Beaucoup de dirigeants pensent que le registre des traitements ne concerne que les grandes entreprises ou les organismes publics. C’est une erreur qui coûte cher en cas de contrôle. Depuis l’entrée en application du RGPD en 2018, le registre est un document de preuve central : il matérialise la conformité de votre entreprise et sert de premier justificatif demandé par la CNIL en cas de contrôle. Comprendre qui est concerné, ce que le registre doit contenir et quels risques pèsent sur les entreprises qui s’en passent permet d’éviter des sanctions lourdes et d’installer une gouvernance des données sérieuse.
À retenir
- Le registre des traitements est obligatoire pour la quasi-totalité des entreprises.
- L’exemption des moins de 250 salariés est très restrictive dans la pratique.
- Le registre doit lister finalités, données, destinataires et durées de conservation.
- L’absence de registre expose à une amende CNIL jusqu’à 4% du chiffre d’affaires.
- Le registre doit être mis à jour à chaque nouveau traitement de données.
Qu’est-ce que le registre obligatoire RGPD exactement ?
Le registre des activités de traitement est prévu par l’article 30 du RGPD. C’est un document, papier ou numérique, qui recense tous les traitements de données personnelles réalisés par une organisation. Il ne s’agit pas d’un simple exercice administratif : c’est l’outil de pilotage qui permet de démontrer, à tout moment, que votre entreprise sait quelles données elle traite, pourquoi et comment elle les protège.
Concrètement, chaque traitement (paie, recrutement, gestion commerciale, vidéosurveillance, newsletter) fait l’objet d’une fiche dédiée dans le registre. Pour comprendre la logique de construction de ces fiches, un exemple concret de registre RGPD reste le meilleur point de départ avant de se lancer.
Qui doit tenir un registre des traitements ?
La réponse est simple : presque toutes les structures, publiques comme privées, association comprise, doivent tenir un registre dès lors qu’elles traitent des données personnelles. Cela concerne une entreprise dès sa création, un indépendant qui gère un fichier clients, une association qui recense ses adhérents ou une collectivité qui gère les dossiers de ses administrés.
Le RGPD prévoit une exemption pour les structures de moins de 250 salariés. Mais cette exemption est en réalité très rarement applicable, ce que nous détaillons ci-dessous. Pour une vue d’ensemble des obligations et du calendrier de mise en conformité, notre guide complet sur le registre RGPD détaille chaque étape.
L’exemption des moins de 250 salariés, vraiment applicable ?
L’article 30.5 du RGPD prévoit une dispense pour les organisations de moins de 250 salariés. En pratique, cette dispense saute dès que l’une de ces conditions est remplie :
- le traitement n’est pas occasionnel (la paie ou la gestion des clients sont considérées comme récurrentes)
- le traitement présente un risque pour les droits et libertés des personnes
- le traitement porte sur des données sensibles (santé, origine, opinions) ou sur des condamnations pénales
Dans les faits, la quasi-totalité des entreprises françaises, y compris les TPE, sortent immédiatement du champ de l’exemption dès qu’elles gèrent une paie ou un fichier clients. La CNIL recommande d’ailleurs à toutes les structures, sans exception, de tenir un registre, même minimaliste.
Que doit contenir un registre RGPD conforme ?
Pour chaque traitement recensé, le registre doit préciser plusieurs éléments imposés par le RGPD. Une fiche de registre complète comporte généralement :
- le nom et les coordonnées du responsable de traitement (et du DPO le cas échéant)
- la finalité du traitement, c’est-à-dire pourquoi ces données sont collectées
- les catégories de données et de personnes concernées
- les destinataires des données, internes et externes
- la durée de conservation prévue
- les mesures de sécurité techniques et organisationnelles mises en place
- les éventuels transferts hors Union européenne
Un registre incomplet ou trop vague ne protège pas votre entreprise en cas de contrôle : la CNIL exige un niveau de détail suffisant pour vérifier la réalité de la conformité. C’est pourquoi s’appuyer sur un exemple concret aide à calibrer le niveau de détail attendu, traitement par traitement.
Comment créer et tenir à jour son registre ?
Créer un registre suit une méthode simple, à condition de procéder par étapes plutôt que de vouloir tout documenter en une seule fois :
- lister tous les traitements existants, service par service (RH, commercial, marketing, informatique)
- désigner un responsable de la mise à jour du registre, souvent le DPO ou un référent interne
- documenter chaque traitement avec les rubriques obligatoires de l’article 30
- vérifier la cohérence avec les mentions d’information et les bases légales utilisées
- planifier une revue régulière, au minimum une fois par an ou à chaque nouveau projet
Le registre n’est jamais figé : il doit évoluer avec l’entreprise, à chaque nouvel outil, nouveau prestataire ou nouvelle campagne marketing. Beaucoup d’entreprises échouent non pas à créer leur registre, mais à le maintenir à jour dans la durée. Pour structurer cette démarche pas à pas, les étapes pour créer et tenir à jour votre registre de traitement offrent une méthode détaillée.
