Un registre RGPD rempli est un document qui recense tous les traitements de données personnelles réalisés par une entreprise, avec le détail de chaque traitement rédigé noir sur blanc. Contrairement à un modèle vierge, il montre concrètement comment renseigner chaque champ : finalité, base légale, catégories de données, durée de conservation. Regarder un exemple concret reste le meilleur moyen de comprendre le niveau de précision attendu par la CNIL en cas de contrôle. Ce guide vous propose deux fiches de traitement entièrement complétées, que vous pourrez adapter à votre propre activité.
À retenir
- Le registre RGPD doit lister tous les traitements de données, sans exception.
- Chaque fiche comporte finalité, base légale, données, durée et sécurité.
- Un exemple rempli sert de modèle, pas de copie à recopier telle quelle.
- La tenue du registre est obligatoire pour la quasi-totalité des entreprises.
- Le registre doit être mis à jour à chaque nouveau traitement.
Qu’est-ce qu’un registre des traitements RGPD ?
Le registre des activités de traitement est un document imposé par l’article 30 du RGPD. Il recense, traitement par traitement, la manière dont une organisation collecte, utilise et conserve les données personnelles. Ce n’est ni un contrat ni une simple formalité administrative : c’est la colonne vertébrale de votre conformité, consultée en priorité par la CNIL en cas de contrôle. Notre article sur l’obligation de tenir un registre RGPD détaille qui est concerné et dans quels cas une dispense existe.
Pourquoi consulter un exemple de registre RGPD rempli avant de créer le vôtre ?
Beaucoup de dirigeants téléchargent un modèle vierge, puis restent bloqués devant des champs trop abstraits. Un exemple rempli permet de visualiser concrètement le niveau de détail attendu, traitement par traitement, plutôt que de deviner. Il aide notamment à :
- éviter les formulations trop vagues, comme « gestion RH » qui ne suffit pas
- comprendre comment relier chaque traitement à une base légale précise
- identifier les destinataires souvent oubliés, dont les sous-traitants et outils SaaS
- calibrer des durées de conservation réalistes et justifiables
Quelles sont les rubriques obligatoires d’une fiche de traitement ?
L’article 30 du RGPD fixe une liste précise d’informations à renseigner pour chaque traitement. Omettre une seule de ces rubriques rend votre registre incomplet aux yeux de la CNIL, même s’il existe. Une fiche de traitement doit comporter :
- le nom et les coordonnées du responsable de traitement
- la finalité précise du traitement
- la base légale : consentement, contrat, obligation légale ou intérêt légitime
- les catégories de personnes concernées
- les catégories de données collectées
- les destinataires ou catégories de destinataires
- les éventuels transferts hors Union européenne
- la durée de conservation
- une description générale des mesures de sécurité
Exemple de registre RGPD rempli : fiche traitement « gestion de la paie »
Voici un premier exemple concret, inspiré des situations que nous rencontrons régulièrement chez nos clients PME.
- Traitement : gestion de la paie et administration du personnel
- Responsable de traitement : l’entreprise, représentée par son dirigeant
- Finalité : établissement des bulletins de salaire, déclarations sociales, gestion des congés
- Base légale : exécution du contrat de travail et obligation légale
- Personnes concernées : salariés et anciens salariés
- Données traitées : identité, coordonnées, RIB, numéro de sécurité sociale, rémunération
- Destinataires : service RH, expert-comptable, organismes sociaux (URSSAF, caisses de retraite)
- Transferts hors UE : aucun
- Durée de conservation : 5 ans après le départ du salarié pour les bulletins, durée légale pour les documents sociaux
- Mesures de sécurité : accès restreint par mot de passe, logiciel de paie hébergé en France, sauvegardes chiffrées
Cette fiche illustre un point essentiel : chaque champ doit rester factuel et vérifiable, jamais une formule toute faite copiée d’un modèle générique.
Exemple de registre RGPD rempli : fiche traitement « prospection commerciale (CRM) »
- Traitement : prospection commerciale B2B via l’outil CRM
- Responsable de traitement : l’entreprise
- Finalité : envoi d’offres commerciales, suivi des prospects, relance
- Base légale : intérêt légitime pour la prospection B2B, consentement pour une newsletter B2C
- Personnes concernées : prospects, clients, contacts professionnels
- Données traitées : nom, fonction, email professionnel, téléphone, historique des échanges
- Destinataires : équipe commerciale, éditeur du logiciel CRM en tant que sous-traitant
- Transferts hors UE : possible si l’hébergeur du CRM est situé aux Etats-Unis, encadré par des clauses contractuelles types
- Durée de conservation : 3 ans à compter du dernier contact, sauf opposition
- Mesures de sécurité : authentification à double facteur, droits d’accès différenciés selon les profils
Ce second exemple montre que le registre RGPD ne se limite pas aux données RH : il couvre aussi les outils commerciaux du quotidien, souvent gérés par des prestataires externes. Notre guide sur le modèle de registre de traitement RGPD propose une trame vierge à dupliquer pour chacun de vos traitements.
Comment adapter ce modèle à votre entreprise ?
