Modèle de registre simplifié des traitements gratuit

Présentation

Le registre des traitements est le document par lequel un responsable de traitement (ou un sous-traitant) recense l'ensemble des traitements de données personnelles qu'il met en œuvre, conformément à l'article 30 du RGPD. Cette version simplifiée est destinée aux structures de taille modeste qui souhaitent disposer d'un registre exploitable sans mobiliser les ressources d'un registre exhaustif de grande entreprise. Qui doit tenir un registre ? Contrairement à une idée répandue, l'obligation de tenir un registre des traitements ne concerne pas uniquement les organismes de 250 salariés et plus. L'article 30.5 du RGPD prévoit une exemption pour les organismes de moins de 250 salariés, mais cette exemption ne s'applique pas dès lors que le traitement effectué n'est pas occasionnel, qu'il est susceptible de comporter un risque pour les droits et libertés des personnes concernées, ou qu'il porte sur des catégories particulières de données (données de santé, opinions politiques, données biométriques...) ou sur des données relatives à des condamnations pénales. En pratique, la quasi-totalité des organisations — y compris les très petites entreprises — traitent au moins un traitement non occasionnel (la gestion de la paie de leurs salariés, par exemple), ce qui les place hors du champ de l'exemption et rend le registre obligatoire. Contenu du registre : pour chaque traitement recensé, le registre mentionne la finalité du traitement, les catégories de personnes concernées et de données traitées, les destinataires des données (y compris les sous-traitants), les éventuels transferts hors Union européenne et les garanties associées, les durées de conservation envisagées, et une description générale des mesures de sécurité techniques et organisationnelles mises en œuvre. Fonction du registre : au-delà de l'obligation formelle, le registre est l'outil de pilotage central de la conformité RGPD d'une organisation — il permet d'identifier les traitements à risque nécessitant une analyse d'impact (AIPD), de vérifier la cohérence des durées de conservation, et de répondre efficacement aux demandes d'exercice de droits des personnes concernées en sachant précisément où et pourquoi leurs données sont traitées. Quand l'utiliser : toute organisation, quelle que soit sa taille, qui traite des données personnelles dans le cadre de son activité, y compris pour la seule gestion de ses salariés, de sa clientèle ou de ses prospects. Erreurs à éviter : considérer à tort que sa taille (moins de 250 salariés) dispense automatiquement du registre, sans vérifier si l'exemption de l'article 30.5 s'applique réellement ; recenser les traitements de manière trop générale (« gestion RH » sans détailler paie, recrutement, formation qui sont des traitements distincts) ; ne pas mettre à jour le registre après l'ajout d'un nouvel outil ou d'une nouvelle finalité ; et omettre les traitements portés par des outils numériques du quotidien (CRM, outil d'emailing, solution de visioconférence) qui sont pourtant des traitements de données personnelles à part entière.

Informations à personnaliser

• Nom de l'organisation

• Contact du responsable de traitement

• Contact du délégué à la protection des données (DPO)

  À renseigner si un DPO a été désigné.

• Liste des traitements recensés

  Ex. : gestion de la paie, gestion de la clientèle, recrutement, emailing marketing, vidéosurveillance.

• Catégories de personnes concernées par traitement

• Destinataires des données par traitement

• Durées de conservation par traitement

• Description générale des mesures de sécurité

• Date de dernière mise à jour du registre

Personnalisez votre modèle

Questions fréquentes

Une entreprise de moins de 250 salariés est-elle dispensée de registre des traitements ?

Pas nécessairement. L'exemption prévue à l'article 30.5 du RGPD ne s'applique que si tous les traitements mis en œuvre sont occasionnels, ne présentent pas de risque pour les personnes concernées, et ne portent pas sur des catégories particulières de données ou des données pénales. En pratique, dès qu'une entreprise gère la paie de ses salariés — un traitement non occasionnel —, elle sort du champ de l'exemption et doit tenir un registre.

Le registre doit-il détailler chaque outil numérique utilisé ?

Oui, dans la mesure du raisonnable : un CRM, un outil d'emailing, une solution de visioconférence ou un logiciel de paie constituent chacun un support de traitement de données personnelles à recenser, avec sa propre finalité, ses propres destinataires et sa propre durée de conservation, plutôt qu'un intitulé générique regroupant plusieurs finalités distinctes.

Le registre est-il un document public ?

Non, le registre n'a pas vocation à être publié. Il doit en revanche être tenu à disposition de la CNIL sur simple demande, notamment dans le cadre d'un contrôle. Sa tenue permet également de démontrer la mise en œuvre du principe de responsabilité (accountability) prévu à l'article 5.2 du RGPD.

Quelle différence entre le registre du responsable de traitement et celui du sous-traitant ?

L'article 30.1 du RGPD impose au responsable de traitement de tenir un registre de ses traitements, tandis que l'article 30.2 impose à tout sous-traitant de tenir un registre distinct des catégories de traitements qu'il effectue pour le compte de ses clients. Une organisation qui est à la fois responsable de traitement pour ses propres besoins et sous-traitant pour des clients doit donc tenir les deux registres.

À quelle fréquence faut-il mettre à jour le registre ?

Il n'existe pas de fréquence légale fixe, mais le registre doit être mis à jour à chaque ajout, modification ou suppression significative d'un traitement (nouvel outil, nouvelle finalité, changement de sous-traitant), et faire l'objet d'une revue périodique — une revue annuelle est une pratique courante et recommandée.

Le registre suffit-il à démontrer la conformité au RGPD ?

Non, le registre est un outil de recensement et de pilotage, pas une preuve autonome de conformité. Il doit être complété par les autres mesures attendues : information des personnes concernées, contrats de sous-traitance conformes, mesures de sécurité effectives, et, pour les traitements à risque identifiés dans le registre, la réalisation d'une analyse d'impact (AIPD).

Modèles associés