Le RGPD impose à tout organisme traitant des données personnelles de tenir un registre des activités de traitement. Cette obligation concerne la quasi-totalité des entreprises, associations et administrations, quelle que soit leur taille. Le registre doit recenser chaque traitement de données, documenter sa finalité, sa base légale et les mesures de sécurité associées.
Qui est soumis à l’obligation de registre RGPD ?
L’article 30 du RGPD pose le principe général : tout responsable de traitement et tout sous-traitant doit tenir un registre. En pratique, cela englobe :
- Les entreprises privées, de la TPE au grand groupe
- Les associations et fondations
- Les administrations publiques et collectivités
- Les sous-traitants qui traitent des données pour le compte d’un client
Une dérogation existe sur le papier pour les organisations de moins de 250 salariés : elles peuvent théoriquement se dispenser du registre si leurs traitements ne sont pas réguliers, ne portent pas sur des données sensibles et ne présentent pas de risque pour les droits des personnes. En réalité, cette exception est quasi inapplicable, car la plupart des entreprises gèrent au minimum la paie, la comptabilité clients ou le recrutement — autant de traitements réguliers. La CNIL confirme que la grande majorité des organisations sont dans l’obligation de tenir ce registre.
Que doit contenir le registre des traitements ?
Le registre n’est pas un simple tableau Excel. Il doit, pour chaque traitement, documenter un ensemble d’informations précises. Voici ce qu’exige l’article 30 du RGPD :
- Le nom et les coordonnées du responsable de traitement (et du DPO s’il en existe un)
- La finalité du traitement : pourquoi les données sont collectées (ex. : gestion de la paie, prospection commerciale, suivi des incidents)
- Les catégories de personnes concernées : salariés, clients, prospects, fournisseurs…
- Les catégories de données traitées : identité, données bancaires, données de santé…
- Les destinataires des données : services internes, sous-traitants, partenaires
- Les transferts hors UE éventuels et les garanties associées
- Les durées de conservation prévues pour chaque catégorie de données
- Une description des mesures de sécurité techniques et organisationnelles
Pour le sous-traitant, le contenu est légèrement différent : il documente les traitements réalisés pour le compte de chaque client, les catégories de traitements effectués et les transferts éventuels.
Quelle est la base légale de cette obligation ?
L’obligation de registre découle directement du principe de responsabilité (accountability) inscrit à l’article 5, paragraphe 2 du RGPD. Ce principe impose aux organisations de ne pas seulement respecter la réglementation, mais de démontrer qu’elles la respectent. Le registre est l’outil central de cette démonstration. Le texte intégral du règlement européen 2016/679 est consultable sur EUR-Lex.
En cas de contrôle de la CNIL, le registre est le premier document demandé. Son absence ou son caractère incomplet constitue un manquement pouvant entraîner une sanction. Faire appel à un consultant RGPD spécialisé CNIL permet d’anticiper ces exigences et de structurer un registre conforme dès le départ.
Comment structurer et tenir le registre à jour ?
Choisir le bon format
Le RGPD n’impose pas de format particulier. Le registre peut prendre la forme :
- D’un tableur (Excel, Google Sheets) pour les structures simples
- D’un outil dédié de gestion de conformité (OneTrust, Didomi, Axeptio…)
- D’un document structuré dans un système de gestion documentaire
L’essentiel : il doit être accessible rapidement, mis à jour régulièrement et pouvoir être présenté à la CNIL sur demande. La CNIL propose d’ailleurs un modèle de registre téléchargeable pour aider les organisations à démarrer.
Inventorier les traitements existants
La première étape consiste à cartographier tous les traitements en place. Pour cela :
- Interrogez chaque direction métier (RH, marketing, informatique, juridique…)
- Listez toutes les applications et logiciels utilisés qui collectent des données
- Identifiez les flux de données entrants et sortants (sous-traitants, partenaires)
- Qualifiez la base légale de chaque traitement (consentement, intérêt légitime, obligation légale…)
Cette cartographie est souvent la phase la plus chronophage. Pour les établissements scolaires, par exemple, les besoins sont très spécifiques : notre article sur le modèle de registre de traitement pour l’éducation détaille les particularités de ce secteur.
