À retenir
- Une fiche de registre RGPD documente un seul traitement de données.
- Elle doit contenir finalité, base légale, données, durée et destinataires.
- Un exemple concret facilite grandement la rédaction de vos propres fiches.
- Le registre complet regroupe l’ensemble des fiches de vos traitements.
- Une fiche incomplète expose l’entreprise en cas de contrôle CNIL.
Qu’est-ce qu’une fiche de registre RGPD ?
Une fiche de registre RGPD est l’unité de base du registre des activités de traitement imposé par l’article 30 du RGPD. Chaque fiche décrit un traitement de données personnelles précis, mené par votre entreprise, du recrutement à la facturation en passant par la gestion de la paie. Elle ne couvre jamais plusieurs traitements à la fois : c’est justement ce qui la rend lisible.
Concrètement, le registre complet n’est rien d’autre qu’une compilation de ces fiches, généralement présentées sous forme de tableau ou de fiche individuelle par traitement. Pour comprendre la logique d’ensemble, notre guide complet pour créer et tenir à jour votre registre de traitement détaille la méthode pas à pas.
Pourquoi s’appuyer sur un exemple avant de rédiger sa fiche ?
Beaucoup de dirigeants bloquent devant une page blanche, faute de repère concret. Un exemple de fiche déjà rempli permet de visualiser le niveau de détail attendu, sans copier un modèle générique inadapté à votre activité. Il sert de gabarit, pas de solution clé en main.
C’est aussi un gain de temps réel : plutôt que de deviner ce que la CNIL attend, vous partez d’une structure validée par la pratique. Vous pouvez ensuite comparer votre brouillon à un cas réel grâce à notre article sur un exemple de registre des traitements rempli avec fiches types.
Que doit contenir une fiche de traitement RGPD ?
L’article 30 du RGPD fixe une liste de mentions obligatoires. Une fiche de registre incomplète ne protège pas l’entreprise en cas de contrôle, même si le registre existe formellement. Voici les rubriques indispensables :
- Nom et coordonnées du responsable de traitement
- Finalité précise du traitement (recrutement, paie, prospection, etc.)
- Base légale (consentement, contrat, obligation légale, intérêt légitime)
- Catégories de personnes concernées (salariés, clients, prospects)
- Catégories de données collectées (identité, coordonnées, données bancaires)
- Destinataires des données (services internes, sous-traitants, partenaires)
- Durée de conservation des données
- Mesures de sécurité techniques et organisationnelles
- Existence éventuelle de transferts hors Union européenne
Exemple de fiche de registre RGPD rempli : cas de la gestion de la paie
Prenons un cas fréquent en entreprise pour illustrer une fiche complète et exploitable.
- Traitement : gestion de la paie des salariés
- Responsable de traitement : société XYZ, représentée par son dirigeant
- Finalité : calcul, versement des salaires et déclarations sociales
- Base légale : exécution du contrat de travail et obligation légale
- Personnes concernées : salariés en poste et anciens salariés
- Données traitées : identité, coordonnées bancaires, salaire, numéro de sécurité sociale
- Destinataires : service RH, expert comptable, organismes sociaux
- Durée de conservation : 5 ans après le départ du salarié
- Mesures de sécurité : accès restreint, mots de passe individuels, sauvegardes chiffrées
Cette fiche tient sur une seule page et reste compréhensible par un contrôleur externe. C’est précisément ce niveau de synthèse, ni trop vague ni trop bavard, qui distingue une bonne fiche d’un registre bâclé. Pour aller plus loin, vous pouvez consulter un second exemple de registre RGPD rempli avec modèle commenté couvrant d’autres traitements courants.
Comment adapter cet exemple à votre propre entreprise ?
Un exemple de fiche n’est jamais transposable tel quel : chaque entreprise a ses propres traitements, sous-traitants et durées de conservation. Adapter l’exemple signifie recenser d’abord tous vos traitements réels, un par un, avant de remplir la moindre fiche.
Commencez par lister les services de votre entreprise (RH, commercial, comptabilité, IT) et interrogez chacun sur les données qu’il manipule. Notre article sur comment lire et construire un registre RGPD pour votre entreprise propose une méthode complète pour ce recensement initial.
Si votre volume de traitements dépasse la dizaine de fiches, un tableur devient vite limité. Un outil dédié permet alors de centraliser les mises à jour et les alertes de révision. Pour choisir le bon outil, appuyez-vous sur notre comparatif pour bien choisir votre logiciel de registre RGPD.
Quelles erreurs éviter en rédigeant vos fiches de registre ?
Certaines erreurs reviennent systématiquement dans les registres que nous auditons. La plus fréquente reste la base légale mal identifiée, notamment la confusion entre consentement et intérêt légitime. Voici les pièges les plus courants :
- Regrouper plusieurs traitements différents sur une seule fiche
- Indiquer une durée de conservation vague comme « indéterminée »
- Oublier de mentionner les sous-traitants (hébergeur, logiciel de paie)
- Ne jamais mettre à jour la fiche après un changement d’outil
- Copier un modèle générique sans vérifier sa pertinence pour l’activité
Sachez également que le registre n’est pas un document confidentiel au sens strict. En cas de doute sur sa diffusion, notre article sur qui peut consulter le registre des activités de traitement répond précisément à cette question.
Notre avis
Nous recommandons systématiquement à nos clients de démarrer par trois ou quatre fiches maximum, celles des traitements les plus sensibles (paie, recrutement, clients), plutôt que de vouloir tout documenter d’un coup. Sur les vingt dernières missions d’accompagnement que nous avons menées, les entreprises qui ont voulu remplir un registre complet en une seule séance ont presque toutes abandonné avant la dixième fiche. Le bémol de l’exemple type : il rassure trop vite, alors que la difficulté réelle se situe dans le recensement des traitements cachés, ceux gérés par un prestataire externe ou un outil SaaS que personne ne pense à déclarer.
Testez vos connaissances
- Une fiche de registre RGPD peut-elle regrouper plusieurs traitements ?
Réponse : non, chaque fiche décrit un seul traitement de données personnelles précis. - Quelle mention est obligatoire sur toute fiche selon l’article 30 du RGPD ?
Réponse : la base légale du traitement, parmi consentement, contrat, obligation légale ou intérêt légitime. - Un exemple de fiche générique suffit-il pour un registre conforme ?
Réponse : non, il doit être adapté aux traitements réels et aux sous-traitants propres à l’entreprise.
Questions fréquentes
Combien de fiches faut-il dans un registre RGPD ?
Cela dépend du nombre de traitements réels de l’entreprise : une PME en compte souvent entre 10 et 25, une grande structure peut en avoir plus de 50.
Qui doit rédiger les fiches de registre RGPD ?
Le responsable de traitement en porte la responsabilité légale, mais le DPO ou un consultant externe coordonne généralement la rédaction avec chaque service concerné.
Une fiche de registre doit-elle être mise à jour régulièrement ?
Oui, dès qu’un traitement change (nouvel outil, nouveau sous-traitant, nouvelle finalité), la fiche correspondante doit être révisée sans délai.