Nous utilisons des cookies pour améliorer votre expérience sur notre site. Les cookies strictement nécessaires au fonctionnement du service sont toujours actifs. En savoir plus sur notre politique cookies
Le registre des traitements est le document par lequel un responsable de traitement (ou un sous-traitant) recense l'ensemble des traitements de données personnelles qu'il met en œuvre, conformément à l'article 30 du RGPD. Cette version simplifiée est destinée aux structures de taille modeste qui souhaitent disposer d'un registre exploitable sans mobiliser les ressources d'un registre exhaustif de grande entreprise. Qui doit tenir un registre ? Contrairement à une idée répandue, l'obligation de tenir un registre des traitements ne concerne pas uniquement les organismes de 250 salariés et plus. L'article 30.5 du RGPD prévoit une exemption pour les organismes de moins de 250 salariés, mais cette exemption ne s'applique pas dès lors que le traitement effectué n'est pas occasionnel, qu'il est susceptible de comporter un risque pour les droits et libertés des personnes concernées, ou qu'il porte sur des catégories particulières de données (données de santé, opinions politiques, données biométriques...) ou sur des données relatives à des condamnations pénales. En pratique, la quasi-totalité des organisations — y compris les très petites entreprises — traitent au moins un traitement non occasionnel (la gestion de la paie de leurs salariés, par exemple), ce qui les place hors du champ de l'exemption et rend le registre obligatoire. Contenu du registre : pour chaque traitement recensé, le registre mentionne la finalité du traitement, les catégories de personnes concernées et de données traitées, les destinataires des données (y compris les sous-traitants), les éventuels transferts hors Union européenne et les garanties associées, les durées de conservation envisagées, et une description générale des mesures de sécurité techniques et organisationnelles mises en œuvre. Fonction du registre : au-delà de l'obligation formelle, le registre est l'outil de pilotage central de la conformité RGPD d'une organisation — il permet d'identifier les traitements à risque nécessitant une analyse d'impact (AIPD), de vérifier la cohérence des durées de conservation, et de répondre efficacement aux demandes d'exercice de droits des personnes concernées en sachant précisément où et pourquoi leurs données sont traitées. Quand l'utiliser : toute organisation, quelle que soit sa taille, qui traite des données personnelles dans le cadre de son activité, y compris pour la seule gestion de ses salariés, de sa clientèle ou de ses prospects. Erreurs à éviter : considérer à tort que sa taille (moins de 250 salariés) dispense automatiquement du registre, sans vérifier si l'exemption de l'article 30.5 s'applique réellement ; recenser les traitements de manière trop générale (« gestion RH » sans détailler paie, recrutement, formation qui sont des traitements distincts) ; ne pas mettre à jour le registre après l'ajout d'un nouvel outil ou d'une nouvelle finalité ; et omettre les traitements portés par des outils numériques du quotidien (CRM, outil d'emailing, solution de visioconférence) qui sont pourtant des traitements de données personnelles à part entière.
Nom de l'organisation
Contact du responsable de traitement
Contact du délégué à la protection des données (DPO)
À renseigner si un DPO a été désigné.
Liste des traitements recensés
Ex. : gestion de la paie, gestion de la clientèle, recrutement, emailing marketing, vidéosurveillance.
Catégories de personnes concernées par traitement
Destinataires des données par traitement
Durées de conservation par traitement
Description générale des mesures de sécurité
Date de dernière mise à jour du registre
À renseigner si un DPO a été désigné.
Ex. : gestion de la paie, gestion de la clientèle, recrutement, emailing marketing, vidéosurveillance.