À retenir
- La cartographie précède toujours la rédaction du registre RGPD.
- Un exemple de registre rempli sert de modèle, pas de copie exacte.
- Chaque traitement cartographié devient une fiche du registre.
- La cartographie doit être mise à jour à chaque nouveau traitement.
- Un registre sans cartographie préalable comporte souvent des oublis.
Pourquoi la cartographie précède la rédaction du registre RGPD
La cartographie des données consiste à recenser tous les flux d’informations personnelles au sein de l’entreprise. Sans cette étape, il est presque impossible de tenir un registre RGPD complet et fiable. Beaucoup de dirigeants se lancent directement dans la rédaction du registre en copiant un exemple trouvé en ligne, sans avoir identifié leurs propres traitements.
Cette approche est risquée. Un exemple de registre rempli montre une structure, pas votre réalité. Chaque entreprise a ses propres outils, ses propres fichiers clients, ses propres logiciels RH. La cartographie sert justement à révéler ces spécificités avant de les formaliser.
Ce que révèle concrètement une cartographie
Une cartographie bien menée fait apparaître des traitements souvent oubliés :
- Les fichiers Excel de prospection commerciale gérés en interne
- Les outils de vidéosurveillance dans les locaux
- Les logiciels de paie externalisés chez un prestataire
- Les formulaires de contact sur le site web
- Les badges d’accès aux bureaux
Chacun de ces éléments devient ensuite une fiche à part entière dans le registre. C’est pour cette raison que notre guide complet sur le registre de traitement RGPD insiste sur cette phase préparatoire avant toute rédaction.
Comment mener une cartographie efficace de vos traitements
La cartographie ne se limite pas à un inventaire rapide. Elle exige une méthode structurée pour ne rien laisser de côté. L’objectif est de reconstituer le parcours complet de chaque donnée, de sa collecte jusqu’à sa suppression.
Les étapes clés de la cartographie
- Identifier chaque service de l’entreprise (RH, commercial, marketing, comptabilité)
- Lister les outils numériques utilisés par chaque service
- Interroger les responsables opérationnels sur les données qu’ils manipulent
- Repérer les sous-traitants qui reçoivent ou hébergent des données
- Noter la durée de conservation appliquée à chaque type de donnée
Cette démarche prend du temps mais elle évite les mauvaises surprises. Un traitement non cartographié est un traitement absent du registre, ce qui expose l’entreprise en cas de contrôle de la CNIL.
Qui doit participer à la cartographie
La cartographie n’est pas l’affaire d’une seule personne. Elle implique idéalement chaque responsable de service, car lui seul connaît précisément les outils et fichiers utilisés au quotidien. Le DPO ou le pilote RGPD centralise ensuite ces informations.
- Le service RH pour les données des salariés et candidats
- Le service commercial pour les fichiers clients et prospects
- Le service informatique pour les habilitations et la sécurité
- La direction pour la vidéosurveillance et le contrôle d’accès
De la cartographie au registre : comment relier les deux
Une fois la cartographie terminée, chaque traitement identifié doit être transformé en fiche de registre. Cette transformation suit une logique simple : un traitement cartographié égale une fiche rédigée. C’est exactement la démarche que nous détaillons dans notre exemple de fiche de registre RGPD commenté.
Pour transformer une ligne de cartographie en fiche complète, il faut renseigner plusieurs éléments obligatoires :
- La finalité du traitement (pourquoi cette donnée est collectée)
- Les catégories de données concernées
- Les personnes concernées (salariés, clients, prospects)
- La base légale du traitement
- Les destinataires internes et externes
- La durée de conservation
- Les mesures de sécurité mises en place
Consultez notre modèle commenté de fiche de registre RGPD pour voir comment structurer chaque rubrique correctement.
Regarder un exemple de registre RGPD rempli : ce qu’il faut en retenir
Un exemple de registre rempli est utile pour comprendre le format attendu, mais il ne doit jamais être recopié tel quel. Chaque fiche d’exemple illustre une méthode, pas un contenu à dupliquer sans adaptation.
Voici ce qu’un bon exemple permet de vérifier :
- La cohérence entre la finalité déclarée et les données collectées
- La précision de la base légale choisie
- La clarté des durées de conservation
- La mention explicite des sous-traitants
Pour approfondir ce sujet, notre article sur l’exemple de registre RGPD rempli avec modèle commenté détaille fiche par fiche cette logique de rédaction.
