Le registre décrit les activités de traitement et permet d’en expliquer les finalités, les destinataires, la conservation et les mesures de sécurité. L’article 30 distingue les obligations du responsable et du sous-traitant, avec une dérogation limitée pour certaines activités des organismes de moins de 250 salariés.
Un modèle de registre accélère considérablement la conformité RGPD. Plutôt que de partir de zéro, ce guide fournit des modèles prêts à l’emploi pour les versions responsable et sous-traitant, des exemples de fiches pour les activités de traitement les plus courantes (RH, marketing, support client, IT), et le workflow opérationnel pour maintenir le registre dans le temps.
Pour le cadre général, voir data privacy compliance guide. Pour la méthodologie d’audit, méthodologie audit RGPD. Pour l’audit fournisseur connexe, checklist article 28 audit sous-traitants.
Points clés
- L’article 30 RGPD requiert que tout responsable et sous-traitant tienne un registre.
- Les organisations de moins de 250 salariés sont exemptées uniquement si le traitement est occasionnel, n’inclut pas de catégories particulières ou de données pénales, et n’est pas susceptible d’engendrer un risque pour les droits et libertés pour les personnes (rare en pratique).
- Les rubriques diffèrent selon le rôle de responsable ou de sous-traitant.
1. Quand le registre est-il obligatoire ?
L’article 30(1) requiert un registre responsable. L’article 30(2) requiert un registre sous-traitant. L’article 30(5) prévoit une exemption pour les organisations de moins de 250 salariés — mais uniquement si les trois conditions suivantes sont réunies :
- Le traitement est occasionnel
- N’inclut pas de catégories particulières de données (article 9) ou de données pénales
- Ne risque pas d’engendrer un risque pour les droits et libertés des personnes concernées
Pour les organismes concernés par le seuil, examinez les activités et les exceptions à la dérogation. Les traitements habituels de personnel ou de clientèle sont notamment non occasionnels. Consignez le raisonnement si vous appliquez une exemption limitée.
2. Registre responsable — champs obligatoires (article 30(1))
Pour chaque activité de traitement, documenter :
| # | Champ | Exemple |
|---|---|---|
| 1 | Nom et coordonnées du responsable | « Acme SAS, 12 rue X, 75001 Paris, dpo@acme.com » |
| 2 | Co-responsable(s) le cas échéant | « [Partenaire Marketing] pour campagnes publicitaires conjointes » |
| 3 | Représentant le cas échéant et coordonnées du DPO si désigné | « Jean Dupont, dpo@acme.com » |
| 4 | Finalités du traitement | « Gérer les comptes clients et commandes » |
| 5 | Catégories de personnes concernées et données | « Clients ; identification, contact, historique commandes, mode paiement » |
| 6 | Catégories de destinataires | « Internes : support client, finance. Externes : prestataire paiement (Stripe), prestataire livraison (DHL) » |
| 7 | Transferts vers pays tiers (avec garanties) | « Pays, entité destinataire, mécanisme de transfert vérifié et date de la vérification » |
| 8 | Durées de conservation | « Durées par finalité et type de document, événement de départ et archivage justifié » |
| 9 | Description générale des MTO (article 32) | « Mesures effectivement vérifiées : accès, chiffrement, sauvegarde et revues » |
3. Registre sous-traitant — champs obligatoires (article 30(2))
| # | Champ | Exemple |
|---|---|---|
| 1 | Nom et coordonnées du sous-traitant (et de chaque responsable servi) | « ProcessorCo pour ClientA, ClientB, ClientC » |
| 2 | Coordonnées du DPO (si désigné) | — |
| 3 | Catégories de traitements effectués pour le compte de chaque responsable | « Hébergement et traitement des données CRM » |
| 4 | Transferts vers pays tiers avec garanties | — |
| 5 | Description générale des MTO | — |
4. Exemple fictif de fiche RH à valider
Une entreprise confie la paie à un prestataire et conserve les dossiers de personnel dans un système interne. Elle sépare la paie, le recrutement et l’évaluation professionnelle, car les finalités, accès et durées ne sont pas identiques. Elle ne justifie pas tous ces usages par la seule existence du contrat de travail.
