (exemple : « Gestion de la paie »), responsable operationnel, finalites detaillees, base legale, categories de personnes concernees, categories de donnees (avec mention des donnees sensibles le cas echeant), source des donnees, destinataires internes et externes, transferts hors UE, duree de conservation en base active et en archivage, mesures de securite techniques et organisationnelles.
Registre et controle CNIL
Le registre doit pouvoir être communiqué à la CNIL sur demande. Un registre bien tenu demontre une demarche serieuse et proactive. L’absence de registre constitue un manquement qui peut donner lieu a une mise en demeure ou a une sanction.
Le registre doit etre tenu a disposition de la CNIL a tout moment. Il est recommande de le conserver sous format electronique, facilement accessible et exportable. La CNIL met a disposition sur son site un modèle simplifié qui peut servir de base, mais les organismes traitant des volumes importants de donnees auront interet a utiliser un outil dedie.
