Un logiciel de registre des traitements aide à maintenir les informations exigées par l’article 30 du RGPD lorsque les activités, responsables et prestataires changent. Il n’est pas obligatoire : un tableur bien tenu peut constituer un registre valable. La décision d’achat repose donc sur une comparaison concrète de la qualité des fiches, du temps de mise à jour et de la possibilité de reconstruire une décision passée. Cette page porte sur l’outil de maintenance du registre, pas sur le contenu d’un modèle vierge ni sur un classement commercial fondé sur des prix non vérifiés.
La CNIL explique le registre des activités de traitement et fournit des ressources pour le construire. Son modèle est une base de travail, non une certification d’un logiciel qui prétend être « prêt CNIL ». Avant d’écouter un vendeur, choisissez trois traitements réels en retirant les données sensibles de la démonstration : gestion des clients, ressources humaines et service externalisé. Cherchez les informations manquantes et la personne qui pourra les confirmer. Le guide de fond du registre RGPD expose l’obligation ; ici, on compare la manière de la tenir dans la durée.
Vérifier d’abord l’application de l’article 30
L’article 30 du RGPD distingue le registre du responsable de traitement, au paragraphe 1, de celui du sous-traitant, au paragraphe 2. Une organisation peut remplir les deux rôles selon l’activité. Elle ne doit pas dupliquer mécaniquement le même formulaire : le registre du sous-traitant est organisé autour des catégories de traitements effectués pour le compte de chaque responsable, alors que celui du responsable décrit notamment les finalités et catégories de personnes concernées. La CNIL recommande de les distinguer clairement. Un outil doit permettre d’expliquer la qualité retenue, pas de la décider à partir du nom du logiciel métier.
Le paragraphe 5 prévoit une exception limitée pour les organisations de moins de 250 employés. Elle cesse de jouer, pour l’activité concernée, si le traitement n’est pas occasionnel, s’il est susceptible de comporter un risque pour les droits et libertés, ou s’il comprend des données de l’article 9 ou des données relatives aux condamnations et infractions de l’article 10. L’évaluation se fait activité par activité : un effectif de 12 personnes ne dispense pas en bloc un cabinet ou une société de tenir un registre. Des opérations habituelles comme la paie ou la clientèle ne sont généralement pas occasionnelles. La qualification d’une opération ponctuelle doit encore examiner les autres facteurs. Le programme peut conserver l’analyse, mais un bouton « PME exemptée » serait trompeur.
L’article 30, paragraphe 4, demande de mettre le registre à disposition de l’autorité de contrôle sur demande. Cela ne signifie ni qu’il s’agit systématiquement de la première pièce exigée à chaque contrôle ni qu’un « export CNIL » propriétaire est juridiquement obligatoire. Il faut pouvoir produire un contenu exact, lisible et complet. La présentation peut inclure des champs supplémentaires utiles à la responsabilité, à condition de ne pas masquer les mentions prescrites. Le modèle de registre permet de distinguer la liste légale des ajouts pratiques.
Les champs doivent suivre le rôle et l’activité
Pour un responsable, la fiche doit couvrir le nom et les coordonnées du responsable, des responsables conjoints et, le cas échéant, du représentant et du DPO ; les finalités ; les catégories de personnes et de données ; les catégories de destinataires, y compris dans des pays tiers ; les transferts vers des pays tiers ou organisations internationales et, le cas échéant, les garanties prévues ; si possible, les délais prévus pour l’effacement ; si possible, une description générale des mesures de sécurité. Ne présentez pas la base juridique comme un champ textuellement imposé par l’article 30, paragraphe 1. Elle est toutefois très utile à la responsabilité et à la cohérence des informations données aux personnes.
Pour un sous-traitant, la fiche porte notamment sur les coordonnées de ses responsables clients, les catégories de traitements effectués pour chacun, les transferts et, si possible, les mesures de sécurité. Un prestataire qui traite les données pour vingt clients ne doit pas montrer les détails du client A dans l’export destiné au client B. Dans une démonstration, créez une activité où votre entreprise est responsable de ses ressources humaines et une autre où elle fournit un service à un client. Comparez les exports et vérifiez les autorisations d’accès. Le guide sur les obligations du sous-traitant aide à poser les bonnes questions, sans confondre son registre avec les contrats de l’article 28.
Un destinataire, un sous-traitant et un responsable conjoint ne sont pas des synonymes. La même société peut jouer des rôles différents selon le service. Quand un propriétaire d’activité ajoute un « partenaire », demandez quelle donnée lui est communiquée, pour quel objectif, qui décide des moyens essentiels et quel accord encadre la relation. Une liste déroulante simplifiée peut cacher une mauvaise qualification. La distinction responsable/sous-traitant doit rester révisable dans le dossier, avec la raison du choix et une personne responsable de le confirmer.