Un exemple rempli ne remplace jamais un travail de cartographie propre à votre structure. Recopier un modèle sans l’adapter revient à produire un document juridiquement inexact, donc inutile en cas de contrôle. Pour construire votre registre, procédez étape par étape :
- lister tous les traitements réels de votre entreprise, service par service
- interroger chaque responsable métier sur les données utilisées
- rédiger une fiche par traitement, sur le modèle présenté ci-dessus
- faire valider les bases légales par un professionnel du droit ou un DPO
- programmer une revue annuelle du registre
Qui doit tenir et mettre à jour le registre RGPD ?
La tenue du registre concerne la quasi-totalité des structures dès lors qu’elles traitent des données de façon récurrente ou sensible, quelle que soit leur taille. La dispense théorique pour les entreprises de moins de 250 salariés reste rarement applicable en pratique, car la plupart des traitements RH ou commerciaux sont considérés comme non occasionnels. Pour savoir précisément qui, en interne, peut consulter ce document, notre article sur qui peut consulter le registre des activités de traitement détaille les bonnes pratiques d’accès.
Quelles sont les erreurs fréquentes dans un registre RGPD rempli ?
- durées de conservation copiées sans justification réelle
- oubli des sous-traitants : hébergeur, CRM, outil de paie
- finalités trop vagues ou plusieurs finalités mélangées dans une seule fiche
- registre jamais mis à jour après un changement d’outil
- absence de lien avec la politique de confidentialité publiée en ligne
Cette dernière erreur est plus fréquente qu’on ne le pense. Le registre interne et les informations données aux personnes concernées doivent raconter la même histoire. Vous pouvez vous appuyer sur notre exemple de politique de confidentialité RGPD pour vérifier cette cohérence entre vos documents.
Notre avis
Nous recommandons de ne jamais démarrer un registre RGPD à partir d’une page blanche. Dans nos missions de DPO externalisé, les entreprises qui partent d’un exemple rempli, comme les deux fiches présentées ci-dessus, terminent leur registre trois à quatre fois plus vite que celles qui partent d’un tableau vide. Notre bémol : un registre recopié sans revue par un professionnel donne un faux sentiment de sécurité, car les bases légales sont souvent mal choisies. Nous voyons encore régulièrement des PME cocher « intérêt légitime » pour des traitements RH qui relèvent en réalité d’une obligation légale, une confusion qui peut coûter cher lors d’un contrôle CNIL.
Notre conseil pratique : commencez par les deux ou trois traitements les plus sensibles de votre activité, comme la paie, le CRM ou la vidéosurveillance le cas échéant. Rédigez-les intégralement sur ce modèle, puis élargissez progressivement aux autres traitements. Un registre construit traitement par traitement tient mieux dans la durée qu’un document rempli en une seule fois sous la pression d’un audit.
Testez vos connaissances
- Le registre RGPD est-il obligatoire pour toutes les entreprises ?
Réponse : oui dans la grande majorité des cas, la dispense pour moins de 250 salariés ne s’applique qu’aux traitements réellement occasionnels et non sensibles. - Peut-on recopier un exemple de registre RGPD rempli tel quel ?
Réponse : non, chaque fiche doit être adaptée aux traitements réels de l’entreprise, sous peine de document juridiquement inexact. - Qui doit mettre à jour le registre des traitements ?
Réponse : le responsable de traitement ou le DPO, à chaque nouveau traitement ou changement d’outil, avec une revue annuelle recommandée.
Questions fréquentes
Qu’est-ce qu’un registre RGPD rempli exactement ?
C’est un registre des traitements dans lequel chaque fiche est intégralement complétée : finalité, base légale, données collectées, destinataires, durée de conservation et mesures de sécurité. Contrairement à un modèle vierge, il illustre concrètement comment documenter un traitement réel. Cela aide les entreprises à comprendre le niveau de précision attendu par la CNIL avant de rédiger leur propre registre.
Le registre RGPD est-il obligatoire pour une petite entreprise ?
Oui dans la majorité des cas. La dispense prévue pour les structures de moins de 250 salariés ne concerne que les traitements occasionnels, sans risque et sans données sensibles. Or la plupart des PME traitent des données RH, commerciales ou clients de façon régulière, ce qui les rend concernées par l’obligation de tenir un registre, quelle que soit leur taille.
Combien de temps conserver les données mentionnées dans le registre ?
La durée dépend du traitement : environ 5 ans après le départ d’un salarié pour la paie, 3 ans après le dernier contact pour la prospection commerciale, ou la durée légale imposée par un texte spécifique. Chaque durée doit être justifiée et indiquée précisément dans la fiche correspondante du registre.
Qui doit rédiger et signer le registre des traitements ?
Le responsable de traitement, souvent le dirigeant ou le DPO désigné, est responsable du contenu du registre. Il peut déléguer la rédaction à un consultant RGPD externe, mais reste juridiquement responsable de son exactitude. Aucune signature formelle n’est exigée par le RGPD, mais le document doit être daté et régulièrement mis à jour.
Faut-il transmettre le registre RGPD à la CNIL ?
Non, le registre n’est pas à envoyer spontanément à la CNIL. Il doit en revanche être tenu à disposition et présenté immédiatement en cas de contrôle. C’est un document interne de pilotage de la conformité, pas une déclaration administrative à déposer, contrairement à l’ancienne obligation de déclaration préalable qui existait avant le RGPD.