Registre des traitements RGPD : obligations et méthode

Le registre des activités de traitement recense, traitement par traitement, ce que votre entreprise fait des données personnelles qu’elle collecte. L’article 30 du RGPD l’impose, et la dérogation prévue pour les structures de moins de 250 salariés ne joue quasiment jamais. Voici son contenu obligatoire et la méthode pour le construire à partir de vos processus réels.

L’exception des 250 salariés ne protège presque personne

Beaucoup de dirigeants s’arrêtent à la première lecture de l’article 30 : les organismes employant moins de 250 personnes seraient dispensés de registre des traitements. La suite du même paragraphe referme la porte.

La dispense tombe dès qu’une seule des situations suivantes apparaît : le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées, il n’est pas occasionnel, ou il porte sur des données sensibles au sens de l’article 9 du RGPD ou sur des condamnations pénales visées à l’article 10. La CNIL présente ces trois conditions cumulatives dans l’autre sens : pour rester hors du registre, un traitement doit être à la fois occasionnel, sans risque avéré et exempt de données sensibles.

Passez vos propres fichiers au filtre. La paie tourne chaque mois, la base clients vit en continu, le formulaire de contact du site collecte des coordonnées toutes les semaines. Aucun de ces traitements n’est occasionnel. Une PME de dix salariés se retrouve soumise à l’obligation exactement comme un groupe coté.

La CNIL recommande d’inscrire un traitement au moindre doute plutôt que de bâtir un raisonnement pour l’écarter. Le calcul penche toujours du même côté : une fiche supplémentaire coûte vingt minutes de travail, une fiche manquante lors d’un contrôle coûte un manquement caractérisé.

Sous-traitant, responsable, ou les deux à la fois

Une entreprise qui traite des données pour le compte d’un client tient un second registre, distinct du premier. Cabinets comptables, agences de communication, prestataires informatiques et centres d’appels portent cette double casquette sans toujours l’avoir identifiée. Le registre du sous-traitant ne décrit pas des finalités choisies par lui, mais les catégories d’opérations qu’il exécute pour chacun de ses donneurs d’ordre.

Ce que chaque fiche de traitement doit contenir

Une fiche de traitement répond à six questions imposées par l’article 30, paragraphe 1, pour un responsable de traitement :

• La finalité poursuivie, formulée en langage métier : gérer la paie, répondre aux demandes de devis, surveiller l’entrée du dépôt.
• Les catégories de personnes concernées : salariés, candidats, clients, prospects, fournisseurs, visiteurs.
• Les catégories de données collectées, en distinguant celles qui sont sensibles ou soumises à un régime propre, comme le numéro de sécurité sociale.
• Les catégories de destinataires, internes comme externes, y compris les prestataires et les organismes publics destinataires de déclarations.
• Les transferts éventuels vers un pays hors Union européenne, avec l’encadrement retenu.
• Les délais prévus pour l’effacement de chaque catégorie de données.
• Une description générale des mesures de sécurité techniques et organisationnelles appliquées.

Le registre du sous-traitant obéit à une logique différente. Il liste le nom et les coordonnées de chaque client responsable de traitement, les catégories de traitements réalisés pour son compte, les sous-traitants ultérieurs mobilisés, les transferts internationaux et les mesures de sécurité.

La base légale de chaque traitement ne figure pas explicitement dans la liste de l’article 30, mais le modèle diffusé par la CNIL l’intègre. Renseignez-la : contrat, obligation légale, intérêt légitime ou consentement. C’est la colonne qui vous servira le jour où une personne exercera son droit d’opposition.

Partir des processus réels, jamais d’un modèle vierge

L’erreur classique consiste à télécharger un tableau type et à tenter de le remplir de mémoire, un vendredi après-midi. Le registre se construit dans l’autre sens : en remontant les flux de données qui traversent réellement l’entreprise.

Faites le tour des fonctions, une par une, avec quatre questions à chaque étape. Quelles données cette activité collecte-t-elle ? Auprès de qui ? Où sont-elles stockées, y compris dans un tableur local ou une boîte mail ? Qui y accède, en interne comme chez un prestataire ?

Dans une PME de trente salariés, cette revue fait remonter une quinzaine de traitements, rarement moins :

• Paie, dossiers du personnel, congés et temps de travail.
• Recrutement, candidatures spontanées et CV conservés.
• Gestion des clients, devis, facturation et recouvrement.
• Prospection commerciale et fichiers achetés ou loués.
• Fournisseurs et contacts des prestataires.
• Vidéosurveillance, badges d’accès et registre des visiteurs.
• Site internet, formulaires, mesure d’audience et newsletter.
• Sauvegardes, messagerie et journaux de connexion informatiques.

Cette cartographie sert deux fois. Elle alimente le registre, et elle donne une vue nette de la surface d’exposition en cas d’intrusion, ce que la démarche de cybersécurité en PME exploite directement. Le même réflexe documentaire vaut pour les autres obligations formelles du dirigeant, à commencer par le document unique d’évaluation des risques.

Attribuez ensuite un pilote à chaque fiche : la personne qui connaît le processus, pas celle qui manie le tableur. Le dirigeant arbitre, le responsable métier renseigne.