Mettre le tableur et le logiciel face à la même modification
Dans un tableur, vous pouvez établir des colonnes stables, un responsable du fichier, des dates de vérification et un historique de versions. Il serait faux de dire qu’Excel ne permet jamais la preuve d’une mise à jour. Il peut aussi échouer si cinq équipes conservent chacune une copie différente sans règle de fusion. Un logiciel peut centraliser les modifications et les validations ; il peut tout autant produire des données obsolètes si les propriétaires de processus ne les confirment plus. Comparez les deux méthodes avec le même changement fictif plutôt qu’avec une promesse générale de « registre vivant ».
Imaginez une entreprise qui change de fournisseur de messagerie. L’ancien prestataire avait accès aux contacts et aux pièces jointes ; le nouveau a une autre équipe de support et un sous-traitant supplémentaire. Demandez qui met à jour la catégorie de destinataires, les transferts éventuels, les références contractuelles et le calendrier de conservation. Le logiciel doit montrer l’état avant et après la décision, la source de l’information et l’auteur de la validation. Si la fiche se contente de remplacer le nom dans un champ, elle n’aide pas davantage qu’un tableur propre. Le suivi des sous-traitants est une tâche liée, mais distincte du registre des finalités.
Ajoutez ensuite une nouvelle finalité à une activité existante : l’équipe souhaite réutiliser les données clients pour une analyse interne. Le registre doit signaler qu’il faut évaluer la compatibilité de la finalité, la base juridique, l’information aux personnes et peut-être la conservation. Il ne faut pas dupliquer automatiquement l’ancienne base ou conclure à une autorisation du seul fait qu’un champ a été copié. Si un risque élevé probable apparaît, une analyse d’impact peut être nécessaire selon l’article 35 ; toute modification du registre n’en déclenche pas automatiquement une. La relation entre dossier et AIPD doit pouvoir être documentée.
Enfin, demandez à un collègue qui n’a pas participé à la démonstration de préparer un extrait sur une période antérieure. Peut-il comprendre qui savait quoi à la date étudiée et pourquoi une information a changé ? La journalisation n’est pas une fin en soi : il faut aussi conserver le sens de la modification et une éventuelle incertitude. Un horodatage sans source ni responsable ne prouve pas que le contenu était juste. La méthode d’audit RGPD peut servir à éprouver l’utilité de ces traces.
Comparer des catégories plutôt que des prix inventés
Une feuille de calcul peut répondre au besoin d’une activité stable et d’une équipe réduite. Un outil de registre dédié aide à standardiser les champs et à recueillir les validations. Une plateforme privacy plus large peut relier le registre à la sous-traitance, aux AIPD et aux demandes de droits, si ces flux sont réellement utilisés. Une solution GRC d’entreprise peut faciliter des vues par entité et des contrôles multiples, mais un registre article 30 ne doit pas devenir un simple tableau de risques sans ses mentions légales. Le comparatif général des logiciels RGPD traite le marché plus large ; notre essai porte sur la qualité du registre. Si le besoin est de remplacer une suite privacy entière plutôt que le seul registre, les alternatives à OneTrust servent à comparer des périmètres d’achat différents, sans présumer qu’une marque résoudra mieux la tenue des fiches. Pour une structure qui hésite entre un tableur et une licence, la comparaison des outils gratuits et payants aide à formuler le périmètre, sans décider de la qualité du registre à votre place.
Des éditeurs comme Dastra, Data Legal Drive et Witik décrivent des fonctions de tenue des traitements. Leurs pages sont des déclarations de fournisseur, non la preuve que chaque formule importe vos colonnes ou exporte votre historique. Demandez une offre sur la même portée, avec nombre d’entités, utilisateurs, activités, import, rôles, support et extraction finale. N’attribuez ni prix annuel, ni hébergement, ni automatisation spécifique à une marque sans fiche contractuelle actuelle. Un écart de prix peut refléter un périmètre différent et non une meilleure tenue du registre.
La valeur se mesure au temps d’identification des changements, aux erreurs de fiches corrigées et à la qualité de l’export. Le guide du coût d’un logiciel RGPD donne une méthode de comparaison ; il ne valide pas un tarif unique. Faites réaliser une mise à jour avec un champ inconnu et chronométrez le travail humain. Un formulaire qui se remplit seul avec une réponse supposée économise du temps au mauvais endroit. Une vérification explicite peut coûter quelques minutes de plus et éviter une erreur répétée dans toutes les fiches.
Migrer sans perdre l’histoire du registre
Avant l’import, sauvegardez le tableur, indiquez sa date de référence et identifiez les lignes en double ou obsolètes. Ne supprimez pas silencieusement un traitement arrêté si une période antérieure doit pouvoir être expliquée. Pour chaque ligne, vérifiez la finalité, le propriétaire, la qualité responsable ou sous-traitant et les destinataires. Un exemple rempli peut aider l’équipe à s’accorder sur les champs ; le registre expliqué par un cas peut être consulté sans reprendre ses données comme si elles étaient les vôtres.