Maintenir le registre dans le temps
Un registre figé ne vaut rien. Il doit évoluer à chaque changement significatif :
- Lancement d’un nouveau service ou produit
- Changement de prestataire ou de logiciel
- Nouvelle finalité pour un traitement existant
- Modification des durées de conservation
Il est recommandé de réaliser une revue complète du registre au moins une fois par an, et à chaque évolution majeure de l’organisation.
Quels risques en cas de non-conformité ?
Ne pas tenir de registre, ou tenir un registre incomplet, expose l’organisation à plusieurs risques :
- Sanction administrative : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour manquement aux obligations de l’article 30
- Mise en demeure de la CNIL avec délai de mise en conformité imposé
- Risque réputationnel en cas de publication de la décision de sanction
- Difficulté à gérer une violation de données : sans registre, il est impossible d’identifier rapidement les données concernées et les personnes à notifier
Au-delà de la sanction, l’absence de registre fragilise toute la démarche de conformité. C’est pourquoi beaucoup d’entreprises choisissent de s’appuyer sur un accompagnement expert en conformité RGPD pour structurer cet outil de façon pérenne.
Le registre du responsable de traitement vs celui du sous-traitant
Beaucoup d’organisations endossent les deux rôles simultanément : elles sont responsables de traitement pour leurs propres activités (gestion RH, CRM…) et sous-traitantes pour leurs clients. Dans ce cas, elles doivent tenir deux registres distincts.
Le registre du sous-traitant est souvent négligé, notamment dans les entreprises informatiques, les agences ou les prestataires SaaS. Or, la CNIL contrôle également les sous-traitants. Si votre entreprise utilise ou déploie un CRM comme Salesforce pour le compte de clients, notre article sur le rôle d’un consultant Salesforce RGPD vous aidera à comprendre comment documenter ces traitements correctement.
Faut-il nommer un DPO pour tenir le registre ?
La nomination d’un DPO (Délégué à la Protection des Données) n’est pas obligatoire pour toutes les organisations. Elle l’est pour :
- Les autorités et organismes publics
- Les organisations dont l’activité principale implique un suivi régulier et à grande échelle des personnes
- Les organisations traitant à grande échelle des données sensibles (santé, origines ethniques, données pénales…)
Pour les autres, la tenue du registre reste obligatoire même sans DPO. Elle peut être confiée à un responsable interne ou à un DPO externalisé. Cette solution est souvent plus économique et apporte une expertise immédiate. Pour comparer les options et évaluer le budget à prévoir, consultez notre guide sur les tarifs d’un consultant RGPD en 2026.
Questions fréquentes
- Le registre RGPD est-il obligatoire pour une TPE ?
-
Oui, dans la quasi-totalité des cas. Même si une exception formelle existe pour les moins de 250 salariés, elle ne s’applique qu’aux traitements non réguliers, sans données sensibles et sans risque. Dès qu’une TPE gère des salariés, des clients ou des prospects, elle est tenue de tenir un registre.
- Combien de traitements faut-il documenter dans le registre ?
-
Il n’y a pas de nombre minimum ou maximum. Chaque traitement distinct doit faire l’objet d’une fiche dans le registre. Une PME compte généralement entre 10 et 30 traitements (paie, recrutement, gestion clients, vidéosurveillance, newsletters…). Une grande organisation peut en recenser plusieurs centaines.
- Quelle est la différence entre registre et DPIA ?
-
Le registre recense tous les traitements de données. La DPIA (analyse d’impact) est une étude approfondie réservée aux traitements présentant un risque élevé pour les personnes. La DPIA vient compléter le registre pour certaines fiches spécifiques, mais les deux documents sont distincts.
- La CNIL peut-elle demander à consulter le registre ?
-
Oui. En cas de contrôle, la CNIL peut exiger la communication immédiate du registre. Un registre absent, incomplet ou manifestement non tenu à jour constitue un manquement caractérisé pouvant donner lieu à une mise en demeure ou une sanction financière.
- Peut-on utiliser un modèle gratuit pour le registre ?
-
Oui. La CNIL met à disposition un modèle de registre téléchargeable gratuitement. Ce modèle constitue un bon point de départ. Il doit ensuite être adapté aux traitements réels de l’organisation, ce qui nécessite souvent un accompagnement pour être correctement rempli.