Tenir un registre des traitements est une obligation légale pour la quasi-totalité des entreprises qui collectent des données personnelles, qu’il s’agisse de clients, de salariés ou de prospects. Disposer d’un exemple de registre RGPD rempli permet de visualiser concrètement le niveau de détail attendu, sans avoir à partir d’une page blanche. Dans cet article, nous vous proposons un modèle commenté, fiche par fiche, ainsi que les erreurs à éviter pour que votre registre résiste à un contrôle de la CNIL.
À retenir
- Le registre des traitements est obligatoire pour presque toutes les entreprises.
- Un exemple rempli aide à visualiser la structure attendue par la CNIL.
- Chaque fiche doit préciser finalité, base légale et durée de conservation.
- Le registre doit être mis à jour à chaque évolution d’un traitement.
- Un logiciel dédié facilite la tenue et l’actualisation du registre.
Qu’est-ce qu’un registre des traitements RGPD ?
Le registre des traitements est un document qui recense, de façon structurée, l’ensemble des opérations effectuées sur des données personnelles au sein d’une organisation. Il constitue la pièce centrale de la conformité RGPD, exigée par l’article 30 du règlement européen.
Ce document doit être tenu par :
- toute entreprise employant plus de 250 salariés ;
- toute structure, quelle que soit sa taille, dès lors que le traitement n’est pas occasionnel, qu’il touche des données sensibles ou qu’il présente un risque pour les droits des personnes ;
- en pratique, la quasi-totalité des entreprises, car la gestion de la paie ou d’un fichier clients suffit à rendre le traitement non occasionnel.
Le cadre légal complet de cette obligation est détaillé sur le site de la CNIL, autorité de référence en matière de protection des données.
Pourquoi s’appuyer sur un exemple de registre rempli ?
Beaucoup de dirigeants bloquent devant une page blanche au moment de créer leur registre. S’appuyer sur un exemple concret permet de comprendre le niveau de précision attendu, fiche par traitement, sans se contenter d’une liste vague.
Un modèle rempli présente plusieurs avantages :
- il montre la formulation exacte attendue pour chaque champ obligatoire ;
- il évite les oublis sur les traitements courants (paie, recrutement, vidéosurveillance, prospection) ;
- il sert de base de comparaison lors d’un contrôle interne ou d’un audit ;
- il fait gagner un temps précieux à un chef d’entreprise qui n’est pas juriste.
Pour aller plus loin sur la lecture et la construction pas à pas de ce document, notre guide sur comment lire et construire un registre RGPD détaille chaque étape.
Exemple de registre des traitements RGPD rempli : la structure type
Avant de passer aux exemples concrets, il faut connaître les rubriques obligatoires. Chaque fiche de traitement doit comporter sept informations minimales pour être conforme à l’article 30 du RGPD.
- Nom du traitement : intitulé clair (ex. gestion de la paie).
- Finalité : pourquoi ce traitement existe.
- Base légale : contrat, obligation légale, intérêt légitime, consentement…
- Catégories de données : identité, coordonnées, données de santé, etc.
- Personnes concernées : salariés, clients, prospects, fournisseurs.
- Destinataires : services internes, sous-traitants, organismes sociaux.
- Durée de conservation : durée précise, pas une formule vague.
- Mesures de sécurité : chiffrement, accès restreint, sauvegardes.
Notre modèle commenté de registre RGPD rempli reprend chacune de ces rubriques avec des exemples de formulation prêts à adapter.
Exemple concret : trois fiches de registre remplies
Fiche n°1 : gestion de la paie
- Finalité : établissement des bulletins de salaire et déclarations sociales.
- Base légale : exécution du contrat de travail et obligation légale.
- Données traitées : identité, coordonnées bancaires, numéro de sécurité sociale, rémunération.
- Personnes concernées : salariés de l’entreprise.
- Destinataires : service RH, expert-comptable, URSSAF, organismes de retraite.
- Durée de conservation : 5 ans après le départ du salarié, hors obligations comptables spécifiques.
- Mesures de sécurité : accès restreint au service RH, coffre-fort numérique, sauvegarde chiffrée.
Fiche n°2 : prospection commerciale par email
- Finalité : envoi d’offres commerciales à des prospects.
- Base légale : intérêt légitime pour les prospects professionnels, consentement pour les particuliers.
- Données traitées : nom, fonction, email professionnel, historique des échanges.
- Personnes concernées : prospects et clients.
- Destinataires : équipe commerciale, outil de mailing (sous-traitant).
- Durée de conservation : 3 ans à compter du dernier contact.
- Mesures de sécurité : accès par identifiants nominatifs, lien de désinscription systématique.
Fiche n°3 : vidéosurveillance des locaux
- Finalité : sécurité des biens et des personnes.
- Base légale : intérêt légitime de l’employeur.
- Données traitées : images des personnes filmées.
- Personnes concernées : salariés, visiteurs, clients présents dans les locaux.
- Destinataires : direction, responsable sécurité, forces de l’ordre sur réquisition.
- Durée de conservation : 30 jours maximum, sauf procédure en cours.
- Mesures de sécurité : accès aux enregistrements limité, mots de passe, affichage d’information obligatoire.
Ces trois exemples couvrent des traitements présents dans la majorité des PME. Ils montrent que chaque fiche reste courte, factuelle et directement exploitable en cas de contrôle.