Cas particulier des ressources humaines
Les traitements RH méritent une attention particulière car ils concernent des données parfois sensibles : santé, situation familiale, rémunération. Une cartographie incomplète des traitements RH est l’une des causes les plus fréquentes de non-conformité constatée en entreprise. Notre exemple de registre RGPD ressources humaines propose un modèle commenté spécifique à ces fiches.
Faut-il utiliser un registre simplifié après la cartographie ?
Certaines petites structures se demandent si elles peuvent se contenter d’un registre simplifié une fois la cartographie réalisée. La réponse dépend du volume et de la nature des traitements identifiés. Un registre simplifié reste possible uniquement si les traitements cartographiés sont peu nombreux et à faible risque.
Avant de faire ce choix, il est recommandé de lire notre article sur le registre simplifié RGPD et ce qu’il faut savoir avant de l’utiliser, qui précise les critères d’éligibilité à cette version allégée.
Cartographier aussi ses sous-traitants
La cartographie ne concerne pas uniquement les traitements internes. Elle doit aussi identifier tous les prestataires externes qui manipulent des données pour le compte de l’entreprise : hébergeur, logiciel de paie, solution CRM, outil d’emailing. Oublier un sous-traitant dans la cartographie revient à laisser un angle mort dans tout le dispositif de conformité.
Pour cette partie spécifique, notre guide sur le registre des sous-traitants RGPD et comment le créer explique comment recenser ces prestataires et formaliser les garanties qu’ils doivent apporter.
Notre avis
À notre expérience, la majorité des registres RGPD bancals que nous rencontrons chez nos clients partagent le même défaut d’origine : ils ont été rédigés directement à partir d’un modèle trouvé en ligne, sans cartographie préalable. Résultat, des traitements entiers manquent, notamment les usages informels type tableur partagé ou messagerie professionnelle utilisée pour du suivi client. Nous recommandons systématiquement de bloquer une demi-journée par service pour la phase de cartographie avant d’ouvrir le moindre document de registre.
Notre bémol : la cartographie est parfois perçue comme une perte de temps par les équipes opérationnelles, qui n’y voient pas d’intérêt immédiat. Notre conseil concret : présentez-la comme un outil de clarification interne (qui fait quoi avec quelles données), pas comme une contrainte administrative. Cela change radicalement l’adhésion des équipes.
Testez vos connaissances
- Faut-il faire la cartographie avant ou après le registre RGPD ?
Réponse : toujours avant. La cartographie identifie les traitements réels, le registre les formalise ensuite en fiches. - Peut-on recopier un exemple de registre RGPD rempli trouvé en ligne ?
Réponse : non, il faut s’en inspirer pour la structure uniquement et l’adapter aux traitements réellement identifiés dans l’entreprise. - Qui doit participer à la cartographie des traitements ?
Réponse : chaque responsable de service, car il connaît précisément les outils et données utilisés au quotidien dans son périmètre.
Questions fréquentes
Qu’est-ce que la cartographie des données personnelles ?
C’est le recensement exhaustif de tous les traitements de données personnelles menés dans l’entreprise : outils utilisés, finalités, personnes concernées et flux vers des tiers. Elle sert de base factuelle avant de rédiger le registre RGPD.
Un exemple de registre RGPD rempli suffit-il pour créer son propre registre ?
Non. Un exemple aide à comprendre la structure attendue, mais chaque entreprise doit renseigner ses propres traitements identifiés lors de sa cartographie. Copier un exemple sans adaptation expose à un registre incomplet ou inexact.
Combien de temps prend une cartographie des traitements ?
Cela dépend de la taille de l’entreprise. Pour une TPE, quelques jours suffisent souvent. Pour une PME avec plusieurs services, comptez plutôt deux à quatre semaines pour interroger chaque responsable et consolider les informations.
La cartographie doit-elle être mise à jour régulièrement ?
Oui. Chaque nouveau logiciel, nouveau sous-traitant ou nouveau traitement doit être ajouté à la cartographie, puis reporté dans le registre. Une révision annuelle minimum est recommandée, voire à chaque changement significatif d’organisation.
Que risque une entreprise qui n’a pas cartographié ses traitements ?
En cas de contrôle CNIL, un registre incomplet issu d’une cartographie bâclée peut être considéré comme non conforme. Cela expose à des mises en demeure, voire des sanctions financières selon la gravité des manquements constatés.