Testez l’import sur trois fiches imparfaites. Une colonne « prestataire » peut contenir le responsable client, un sous-traitant ou un simple fournisseur sans accès aux données : il faut trancher, pas seulement mapper la colonne. Une durée écrite « tant que nécessaire » peut cacher un besoin de décision. Un logiciel qui accepte tous les champs sans signaler ces ambiguïtés ne rend pas le registre plus fiable. Fixez qui valide chaque ligne et ce qui reste en attente. Ne promettez ni import automatique universel ni durée d’une demi-journée sans essai.
Une fois le nouveau registre validé, conservez la correspondance entre identifiants anciens et nouveaux, la version source et les écarts corrigés. Vérifiez qu’un export depuis le logiciel permet de revenir à un format compréhensible sans licence. Testez une extraction limitée à une seule entité et une extraction globale si le groupe en a besoin. Le contrat doit préciser les conditions de restitution et d’effacement des données du service. Si la sortie est impossible sans reconstituer manuellement les liens et les décisions, le coût futur du changement doit entrer dans l’achat aujourd’hui.
Le registre et les autres décisions RGPD
Un registre n’est pas un système de purge automatique. L’article 30 demande d’indiquer, si possible, des délais prévus pour l’effacement ; le respect effectif des durées se vérifie ensuite dans les systèmes qui stockent les données. Un logiciel peut attribuer une tâche au propriétaire et rapprocher la politique de conservation des données, mais ne doit pas prétendre supprimer des copies qu’il ne contrôle pas. Une alerte est utile si elle conduit à une décision, une correction technique et une preuve ; elle ne prouve pas à elle seule que les données ont disparu.
De même, l’attachement d’un contrat article 28 à une fiche n’établit pas qu’il est complet. Le texte permet un contrat écrit, y compris électronique, ou un autre acte juridique contraignant du droit de l’Union ou d’un État membre. Il faut examiner instructions, confidentialité, sécurité, sous-traitants ultérieurs, assistance et sortie, puis les comparer au service fourni. Le modèle d’accord de sous-traitance est un point de départ. Le registre peut montrer quelle relation demander à vérifier, tandis que la revue contractuelle conserve sa propre conclusion.
Un traitement peut nécessiter des mesures de sécurité plus fortes ou une AIPD sans que tous ses champs changent. Une plainte peut révéler que la description d’un destinataire était inexacte. Prévoyez donc une remontée depuis incidents, projets et achats vers les propriétaires du registre. L’enjeu n’est pas de dessiner toutes les obligations sur un même écran, mais de rendre les changements visibles aux personnes qui peuvent les confirmer. Un registre central devient utile quand cette boucle fonctionne ; sinon, un tableur central discipliné peut rester meilleur qu’une plateforme délaissée.
Questions fréquentes
Un logiciel de registre est-il obligatoire ?
Non. L’article 30 exige un registre écrit, y compris sous forme électronique, et sa mise à disposition sur demande. Un tableur à jour peut satisfaire ces exigences. Un logiciel dédié peut aider si les versions, rôles ou entités deviennent difficiles à suivre ; sa présence ne dispense pas de vérifier les faits.
Les organisations de moins de 250 salariés sont-elles exemptées ?
Pas globalement. Pour chaque activité, l’exception ne joue pas si le traitement n’est pas occasionnel, peut présenter un risque pour les personnes, ou comprend des données des articles 9 ou 10. Les activités habituelles de salariés ou de clients demandent généralement un registre. Documentez la qualification des cas particuliers.
La CNIL exige-t-elle un export dans un format propriétaire ?
Non. Le registre doit être disponible sur demande et contenir les informations requises. Testez surtout un fichier lisible, complet et explicable. La structure interne du logiciel peut être plus riche, mais l’export doit rester intelligible hors de son interface.
Quel budget inscrire avant de consulter les éditeurs ?
Définissez le nombre d’entités, de contributeurs, d’activités et le niveau d’import et de support. Demandez des offres comparables sur cette base, puis ajoutez le temps interne de nettoyage et de validation. Aucun prix générique « pour PME » ne remplace cette consultation, ni l’évaluation du coût de sortie.
Choisir la méthode qui garde les fiches vraies
Retenez l’outil, ou le tableur, qui permet de corriger une activité avec sa source, de distinguer les rôles, de conserver un état antérieur et de produire un registre lisible. Un modèle CNIL peut suffire ; une plateforme peut aider à coordonner plusieurs propriétaires. L’article 30 porte sur la réalité des traitements. Une démonstration réussie est celle où l’équipe comprend et maintient cette réalité après le départ du vendeur.