Un modèle de registre de traitement RGPD est un document structuré qui recense l’ensemble des activités de traitement de données personnelles d’une organisation. Obligatoire pour la plupart des entreprises depuis le 25 mai 2018, il doit lister pour chaque traitement : la finalité, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité.
Pourquoi le registre de traitement est une obligation légale incontournable
L’article 30 du Règlement général sur la protection des données (RGPD) impose à tout responsable de traitement de tenir un registre des activités de traitement. Cette obligation concerne :
- Toutes les entreprises de 250 salariés et plus.
- Les entreprises de moins de 250 salariés si leurs traitements présentent un risque pour les droits et libertés, s’ils ne sont pas occasionnels, ou s’ils portent sur des données sensibles.
- Les sous-traitants, qui doivent tenir leur propre registre des catégories de traitements effectués pour le compte de leurs clients.
En pratique, quasiment toutes les entreprises sont concernées dès qu’elles traitent des données de salariés, de clients ou de prospects. Notre article sur l’obligation de registre RGPD détaille les conditions d’exemption et les risques en cas de manquement.
Les mentions obligatoires dans un modèle de registre RGPD
Le registre doit être tenu par écrit, y compris sous forme électronique. Pour chaque traitement, voici les informations à renseigner :
Pour le responsable de traitement
- Nom et coordonnées du responsable de traitement et, le cas échéant, du DPO.
- Finalité du traitement : pourquoi traitez-vous ces données ? (ex. : gestion de la paie, prospection commerciale, vidéosurveillance…)
- Catégories de personnes concernées : salariés, clients, prospects, fournisseurs…
- Catégories de données traitées : identité, données bancaires, données de santé…
- Destinataires : qui a accès aux données ? (services internes, sous-traitants, autorités…)
- Transferts hors UE : vers quels pays et sur quelle base juridique.
- Durées de conservation : combien de temps conservez-vous les données.
- Mesures de sécurité : description générale des mesures techniques et organisationnelles.
Pour le sous-traitant
- Nom et coordonnées du ou des sous-traitants et du responsable de traitement pour le compte duquel il agit.
- Catégories de traitements effectués pour chaque client.
- Transferts vers des pays tiers et garanties associées.
- Description générale des mesures de sécurité.
Structure recommandée pour un modèle de registre de traitement
Un bon modèle de registre se présente sous forme de tableau, avec une ligne par traitement. Voici la structure que je recommande à mes clients :
- Identifiant du traitement : numéro unique pour faciliter les mises à jour.
- Nom du traitement : libellé clair (ex. : « Gestion des candidatures »).
- Finalité(s) : objectif principal et objectifs secondaires.
- Base légale : consentement, contrat, obligation légale, intérêt légitime, mission d’intérêt public, intérêts vitaux.
- Personnes concernées : type de population visée.
- Données traitées : liste des catégories de données.
- Données sensibles : oui/non (santé, origine ethnique, opinions politiques, etc.).
- Destinataires internes : services qui ont accès.
- Destinataires externes / sous-traitants : nom, pays, contrat DPA en place.
- Transfert hors UE : pays, mécanisme de transfert (clauses contractuelles types, décision d’adéquation…).
- Durée de conservation : en base active et en archivage intermédiaire.
- Mesures de sécurité : chiffrement, contrôle d’accès, pseudonymisation…
- Analyse d’impact requise : oui/non (AIPD/PIA).
- Date de création / dernière mise à jour.
Comment choisir le bon format pour votre registre
La CNIL met à disposition un modèle de registre téléchargeable au format tableur. C’est un excellent point de départ, mais il est souvent insuffisant pour des organisations complexes.
Selon la maturité et la taille de votre structure, vous pouvez opter pour :
- Un tableur Excel ou Google Sheets : simple, adapté aux PME avec peu de traitements. Facile à partager mais difficile à faire évoluer.
- Un outil dédié RGPD (OneTrust, Witik, Dastra, Leto…) : recommandé dès que le nombre de traitements dépasse la vingtaine ou que plusieurs entités sont concernées.
- Un outil sur-mesure (CRM, GED) : pour les grandes organisations qui intègrent la conformité à leur système d’information.
