À retenir
- Le registre est obligatoire pour la quasi-totalité des entreprises, y compris les TPE.
- Il existe deux modèles : responsable de traitement et sous-traitant.
- Chaque fiche doit lister finalité, données, destinataires et durée de conservation.
- Un registre non tenu à jour expose à des sanctions de la CNIL.
- Un tableur suffit au départ, un logiciel dédié facilite la mise à jour.
Qu’est-ce que le registre de traitement RGPD ?
Le registre de traitement RGPD est un document qui répertorie l’ensemble des opérations réalisées sur des données personnelles au sein d’une organisation. Il s’agit de la pièce maîtresse de la conformité, exigée par l’article 30 du RGPD. On y trouve, pour chaque activité (recrutement, paie, gestion clients, vidéosurveillance, prospection commerciale), une fiche descriptive détaillée.
Ce registre n’est pas un simple exercice administratif. Il sert de cartographie interne pour identifier les risques, prioriser les actions de mise en conformité et répondre rapidement en cas de contrôle de la CNIL. Beaucoup d’entreprises découvrent en le rédigeant qu’elles traitent plus de données qu’elles ne le pensaient, via des outils marketing, des prestataires ou des fichiers Excel oubliés.
Qui est concerné par l’obligation de tenir un registre ?
Le RGPD prévoit en théorie une dérogation pour les structures de moins de 250 salariés. Dans la pratique, cette dérogation ne s’applique presque jamais. Dès qu’un traitement est régulier, porte sur des données sensibles ou présente un risque pour les droits des personnes, le registre devient obligatoire, quelle que soit la taille de l’entreprise.
Sont donc concernés :
- les entreprises qui gèrent des fichiers clients ou prospects,
- les employeurs qui traitent des données RH (paie, recrutement, entretiens),
- les professions libérales manipulant des données de santé ou juridiques,
- les associations gérant des adhérents ou des bénévoles,
- les collectivités et administrations publiques, sans exception.
En résumé, il est plus rapide de lister les structures qui n’ont pas besoin de registre que celles qui en ont besoin. Pour approfondir ce point, notre article sur l’obligation de registre RGPD détaille les cas particuliers et les rares exceptions reconnues.
Que doit contenir un registre des activités de traitement ?
Le contenu du registre dépend du rôle de l’organisation : responsable de traitement ou sous-traitant. Les deux registres partagent une logique commune, mais les mentions exigées diffèrent légèrement.
Les mentions obligatoires côté responsable de traitement
Pour chaque traitement, la fiche doit préciser :
- le nom et les coordonnées du responsable de traitement,
- la finalité précise du traitement (ex. gestion de la paie),
- les catégories de personnes concernées et de données traitées,
- les destinataires internes et externes des données,
- les éventuels transferts hors Union européenne,
- les durées de conservation applicables,
- une description générale des mesures de sécurité mises en place.
Les mentions obligatoires côté sous-traitant
Si l’entreprise traite des données pour le compte d’un client (hébergeur, prestataire marketing, cabinet comptable), elle doit tenir un registre spécifique. Ce registre liste les traitements effectués pour chaque client, les catégories de traitements réalisés et les garanties de sécurité offertes. Il complète, sans le remplacer, le registre du client en tant que responsable de traitement.
Comment créer son registre de traitement étape par étape ?
La construction d’un registre suit une méthode simple, à condition de procéder par étapes plutôt que de vouloir tout formaliser d’un coup.
- Lister tous les services et processus de l’entreprise qui manipulent des données personnelles (RH, commercial, marketing, IT, comptabilité).
- Interroger chaque responsable de service pour identifier les outils, fichiers et logiciels utilisés.
- Rédiger une fiche par traitement, en reprenant les mentions obligatoires vues plus haut.
- Vérifier les durées de conservation avec un juriste ou un DPO externe si un doute subsiste.
- Faire valider l’ensemble par la direction avant diffusion interne.
Beaucoup d’entreprises s’appuient sur un modèle existant pour gagner du temps. Notre modèle de registre de traitement RGPD propose une trame prête à l’emploi, adaptable à la plupart des activités.
Quel format choisir pour son registre RGPD ?
La CNIL n’impose aucun format précis. L’essentiel est que le document soit exploitable, à jour et accessible en cas de contrôle. Trois options coexistent, chacune adaptée à une taille d’organisation différente.
- Un tableur (Excel, Google Sheets) : suffisant pour une TPE avec peu de traitements.
- Un modèle Word structuré par fiches : pratique pour documenter en détail chaque traitement.
- Un logiciel spécialisé de gestion RGPD : recommandé dès que l’organisation compte plusieurs services ou plusieurs sites.