Quatre traitements que les PME documentent mal

La paie concentre les données les plus sensibles de l’entreprise : identité complète, numéro de sécurité sociale, coordonnées bancaires, arrêts de travail, saisies sur salaire. Sa fiche doit nommer l’expert-comptable comme sous-traitant, préciser les destinataires légaux, et distinguer les durées applicables aux différentes pièces.

Le fichier clients paraît anodin et déborde presque toujours. Entre le logiciel de facturation, le tableur commercial partagé et les échanges conservés en messagerie, les mêmes coordonnées vivent dans trois endroits avec trois durées de vie différentes. Le passage à la facturation électronique impose une remise à plat de ces flux, occasion utile pour aligner registre et pratique réelle.

La prospection appelle une fiche autonome, séparée de la gestion clients, car ni la finalité ni la base légale ne coïncident. Fichiers acquis auprès d’un tiers, formulaires de salon, contacts collectés sur le site : chaque source d’alimentation mérite d’être tracée, faute de quoi une demande d’effacement devient impossible à honorer complètement.

La vidéosurveillance est le traitement qui déclenche le plus de contrôles dans les petites structures. La CNIL rappelle que les caméras ne peuvent pas filmer en continu un poste de travail ni surveiller les allées et venues des salariés hors circonstances exceptionnelles. Dans son bilan 2025, l’autorité indique avoir sanctionné seize organismes pour une surveillance vidéo continue de leurs employés. La fiche doit mentionner l’information préalable du personnel, la consultation des représentants du personnel, et l’autorisation préfectorale lorsque les caméras couvrent une zone ouverte au public.

Fixer des durées de conservation défendables

« Conservation illimitée » n’existe pas dans le registre. Chaque catégorie de données porte une durée, justifiée soit par une obligation légale, soit par la finalité du traitement.

Quelques repères stables pour une PME française :

• Le double des bulletins de paie se conserve cinq ans, en vertu de l’article L3243-4 du Code du travail, avec accessibilité garantie pendant toute cette période.
• Les livres et pièces comptables suivent le délai de dix ans fixé par le Code de commerce à son article L123-22.
• Les données de prospects se conservent trois ans à compter du dernier contact émanant de la personne, durée retenue par la CNIL dans ses référentiels de gestion commerciale.
• Les images de vidéosurveillance ne dépassent pas un mois selon la recommandation de la CNIL, qui souligne que quelques jours suffisent le plus souvent.

Distinguez la base active de l’archivage intermédiaire. Une donnée dont l’usage courant s’achève peut rester conservée à des fins probatoires ou légales, dans un espace séparé, avec des accès restreints à quelques personnes. Cette distinction figure dans la fiche, colonne par colonne, et rend le registre nettement plus crédible qu’une durée unique appliquée à tout un traitement.

Le point de départ du délai compte autant que sa longueur. Trois ans « à compter du dernier contact » ne produit pas le même résultat que trois ans à compter de la collecte, surtout sur un fichier de prospection régulièrement relancé.

Faire vivre le registre et affronter un contrôle

Un registre daté de 2018 vaut à peu près autant qu’une absence de registre. Le document se met à jour à chaque événement qui modifie la réalité des traitements :

• Ouverture d’un nouveau service, d’une boutique en ligne ou d’un canal de collecte.
• Changement de logiciel de paie, de CRM ou d’hébergeur.
• Recours à un nouveau sous-traitant, ou changement de la localisation de ses serveurs.
• Modification d’une durée de conservation ou d’une base légale.
• Installation de caméras, de badges ou d’un outil de géolocalisation de véhicules.

Ajoutez une revue annuelle systématique, calée sur un rendez-vous déjà existant du calendrier de gestion, et une colonne « dernière mise à jour » par fiche. Le contrat signé avec chaque prestataire doit d’ailleurs comporter les clauses de sous-traitance prévues par l’article 28 du RGPD, ce qui rejoint la discipline contractuelle appliquée à la sélection des fournisseurs.

Lors d’un contrôle, le registre est le premier document réclamé, avant tout examen de fond. Il sert de plan de la maison aux agents de la CNIL, qui vérifient ensuite par sondage la cohérence entre ce qui est écrit et ce qui tourne réellement. Une fiche décrivant une durée de trois mois face à une base contenant des données de 2019 pèse plus lourd qu’une case laissée vide.

L’absence de registre constitue un manquement autonome à l’article 30, indépendant de toute fuite de données. L’article 83 du RGPD range ce manquement dans la catégorie plafonnée à dix millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Les petites structures relèvent le plus souvent de la procédure simplifiée de la CNIL, dont l’amende ne peut excéder vingt mille euros et dont l’usage s’est fortement intensifié : sur les 83 sanctions prononcées en 2025, l’autorité en compte 67 rendues par cette voie.

Prochaine étape : bloquez une demi-journée, listez vos traitements service par service sur une seule page, puis remplissez les fiches des trois plus sensibles, paie, clients et vidéosurveillance. Le reste du registre se complète ensuite par tranches de trente minutes, sans mobiliser personne à plein temps.