Comment adapter ce modèle à votre entreprise ?
Un exemple générique ne remplace jamais un travail d’adaptation. Chaque entreprise doit ajuster les fiches à ses propres traitements, ses outils et ses sous-traitants réels.
- Listez tous les traitements réalisés, service par service (RH, commercial, marketing, informatique).
- Identifiez la base légale réelle de chaque traitement, sans la deviner.
- Vérifiez les durées de conservation avec les textes applicables à votre secteur.
- Recensez tous les sous-traitants (hébergeur, logiciel de paie, outil CRM).
- Faites valider le registre par un DPO ou un consultant externe avant diffusion.
Pour une méthode complète, notre guide complet pour créer et tenir votre registre des traitements détaille chaque étape avec des modèles réutilisables.
Quelles erreurs éviter dans un registre rempli ?
Un registre mal renseigné n’a aucune valeur en cas de contrôle. La CNIL sanctionne autant l’absence de registre qu’un registre incomplet ou jamais mis à jour.
- copier un exemple générique sans l’adapter à ses propres traitements ;
- oublier de recenser les sous-traitants et les transferts hors Union européenne ;
- indiquer des durées de conservation vagues (indéfini, au besoin) ;
- ne jamais mettre à jour le registre après un nouveau traitement ;
- confondre registre des traitements et politique de confidentialité.
À ce sujet, la question de qui peut consulter le registre des traitements revient souvent : la CNIL peut le demander à tout moment, sans préavis.
Faut-il utiliser un logiciel pour tenir son registre ?
Un tableur suffit pour démarrer, mais il montre vite ses limites. Dès que le nombre de traitements dépasse une dizaine, un logiciel dédié devient plus fiable qu’un fichier partagé.
Un outil spécialisé apporte :
- des rappels automatiques pour les mises à jour et durées de conservation ;
- une traçabilité des modifications, utile en cas de contrôle ;
- des modèles de fiches préremplis par secteur d’activité ;
- un export direct au format attendu lors d’un contrôle.
Pour choisir la solution adaptée à la taille de votre structure, consultez notre comparatif sur comment bien choisir un logiciel de registre RGPD. Le cadre général du règlement européen est par ailleurs consultable sur le site de la Commission européenne.
Notre avis
Nous accompagnons régulièrement des PME qui découvrent, lors d’un premier audit, que leur registre a été rempli une fois puis jamais retouché. À notre expérience, un registre figé depuis sa création est presque aussi risqué qu’une absence totale de registre. Sur une trentaine de missions menées ces deux dernières années, les traitements liés aux outils marketing (CRM, emailing, publicité ciblée) sont ceux qui évoluent le plus vite et qui sont le plus souvent oubliés lors des mises à jour.
Notre recommandation est simple : partez d’un exemple rempli pour gagner du temps sur la structure, mais bloquez une révision trimestrielle dans votre agenda. Un bémol toutefois, les modèles trouvés en ligne restent génériques et ne couvrent jamais les spécificités d’un secteur réglementé (santé, finance, éducation). Dans ces cas, l’accompagnement d’un consultant reste, selon nous, plus rentable qu’un modèle standard mal ajusté.
Testez vos connaissances
- Le registre des traitements est-il obligatoire pour une petite entreprise ?
Réponse : oui dans la grande majorité des cas, dès que le traitement n’est pas occasionnel, ce qui concerne la quasi-totalité des entreprises ayant des salariés ou des clients. - Combien de rubriques minimales doit comporter une fiche de traitement ?
Réponse : sept rubriques, dont la finalité, la base légale, les données traitées et la durée de conservation. - Qui peut demander à consulter le registre d’une entreprise ?
Réponse : la CNIL lors d’un contrôle, et en interne le délégué à la protection des données.
Questions fréquentes
Qu’est-ce qu’un exemple de registre des traitements RGPD rempli ?
C’est un modèle de registre déjà complété, fiche par fiche, avec des exemples concrets de traitements (paie, prospection, vidéosurveillance). Il précise pour chaque traitement la finalité, la base légale, les données collectées, les destinataires, la durée de conservation et les mesures de sécurité. Il sert de référence pour construire ou vérifier son propre registre.
Le registre des traitements est-il obligatoire pour toutes les entreprises ?
Il est obligatoire pour les entreprises de plus de 250 salariés, mais aussi pour les structures plus petites dès que le traitement n’est pas occasionnel, touche des données sensibles ou présente un risque. En pratique, la gestion de la paie ou d’un fichier clients suffit à rendre le registre obligatoire pour presque toutes les entreprises.
Combien de temps faut-il conserver les données mentionnées dans le registre ?
La durée dépend de la finalité du traitement : environ 5 ans après le départ d’un salarié pour la paie, 3 ans après le dernier contact pour la prospection commerciale, ou encore 30 jours pour la vidéosurveillance. Chaque durée doit être justifiée et documentée directement dans la fiche correspondante du registre.
Qui doit rédiger et mettre à jour le registre des traitements ?
La responsabilité revient au responsable de traitement, généralement le dirigeant, avec l’appui du délégué à la protection des données ou d’un consultant RGPD externe. La mise à jour doit intervenir à chaque nouveau traitement ou changement d’outil, idéalement lors d’une revue trimestrielle plutôt qu’une fois par an.