Sur le plan pratique, un tableur suffit pour démarrer, mais il montre vite ses limites dès que le nombre de traitements augmente. Beaucoup d’entreprises basculent alors vers un logiciel de registre RGPD adapté, qui automatise les relances de mise à jour et centralise les preuves de conformité.
Que risque une entreprise sans registre RGPD ?
L’absence de registre, ou un registre manifestement incomplet, constitue un manquement à l’article 30 du RGPD. La CNIL peut prononcer une amende administrative pouvant atteindre 10 millions d’euros ou 2% du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu.
Au-delà de la sanction financière, le registre absent complique aussi tout le reste de la conformité : sans lui, difficile de répondre à une demande de droit d’accès, de démontrer la conformité lors d’un contrôle ou de rassurer un client qui audite ses fournisseurs avant signature. En pratique, le registre est souvent la première pièce demandée lors d’un contrôle CNIL, avant même d’entrer dans le détail des traitements.
Registre du responsable de traitement et registre du sous-traitant : quelle différence ?
Une entreprise peut se trouver des deux côtés : responsable de traitement pour ses propres fichiers (RH, clients), et sous-traitant lorsqu’elle traite des données pour le compte d’un client (hébergeur, agence marketing, prestataire de paie).
Le contenu du registre diffère selon le rôle : le sous-traitant documente les catégories de traitements réalisés pour chaque client, alors que le responsable de traitement documente la finalité et la base légale de ses propres traitements. Une agence ou un prestataire qui traite des données pour plusieurs clients doit donc tenir un registre des sous-traitants distinct de son registre en tant que responsable de traitement.
Notre avis
À notre expérience, la majorité des entreprises que nous accompagnons découvrent qu’elles n’étaient pas exemptées qu’après un premier échange avec un DPO externe, souvent des TPE de moins de dix salariés persuadées d’être hors champ. Nous recommandons de ne jamais se fier à la taille de l’entreprise pour juger de l’obligation : la nature des traitements, comme la paie, la vidéosurveillance ou un simple fichier clients, suffit presque toujours à la déclencher.
Notre bémol : beaucoup de registres que nous reprenons ont été remplis une fois puis oubliés pendant deux ou trois ans, ce qui les rend inutilisables en cas de contrôle. Notre conseil concret : caler la revue du registre sur un événement récurrent déjà existant dans l’entreprise, comme la clôture comptable annuelle, plutôt que de compter sur une bonne résolution qui ne sera jamais tenue.
Testez vos connaissances
- Une TPE de 8 salariés qui gère une paie doit-elle tenir un registre ?
Réponse : oui, la gestion de la paie n’est pas occasionnelle, l’exemption des moins de 250 salariés ne s’applique donc pas. - Quel article du RGPD impose le registre des traitements ?
Réponse : l’article 30 du RGPD, qui liste les mentions obligatoires que doit contenir chaque fiche de traitement. - Le registre doit-il être transmis spontanément à la CNIL ?
Réponse : non, il doit seulement être disponible et présenté sur demande en cas de contrôle.
Questions fréquentes
Qu’est-ce qu’un registre obligatoire RGPD ?
Le registre obligatoire RGPD est un document imposé par l’article 30 du RGPD qui recense tous les traitements de données personnelles d’une organisation : leur finalité, les données concernées, les destinataires, la durée de conservation et les mesures de sécurité appliquées. Il sert de preuve de conformité lors d’un contrôle de la CNIL.
Quelles entreprises sont exemptées du registre RGPD ?
Seules les structures de moins de 250 salariés dont les traitements sont occasionnels, sans risque pour les personnes et sans données sensibles peuvent être exemptées. En pratique, une entreprise qui gère une paie ou un fichier clients sort immédiatement de cette exemption, ce qui rend l’obligation quasi universelle.
Quelles sanctions en cas d’absence de registre RGPD ?
L’absence de registre est un manquement sanctionné par la CNIL, avec une amende pouvant atteindre 10 millions d’euros ou 2% du chiffre d’affaires mondial annuel. Le registre est aussi la première pièce demandée lors d’un contrôle, son absence aggrave donc l’image de non-conformité de l’entreprise.
Le registre RGPD doit-il être communiqué à la CNIL ou rendu public ?
Non, le registre n’est ni public ni transmis spontanément à la CNIL. Il doit simplement être disponible et présenté sur demande en cas de contrôle. Certaines personnes en interne, comme le DPO ou la direction, peuvent le consulter pour piloter la conformité.
Qui doit mettre à jour le registre des traitements ?
La mise à jour incombe au responsable de traitement, généralement délégué au DPO ou à un référent RGPD interne. Chaque nouveau traitement, nouvel outil ou nouveau prestataire doit être ajouté au registre, idéalement lors d’une revue régulière, au minimum annuelle.