Toute entreprise qui traite des données personnelles, qu’il s’agisse de salariés, de clients ou de prospects, doit pouvoir démontrer sa conformité au RGPD. Le registre des activités de traitement est l’outil central de cette démonstration. Sans registre à jour, impossible de prouver que vos traitements sont maîtrisés en cas de contrôle de la CNIL. Cet article explique qui est concerné, ce que le registre doit contenir et comment le mettre en place concrètement.
À retenir
- Le registre RGPD recense tous les traitements de données personnelles de l’entreprise.
- Il est obligatoire pour la quasi-totalité des organisations, publiques et privées.
- La CNIL peut l’exiger à tout moment lors d’un contrôle.
- Un modèle de registre facilite sa création et sa mise à jour.
- L’absence de registre expose à des sanctions financières importantes.
Qu’est-ce que le registre RGPD ?
Le registre RGPD, ou registre des activités de traitement, est un document qui liste et décrit chaque traitement de données personnelles mis en œuvre par une organisation. Il est prévu par l’article 30 du RGPD. Ce n’est pas un simple document administratif : c’est la colonne vertébrale de votre conformité, qui sert de base à toutes les autres obligations, comme l’analyse d’impact, l’information des personnes ou la gestion des sous-traitants. Chaque ligne du registre correspond à une activité de traitement précise : gestion de la paie, prospection commerciale, vidéosurveillance, gestion des candidatures, entre autres.
Qui est concerné par l’obligation de tenir un registre ?
L’obligation de registre s’applique très largement. Contrairement à une idée reçue, elle ne concerne pas uniquement les grandes entreprises. Toute structure, quelle que soit sa taille, qui traite des données personnelles de façon régulière doit tenir un registre.
Sont notamment concernés :
- les entreprises privées, quels que soient leur taille et leur secteur
- les associations qui gèrent des fichiers d’adhérents ou de donateurs
- les collectivités territoriales et les administrations publiques
- les professions libérales, comme les avocats, médecins ou experts comptables
- les auto-entrepreneurs, dès lors qu’ils traitent des données de clients
Une exemption existe pour les organismes de moins de 250 salariés, mais elle reste en pratique très limitée : elle ne s’applique que si le traitement est occasionnel, ne présente pas de risque pour les personnes et ne porte pas sur des données sensibles. Notre article dédié à l’obligation de registre détaille les cas concrets d’exemption.
Que doit contenir le registre des traitements ?
Le contenu minimal du registre est fixé par le RGPD lui-même. Un registre incomplet n’a pas de valeur juridique face à un contrôle de la CNIL. Pour chaque traitement, vous devez renseigner :
- la finalité du traitement, autrement dit pourquoi vous collectez ces données
- les catégories de personnes concernées : salariés, clients, prospects…
- les catégories de données traitées : identité, coordonnées, données bancaires…
- les destinataires des données : services internes, prestataires, partenaires
- les éventuels transferts de données hors Union européenne
- la durée de conservation de chaque catégorie de données
- les mesures de sécurité mises en place : chiffrement, accès restreint, sauvegardes
Ce niveau de détail explique pourquoi beaucoup d’entreprises se perdent dans la rédaction. Utiliser un modèle de registre de traitement RGPD déjà structuré permet de gagner un temps considérable et d’éviter les oublis.
Comment créer son registre RGPD étape par étape ?
Créer un registre RGPD suit une méthode assez simple, à condition de procéder par étapes.
- Cartographier tous les traitements existants en interrogeant chaque service : RH, commercial, marketing, IT.
- Documenter chaque traitement selon les rubriques obligatoires de l’article 30.
- Identifier la base légale de chaque traitement : contrat, obligation légale, intérêt légitime ou consentement.
- Vérifier les durées de conservation appliquées et les corriger si besoin.
- Recenser les sous-traitants et vérifier l’existence de clauses RGPD dans les contrats.
- Mettre à jour le registre à chaque nouveau traitement ou changement significatif.
La cartographie initiale est l’étape la plus chronophage, mais aussi la plus déterminante pour la fiabilité du registre. Beaucoup d’entreprises découvrent à cette occasion des traitements dont elles n’avaient pas conscience, comme un outil marketing tiers ou une solution de vidéosurveillance installée sans validation juridique.
Registre du responsable de traitement et registre du sous-traitant : quelle différence ?
Le RGPD distingue deux types de registre. Le responsable de traitement tient un registre de tous les traitements dont il détermine les finalités et les moyens. Le sous-traitant, lui, tient un registre des catégories de traitements réalisés pour le compte de ses clients. Une entreprise peut donc être responsable de traitement pour ses données RH et sous-traitant pour une prestation qu’elle réalise chez un client. Dans ce cas, elle doit tenir les deux registres, avec un contenu différent pour chacun.