Le choix du format dépend surtout du nombre de traitements à suivre et de la fréquence des mises à jour. Une entreprise en forte croissance a tout intérêt à investir dans un outil dédié dès le départ, plutôt que de reconstruire son registre chaque année.
Comment tenir son registre à jour dans la durée ?
Un registre rédigé une seule fois puis oublié perd rapidement toute valeur. La tenue à jour du registre est une obligation continue, pas un exercice ponctuel réalisé une fois pour toutes. Chaque nouveau logiciel, chaque nouveau prestataire ou chaque nouvelle campagne marketing doit déclencher une mise à jour.
Quelques bonnes pratiques permettent de maintenir un registre fiable :
- désigner un référent interne chargé de centraliser les évolutions,
- programmer une revue annuelle systématique avec tous les services,
- ajouter une case à cocher dans le processus d’achat de tout nouvel outil,
- archiver les versions successives pour prouver la traçabilité en cas de contrôle.
Savoir qui peut accéder au registre fait aussi partie de la bonne gestion documentaire. Notre article dédié à la consultation du registre des activités de traitement précise les droits d’accès de la CNIL, des salariés et des tiers.
Quels sont les risques en cas d’absence de registre ?
L’absence de registre, ou un registre incomplet, figure parmi les manquements les plus fréquemment relevés lors des contrôles de la CNIL. Les sanctions peuvent atteindre plusieurs millions d’euros pour les manquements les plus graves, et bien plus modestes mais réelles pour les petites structures négligentes.
Au-delà de l’amende, un registre absent complique toute réaction en cas de violation de données : sans cartographie claire, impossible de savoir rapidement quelles données sont concernées, ni qui prévenir. Le registre devient alors un outil de gestion de crise autant qu’un document de conformité.
Faut-il faire appel à un DPO externe pour son registre ?
Rédiger un registre seul est possible pour une petite structure aux traitements simples. Dès que l’entreprise gère plusieurs services, des données sensibles ou des sous-traitants multiples, l’accompagnement d’un professionnel devient précieux. Un DPO externe apporte un regard expert, identifie les traitements oubliés et sécurise les formulations juridiques attendues par la CNIL.
Il assure aussi la mise à jour régulière du document, souvent négligée en interne faute de temps. Avant de choisir un accompagnement, il est utile de comparer les profils : notre guide pour choisir le bon expert RGPD donne les critères essentiels pour évaluer un consultant avant de le mandater.
Testez vos connaissances
- Le registre de traitement RGPD est-il obligatoire pour toutes les entreprises ?
Réponse : oui dans la grande majorité des cas, dès qu’un traitement est régulier ou présente un risque, la dérogation pour moins de 250 salariés étant très rarement applicable. - Quelle est la différence entre le registre du responsable de traitement et celui du sous-traitant ?
Réponse : le premier décrit les finalités et durées de conservation de ses propres traitements, le second liste les traitements réalisés pour le compte de ses clients. - Que risque une entreprise sans registre à jour ?
Réponse : une sanction financière de la CNIL et une gestion plus difficile en cas de violation de données, faute de cartographie claire des traitements.
Questions fréquentes
Le registre de traitement RGPD doit-il être transmis à la CNIL ?
Non, le registre n’est pas envoyé systématiquement à la CNIL. Il doit simplement être disponible et présentable immédiatement en cas de contrôle. Il reste un document interne, mais sa non présentation lors d’un audit constitue en soi un manquement sanctionnable.
Combien de temps faut-il pour créer un registre de traitement ?
Pour une petite structure, quelques jours suffisent avec un modèle adapté. Pour une organisation avec plusieurs services et prestataires, l’élaboration complète prend généralement entre trois et six semaines, réunions internes et validations juridiques incluses.
Le registre RGPD remplace-t-il l’analyse d’impact (AIPD) ?
Non, ce sont deux documents distincts. Le registre recense tous les traitements, tandis que l’analyse d’impact approfondit uniquement les traitements présentant un risque élevé pour les personnes concernées, comme la vidéosurveillance ou le profilage automatisé.
Qui doit remplir le registre de traitement dans l’entreprise ?
La responsabilité finale revient au dirigeant ou au DPO s’il en existe un, mais chaque service doit fournir les informations relatives à ses propres traitements. Une coordination centralisée évite les oublis et les incohérences entre fiches.
Un registre au format Excel est-il suffisant pour être conforme ?
Oui, aucun format n’est imposé par le RGPD. Un tableur bien structuré convient parfaitement à une petite organisation, à condition d’être régulièrement mis à jour et facilement consultable par toute personne habilitée en cas de besoin.