Cette question revient souvent chez nos clients dirigeants : qui a réellement le droit de consulter le registre des activités de traitement RGPD ? La réponse est plus restrictive qu’on ne le croit généralement. Ce registre est un document de preuve interne, pas un document public, et son accès doit être limité aux personnes qui en ont réellement besoin. Nous détaillons ici les règles précises, poste par poste, pour éviter les erreurs de gouvernance des données.
À retenir
- Le registre n’est pas public : aucune obligation de le diffuser aux salariés ou aux clients.
- Le responsable de traitement et le DPO y ont un accès plein et entier.
- La CNIL peut exiger sa présentation à tout moment lors d’un contrôle.
- Chaque sous-traitant tient son propre registre, distinct de celui du client.
- Un accès mal maîtrisé au registre est un risque de sécurité à part entière.
Qu’est-ce que le registre des activités de traitement RGPD ?
Le registre des activités de traitement est un document imposé par l’article 30 du RGPD. Il recense, pour chaque traitement de données personnelles réalisé par l’organisme, la finalité poursuivie, les catégories de données collectées, les destinataires, les durées de conservation et les mesures de sécurité mises en place. C’est la pièce maîtresse de la démonstration de conformité, celle que toute entreprise doit pouvoir produire en cas de contrôle. Nous revenons en détail sur cette obligation de registre RGPD et sur les organismes concernés dans un article dédié.
Contrairement à une idée reçue, ce registre n’est pas réservé aux grandes entreprises. Dès qu’un traitement est régulier, qu’il porte sur des données sensibles ou qu’il présente un risque pour les personnes concernées, l’obligation s’applique, quelle que soit la taille de la structure.
Qui peut consulter le registre des activités de traitement RGPD en interne ?
En interne, l’accès au registre doit rester encadré et limité aux personnes qui en ont un besoin fonctionnel réel. Un registre consultable par tout le personnel perd sa valeur de document de gouvernance et devient un risque de sécurité. Les profils suivants disposent d’un accès légitime :
- Le responsable de traitement : dirigeant, représentant légal ou toute personne mandatée pour engager la responsabilité de l’organisme.
- Le délégué à la protection des données (DPO), qu’il soit interne ou externalisé, qui pilote et met à jour le document.
- Les services directement impliqués dans la conformité : direction juridique, RSSI, responsable qualité.
- Les responsables métiers, pour la partie du registre concernant leurs propres traitements (RH, marketing, informatique).
- Les personnes explicitement habilitées par une procédure d’accès écrite, par exemple lors d’un audit interne.
La CNIL peut-elle demander à consulter le registre ?
Oui, et c’est même la principale raison d’être de ce document. L’article 58 du RGPD donne à la CNIL un pouvoir d’accès direct au registre, sur simple demande, dans le cadre d’un contrôle sur place, sur pièces ou en ligne. Aucun délai légal minimal n’est imposé : l’entreprise doit pouvoir présenter son registre rapidement, souvent sous quelques jours. Ce contrôle peut intervenir à la suite d’une plainte, d’une fuite de données ou d’un contrôle aléatoire du secteur d’activité.
Il ne s’agit pas d’une simple formalité administrative. Un registre absent, incomplet ou manifestement bâclé constitue en lui-même un manquement, indépendamment de la conformité réelle des traitements concernés.
Le registre est-il accessible aux salariés, clients ou partenaires ?
Non, pas de façon automatique. Le registre des activités de traitement n’est pas un document public et l’entreprise n’a aucune obligation de le publier ou de le remettre spontanément à un salarié, un client ou un fournisseur. Il ne faut pas confondre le registre global de l’entreprise avec le droit d’accès individuel prévu par l’article 15 du RGPD, qui permet à toute personne de demander les informations qui la concernent personnellement. Pour situer ce document dans l’ensemble du texte européen, notre article pour consulter le RGPD et son texte officiel reste une bonne base de référence.
Rien n’empêche en revanche une entreprise de communiquer volontairement un extrait synthétique de son registre, dans une logique de transparence commerciale ou lors d’un audit de sécurité mené par un partenaire. C’est une démarche choisie, jamais une obligation légale.
Faut-il partager le registre avec un sous-traitant ou un partenaire ?
Chaque sous-traitant a l’obligation de tenir son propre registre, distinct de celui du responsable de traitement qui le mandate. Le responsable de traitement n’a pas à donner un accès complet à son registre pour que la relation contractuelle soit conforme. Ce qui compte, c’est que le contrat ou la clause de sous-traitance décrive précisément les traitements confiés, leurs finalités et les garanties de sécurité exigées.
Dans certains cas, un client important ou un donneur d’ordre peut demander, dans le cadre d’un audit fournisseur, à consulter les entrées du registre qui le concernent directement. Cette communication reste ciblée sur les traitements pertinents, pas sur l’intégralité du document.