Qui peut consulter le registre RGPD ?
Le registre n’est pas un document public. Il n’a pas à être publié sur votre site internet, ni transmis systématiquement à la CNIL. En revanche, vous devez pouvoir le présenter immédiatement en cas de contrôle de la CNIL, faute de quoi vous vous exposez à une mise en demeure. En interne, il est généralement accessible au DPO, à la direction et aux personnes en charge de la conformité. Notre article sur qui peut consulter le registre des activités de traitement détaille les règles précises d’accès et de communication.
Que risque une entreprise sans registre RGPD ?
L’absence de registre, ou un registre incomplet, constitue un manquement sanctionnable par la CNIL. Les contrôles se multiplient chaque année, y compris auprès des petites structures. Les sanctions peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les manquements liés au registre, et s’aggraver encore en cas d’autres manquements associés. Au delà de l’amende, l’absence de registre complique aussi la gestion d’une violation de données ou d’une demande d’exercice de droits, car l’entreprise ne sait plus exactement quelles données elle détient ni où elles se trouvent. Pour aller plus loin sur les textes de référence, vous pouvez consulter notre article sur comment consulter le texte officiel du RGPD.
Faut-il l’aide d’un DPO externe pour tenir son registre ?
Tenir un registre RGPD à jour demande du temps et une bonne connaissance juridique. Un DPO externalisé apporte un regard indépendant et une méthode éprouvée pour cartographier rapidement l’ensemble des traitements. Il structure le registre, forme les équipes internes à le maintenir à jour et sert d’interlocuteur en cas de contrôle. Pour une PME sans ressource juridique dédiée, cet accompagnement représente souvent un gain de temps et de sérénité important.
Notre avis
Après avoir accompagné des dizaines d’entreprises sur ce sujet, nous constatons une constante : le registre est presque toujours sous-estimé au démarrage, puis devient l’outil le plus consulté dès qu’un incident survient. Nous recommandons de ne jamais traiter le registre comme un document figé, rédigé une fois pour toutes. Une mise à jour trimestrielle, même rapide, évite l’effet tunnel où plus personne ne sait ce qui a changé depuis un an.
Notre bémol : beaucoup de modèles téléchargés en ligne restent trop génériques et ne reflètent pas la réalité des traitements propres à chaque métier. Nous conseillons de partir d’un modèle, oui, mais de le retravailler avec les équipes opérationnelles plutôt que de le remplir seul depuis un bureau : sans cela, le registre finit par ne plus correspondre à la réalité du terrain.
Testez vos connaissances
- Qu’est-ce que le registre RGPD ?
Réponse : un document qui recense tous les traitements de données personnelles réalisés par une organisation, prévu par l’article 30 du RGPD. - Le registre doit-il être publié sur internet ?
Réponse : non, il doit seulement être présenté à la CNIL en cas de contrôle, pas rendu public. - Quelle sanction risque une entreprise sans registre ?
Réponse : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel.
Questions fréquentes
Le registre RGPD est-il obligatoire pour les petites entreprises ?
Oui, dans la grande majorité des cas. L’exemption pour les structures de moins de 250 salariés est très restrictive : elle ne s’applique que si le traitement est occasionnel, sans risque pour les personnes et sans données sensibles. En pratique, presque toutes les entreprises, même très petites, doivent tenir un registre dès qu’elles gèrent des salariés ou des clients.
Sous quel format tenir le registre RGPD ?
Aucun format n’est imposé par le RGPD. Un tableur, un document Word ou un logiciel dédié conviennent, à condition que le registre soit écrit, actualisable et facilement présentable en cas de contrôle. L’essentiel est la fiabilité du contenu, pas l’outil utilisé pour le tenir.
Faut-il transmettre le registre à la CNIL ?
Non, le registre n’est pas transmis systématiquement à la CNIL. Il doit simplement être disponible et présenté sans délai si l’autorité en fait la demande, notamment lors d’un contrôle sur place ou sur pièces. C’est un document de preuve interne, pas une déclaration administrative.
À quelle fréquence mettre à jour le registre RGPD ?
Le registre doit être mis à jour dès qu’un traitement change ou qu’un nouveau traitement est créé. En pratique, une révision trimestrielle ou semestrielle permet d’éviter les oublis, notamment lors de l’arrivée d’un nouvel outil, d’un nouveau prestataire ou d’un changement de durée de conservation.
Qui doit rédiger le registre RGPD dans l’entreprise ?
La responsabilité finale revient au responsable de traitement, souvent le dirigeant. Dans les faits, le DPO, interne ou externe, pilote généralement la rédaction en collectant les informations auprès de chaque service concerné, RH, marketing, IT ou juridique.