| Rubrique | Réponse de travail |
|---|---|
| Activité | Préparation et versement de la rémunération |
| Finalités | Exécution des obligations pertinentes, à préciser par opération |
| Personnes et données | Salariés ; éléments nécessaires à la paie |
| Destinataires | Personnel habilité, prestataire et organismes légalement destinataires |
| Conservation | Règles distinctes par pièce, avec départ et archive éventuelle |
| Sécurité | Contrôle des accès et transmission protégée, preuves à joindre |
Le responsable de la paie vérifie aussi les copies exportées et les envois aux managers. Une fiche correcte pour le SIRH peut rester incomplète si les tableurs circulent sans règle. Chaque champ non confirmé devient une question attribuée à un responsable, et non une réponse générique copiée du modèle.
5. Exemple fictif de newsletter
La fiche précise la finalité du consentement, le formulaire qui le recueille et le système conservant sa preuve. Les données nécessaires à l’envoi peuvent être distinctes des données comportementales de suivi des ouvertures. N’intégrez pas automatiquement ces dernières parce que le prestataire propose cette fonction.
Au désabonnement, distinguez l’arrêt des envois, une éventuelle preuve conservée de façon justifiée et une liste minimale permettant d’éviter une nouvelle sollicitation. Aucune durée universelle de vingt-quatre mois ne résulte de ce modèle. L’accès aux éléments conservés doit correspondre à leur finalité résiduelle.
Identifiez l’entité prestataire, les lieux de traitement et les accès de support. Vérifiez le mécanisme de transfert effectivement applicable et conservez la date de cette vérification. Enfin, testez qu’un retrait atteint les campagnes programmées et les imports ultérieurs. Le contrat, la preuve de consentement et le résultat de ce contrôle sont trois pièces différentes à relier à la fiche.
6. Exemple fictif de mesure d’audience
Décrivez les événements réellement envoyés, les identifiants utilisés et les rapprochements possibles. L’absence de nom ne suffit pas à rendre une donnée anonyme. La fiche doit permettre de comprendre si un compte, un appareil ou une personne peut être distingué et suivi.
Consignez l’analyse relative aux traceurs et la base juridique du traitement ultérieur, puis la durée réellement paramétrée. Ne présumez pas qu’une certification associée à un groupe couvre tous les services ou tous les transferts. Vérifiez l’entité destinataire, le pays et la garantie invoquée dans votre situation.
Avant validation, comparez la fiche à un échantillon d’événements et aux réglages courants. Si un identifiant imprévu est transmis ou si la conservation dépasse la règle annoncée, attribuez une correction technique ou une décision documentée. L’ajout d’un lien vers une AIPD ne dispense pas de vérifier son périmètre et son actualité.
7. Workflow de maintenance
Un registre n’est pas un document one-shot. Maintenance :
Exemple de revue périodique
- Revue des changements dans la liste des fournisseurs (nouveaux sous-traitants ultérieurs)
- Vérifier que les durées de conservation sont effectivement appliquées
- Vérifier que les mécanismes de transfert sont toujours valides (certifications DPF, CCT)
Exemple de revue complète
- Revue complète de chaque fiche
- Vérifier la description des activités, les systèmes et les volumes de personnes concernées
- Re-confirmer la base légale et le statut AIPD
- Ajouter les nouvelles activités de traitement introduites pendant l’année
- Archiver les fiches obsolètes
Revue déclenchée (lorsque…)
- Nouvelle activité de traitement introduite
- Nouveau fournisseur ajouté
- Mise à jour réglementaire majeure (par exemple, nouvelles lignes directrices CEPD)
- Notification d’inspection CNIL
8. Défaillances courantes du registre (inspections CNIL)
- Fiches manquantes pour les outils marketing (analytics, A/B testing, heatmaps) ajoutés sans revue confidentialité
- Descriptions de sécurité génériques (« mesures techniques appropriées ») sans spécifications
- Base légale incorrecte (consentement invoqué quand contrat ou intérêt légitime s’applique)
- Durées de conservation obsolètes non alignées avec la suppression effective
- Sous-traitants ultérieurs non listés — seul le fournisseur de premier niveau nommé
- Aucun processus de revue documenté — fiches non mises à jour depuis 18+ mois
- Aucune référence croisée AIPD pour les traitements à risque élevé
- Détails de transfert international manquants — pays nommé mais pas le mécanisme de garantie
9. Registre en tableur vs outil dédié
Évaluez les limites de votre tableur selon les besoins de coordination, de traçabilité et de maintenance :
- Les tableurs deviennent ingérables pour les références croisées (sous-traitants ultérieurs, AIPD, bases légales)
- Pas d’automatisation du rafraîchissement des données fournisseur
- Pas d’alertes sur les fiches obsolètes
- Pas de support multilingue si registre FR + EN nécessaire
- Pas de piste d’audit des changements
10. Préparer une réponse documentée à un contrôle
L’article 30 prévoit la mise à disposition du registre sur demande. Il ne fixe pas un ordre universel de contrôle ni un nombre obligatoire de fiches examinées. Préparez un parcours permettant d’ouvrir, pour une activité, le contrat, l’information, la règle de conservation et les preuves de sécurité utiles.