Comment sécuriser et organiser l’accès au registre en interne ?
La gestion des accès au registre mérite autant de rigueur que sa rédaction. Un fichier Excel partagé sans restriction, envoyé par email à toute l’équipe, est une pratique que nous déconseillons systématiquement en mission. Un registre bien tenu mais mal protégé expose l’entreprise à une fuite de données sur ses propres traitements, ce qui est particulièrement contre-productif. Voici les bonnes pratiques que nous recommandons :
- Désigner un propriétaire unique du document, généralement le DPO, chargé de sa mise à jour.
- Utiliser un outil avec gestion des droits d’accès plutôt qu’un fichier bureautique ouvert.
- Tenir un journal des consultations et des modifications apportées au registre.
- Revoir les habilitations au moins une fois par an, notamment lors des départs et arrivées.
- Former les personnes habilitées à la confidentialité du document.
Pour construire ou faire évoluer ce document dans les règles, notre modèle de registre de traitement RGPD détaille la structure attendue et les rubriques à ne jamais oublier.
Que risque une entreprise qui refuse de présenter son registre à la CNIL ?
Le refus ou l’incapacité à présenter le registre lors d’un contrôle est traité comme un manquement à part entière. La CNIL commence en général par une mise en demeure, avec un délai pour se mettre en conformité. En cas de manquement persistant, l’sanction peut aller jusqu’à une amende administrative au titre de l’article 83 du RGPD, indépendamment des autres griefs constatés. À cela s’ajoute un risque réputationnel non négligeable, notamment si le contrôle fait suite à une plainte publique ou à un incident de sécurité médiatisé.
Notre avis
À notre expérience, la question de l’accès au registre est trop souvent traitée après coup, une fois le document rédigé, alors qu’elle devrait être pensée dès le départ. Nous avons vu chez un client francilien un registre parfaitement rédigé, mais stocké sur un lecteur réseau accessible à 40 collaborateurs sans distinction de service : en cas de contrôle, l’entreprise n’aurait jamais pu démontrer une gouvernance sérieuse de ses accès. Notre recommandation est simple : limitez l’accès en écriture au DPO et au responsable de traitement, et gardez une trace de chaque consultation. Si votre structure n’a pas les ressources internes pour cette gouvernance, un accompagnement via un consultant RGPD externe reste souvent plus rentable qu’une sanction évitée de justesse.
Testez vos connaissances
- Le registre des activités de traitement RGPD est-il un document public ?
Réponse : non, il s’agit d’un document interne de preuve, sans obligation légale de publication ou de diffusion générale. - Qui peut exiger la présentation du registre à tout moment ?
Réponse : la CNIL, dans le cadre de son pouvoir de contrôle prévu à l’article 58 du RGPD. - Un salarié peut-il consulter l’intégralité du registre de son employeur ?
Réponse : non, il peut seulement exercer son droit d’accès individuel à ses propres données, prévu à l’article 15.
Questions fréquentes
Qui doit tenir le registre des activités de traitement RGPD ?
Toute entreprise ou organisme qui traite des données personnelles de façon régulière, qui manipule des données sensibles ou dont le traitement présente un risque pour les personnes doit tenir un registre. Le responsable de traitement en est garant, mais chaque sous-traitant doit également tenir le sien, propre à sa relation contractuelle.
Le registre RGPD doit-il être communiqué à la CNIL spontanément ?
Non, il n’y a pas d’obligation de transmission spontanée. Le registre doit en revanche être présenté sans délai excessif dès que la CNIL en fait la demande, dans le cadre d’un contrôle sur place, sur pièces ou en ligne, conformément à ses pouvoirs d’investigation prévus par le RGPD.
Un salarié peut-il demander à voir le registre de son employeur ?
Un salarié ne dispose pas d’un droit automatique de consultation du registre complet. Il peut en revanche exercer son droit d’accès individuel, qui lui permet d’obtenir les informations relatives aux traitements portant sur ses propres données personnelles, comme son dossier RH ou sa messagerie professionnelle.
Le DPO externalisé a-t-il accès au registre au même titre qu’un DPO interne ?
Oui, un DPO externalisé doit disposer du même niveau d’accès qu’un DPO interne pour exercer sa mission correctement. Cet accès est généralement formalisé dans la lettre de mission ou le contrat de prestation, avec des engagements de confidentialité équivalents à ceux d’un salarié.
Que doit contenir le registre pour être conforme à l’article 30 du RGPD ?
Le registre doit mentionner, pour chaque traitement, la finalité, les catégories de données et de personnes concernées, les destinataires, les éventuels transferts hors Union européenne, les durées de conservation et une description des mesures de sécurité techniques et organisationnelles mises en œuvre.