Si vous gérez un CRM comme Salesforce, notre article sur le consultant Salesforce RGPD explique comment articuler les traitements liés à votre CRM avec votre registre.
Les erreurs les plus fréquentes dans la tenue du registre
Après avoir accompagné des dizaines d’entreprises, voici les erreurs que je rencontre le plus souvent :
- Un registre créé une fois, jamais mis à jour : le registre doit être vivant. Toute création, modification ou suppression d’un traitement doit s’y refléter.
- Des finalités trop vagues : « gestion des données » n’est pas une finalité. Soyez précis.
- L’absence de durées de conservation : c’est pourtant un élément clé pour démontrer le respect du principe de limitation de conservation.
- Les sous-traitants oubliés : cloud, messagerie, logiciel RH… tous doivent apparaître.
- Aucune mention des transferts hors UE : si vous utilisez des outils américains (AWS, Microsoft 365, Google Workspace…), vous devez documenter les garanties associées.
- Ne pas identifier les traitements nécessitant une AIPD : pour les traitements à risque élevé, une analyse d’impact sur la protection des données est obligatoire.
Registre et secteurs spécifiques : ce qu’il faut adapter
Les traitements varient fortement selon le secteur d’activité. Un cabinet médical, une école ou une collectivité locale n’ont pas les mêmes traitements qu’un e-commerçant ou une entreprise industrielle.
Par exemple, pour les établissements scolaires, notre guide sur le modèle de registre de traitement dans l’éducation propose une approche adaptée aux spécificités du secteur.
Pour les administrations et organismes publics, les traitements sont souvent fondés sur une mission d’intérêt public, ce qui change la base légale applicable. Notre article sur le consultant RGPD spécialisé administration publique développe ces spécificités.
Comment maintenir votre registre à jour dans la durée
Un registre conforme n’est pas un document figé. Voici les bonnes pratiques pour l’entretenir :
- Nommer un responsable : DPO, responsable juridique ou DSI selon votre organisation.
- Instaurer une revue annuelle : passez en revue l’ensemble des traitements une fois par an minimum.
- Intégrer le registre dans les processus métier : tout nouveau projet impliquant des données doit déclencher une mise à jour du registre.
- Impliquer les métiers : les opérationnels (RH, marketing, DSI) connaissent les traitements réels. Collaborez avec eux.
- Documenter les changements : un historique des modifications est utile en cas de contrôle de la CNIL.
Questions fréquentes
Le registre de traitement est-il obligatoire pour toutes les entreprises ?
L’article 30 du RGPD prévoit une dérogation pour les entreprises de moins de 250 salariés dont les traitements ne sont pas susceptibles de présenter un risque pour les droits et libertés des personnes, sont occasionnels et ne portent pas sur des données sensibles. En pratique, cette exemption est très rarement applicable.
Quel format utiliser pour le registre de traitement RGPD ?
Le format est libre (tableur, logiciel dédié, outil interne) du moment que le registre est tenu par écrit, y compris sous format électronique. La CNIL propose un modèle Excel téléchargeable. Les outils SaaS dédiés sont recommandés dès que l’organisation dépasse une vingtaine de traitements ou compte plusieurs entités.
Que risque-t-on si le registre de traitement est absent ou incomplet ?
L’absence de registre ou un registre lacunaire constitue un manquement au RGPD. La CNIL peut prononcer une mise en demeure, puis une sanction financière pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel. Au-delà de l’amende, cela entache la réputation de l’organisation.
Combien de temps faut-il pour créer un registre de traitement ?
Pour une PME de 50 salariés, comptez entre 2 et 5 jours de travail pour un premier registre complet, selon le nombre de traitements et la disponibilité des équipes métier. Un consultant RGPD externe peut réduire ce délai et sécuriser la démarche grâce à son expérience sectorielle.
Le sous-traitant doit-il aussi tenir un registre ?
Oui. L’article 30 du RGPD impose aux sous-traitants de tenir un registre des catégories de traitements effectués pour le compte de leurs clients. Ce registre sous-traitant est distinct de celui du responsable de traitement et comporte des mentions spécifiques, notamment les garanties mises en place pour les transferts hors UE.