Faites parcourir une fiche par une personne extérieure à sa rédaction. Peut-elle retrouver le propriétaire du traitement, comprendre les destinataires et identifier les questions non résolues ? Attribuez les corrections nécessaires. Cette revue vérifie l’utilité du registre ; elle ne transforme pas son existence en garantie de conformité générale.
Conclusion
Le registre n’est pas de la paperasse — c’est le centre nerveux opérationnel d’un programme de confidentialité. Tout autre artefact de conformité (AIPD, DPA, réponse à violation, gestion des demandes des personnes concernées) trace ses racines dans les fiches du registre. Investir dans un registre complet et bien tenu se rentabilise dès la première fois qu’un régulateur le demande.
FAQ
Le registre des traitements est-il obligatoire pour les petites entreprises ?
L’article 30(5) prévoit une exemption étroite pour les organisations de moins de 250 salariés, mais uniquement si le traitement est occasionnel, n’inclut pas de catégories particulières ou de données pénales, et n’est pas susceptible d’engendrer un risque pour les droits et libertés. Évaluez les activités concernées et documentez la dérogation lorsqu’elle s’applique.
Quelle est la différence entre un registre responsable et un registre sous-traitant ?
Les responsables tiennent un registre listant toutes leurs activités de traitement (article 30(1), rubriques du responsable). Les sous-traitants tiennent un registre listant les catégories de traitements qu’ils effectuent pour le compte de chaque responsable (article 30(2), rubriques du sous-traitant).
À quelle fréquence le registre doit-il être mis à jour ?
Fixez une périodicité adaptée aux changements ; le RGPD ne prescrit pas un calendrier trimestriel ou annuel universel. Immédiatement lorsqu’une nouvelle activité de traitement est introduite ou lorsqu’une mise à jour réglementaire majeure affecte une fiche existante.
Le registre doit-il suivre un format spécifique ?
Le RGPD n’impose pas de format. L’article 30(3) requiert qu’il soit par écrit, y compris en format électronique, et mis à disposition de l’autorité de contrôle sur demande. Les tableurs fonctionnent pour les petites opérations ; le choix d’un outil dépend du travail de maintenance, sans seuil légal de trente activités ou dix fournisseurs.
Puis-je déléguer la maintenance du registre à mon DPO ?
Le DPO peut coordonner la maintenance du registre mais le responsable demeure responsable (article 24). Bonne pratique : les responsables des unités opérationnelles remplissent les fiches pour leurs traitements, le DPO révise pour complétude et qualité, et le responsable approuve trimestriellement.
Source juridique : Article 30 du RGPD.
Pour renseigner les durées, reliez chaque rubrique à la politique de conservation, avec son point de départ et les éventuelles archives justifiées. Vérifiez aussi la base juridique retenue par finalité : le registre doit permettre de retrouver le raisonnement, et non simplement afficher un intitulé choisi dans une liste.