Nom et coordonnées du responsable
Identité et coordonnées du responsable du traitement, de son représentant et du DPO le cas échéant.
Guide pratique
Guide complet du registre des traitements RGPD
Le registre des traitements est la pierre angulaire de votre conformité RGPD. Imposé par l'article 30 du règlement, il documente l'ensemble de vos traitements de données personnelles. Voici comment le créer et le maintenir.
Qu'est-ce que le registre des traitements ?
Le registre des traitements est un document obligatoire qui recense de manière structurée l'ensemble des activités de traitement de données personnelles menées par votre organisation.
Prévu par l'article 30 du RGPD, il constitue le socle documentaire de votre conformité. C'est le premier document demandé par la CNIL en cas de contrôle, et le fondement sur lequel reposent toutes vos autres démarches : analyse d'impact, gestion des droits, relations avec les sous-traitants.
Concrètement, chaque fiche du registre décrit un traitement spécifique : sa finalité, les données collectées, les personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité mises en place.
Qui doit tenir un registre ?
En théorie, les entreprises de moins de 250 salariés bénéficient d'une exemption. En pratique, cette exemption est tellement restrictive qu'elle ne s'applique quasiment jamais.
L'exemption ne joue que si les trois conditions suivantes sont réunies :
- Aucun traitement n'est régulier (ni CRM, ni paie, ni site web avec formulaire)
- Aucun traitement ne porte sur des données sensibles (santé, religion, biométrie…)
- Aucun traitement ne présente un risque pour les droits et libertés des personnes
Dès que vous gérez un fichier clients, envoyez des emails commerciaux, tenez une comptabilité salariés ou utilisez un outil de suivi web, vous effectuez un traitement régulier. Concrètement, toute entreprise doit tenir un registre.
« Même si vous êtes une TPE de 3 salariés, vous traitez probablement des données personnelles de manière régulière. Le registre est votre meilleur allié pour le prouver. »
Les 8 champs obligatoires du registre
L'article 30 du RGPD définit précisément les informations que chaque fiche de traitement doit contenir.
Finalités du traitement
Pourquoi traitez-vous ces données ? Gestion commerciale, RH, marketing, sécurité… Chaque finalité doit être explicitée.
Catégories de personnes concernées
Clients, salariés, prospects, fournisseurs, visiteurs du site web… Identifiez précisément les populations visées.
Catégories de données
Nom, email, adresse, données bancaires, données de santé… Détaillez les types de données personnelles collectées.
Destinataires des données
Qui a accès aux données ? Services internes, sous-traitants, partenaires, autorités. Listez tous les destinataires.
Transferts hors UE
Des données sont-elles transférées en dehors de l'Union européenne ? Documentez les garanties (clauses contractuelles, décision d'adéquation).
Durées de conservation
Combien de temps conservez-vous les données ? Définissez des durées précises, justifiées par la finalité ou une obligation légale.
Mesures de sécurité
Chiffrement, contrôle d'accès, sauvegardes, pseudonymisation… Décrivez les mesures techniques et organisationnelles en place.
5 étapes pour créer votre registre
1. Cartographiez vos traitements
Recensez toutes les activités qui impliquent des données personnelles. Pensez à la paie, la gestion commerciale, le marketing, la vidéosurveillance, le site web, les badges d'accès. Interrogez chaque service pour n'oublier aucun traitement.
2. Identifiez les bases légales
Chaque traitement doit reposer sur une base légale : consentement, contrat, obligation légale, intérêt légitime, mission d'intérêt public ou protection des intérêts vitaux. Vérifiez que chaque traitement est justifié.
3. Documentez les mesures de sécurité
Pour chaque traitement, décrivez les mesures techniques (chiffrement, pare-feu, contrôle d'accès) et organisationnelles (politique de mots de passe, formation, habilitations) que vous avez mises en place.
4. Vérifiez la conformité
Passez en revue chaque traitement : les données sont-elles nécessaires ? Les durées de conservation sont-elles définies ? L'information aux personnes est-elle effective ? Identifiez les écarts et définissez un plan d'action.
5. Maintenez le registre à jour
Le registre est un document vivant. Mettez-le à jour à chaque nouveau traitement, chaque modification ou suppression. Planifiez une revue complète au moins une fois par an pour vérifier que tout est encore exact.
Erreurs courantes à éviter
Ces pièges fréquents fragilisent votre registre et votre conformité.
Registre figé dans le temps
Créer le registre une fois et ne plus y toucher est une erreur classique. Un registre obsolète est pire que pas de registre : il donne une fausse impression de conformité.
Descriptions trop vagues
« Gestion des clients » ne suffit pas comme finalité. Soyez précis : « Gestion de la relation commerciale et suivi des commandes ». La CNIL attend de la rigueur.
Oublier les sous-traitants
Votre hébergeur, votre outil d'emailing, votre CRM cloud : ce sont des sous-traitants qui traitent des données pour votre compte. Ils doivent figurer dans le registre.
Ignorer les traitements RH
La paie, le recrutement, la gestion des congés, les badges d'accès : ces traitements sont souvent oubliés alors qu'ils concernent des données parfois sensibles.
Durées de conservation absentes
Ne pas définir de durée de conservation est une non-conformité flagrante. Chaque traitement doit avoir une durée justifiée, avec une purge effective à l'échéance.
Simplifiez votre registre avec Dativo
Tenir un registre dans un tableur devient vite fastidieux à mesure que le nombre de traitements augmente. Dativo vous offre un registre des traitements structuré, guidé et toujours à jour.
Formulaires guidés
Chaque champ est accompagné d'explications et d'exemples. Pas besoin d'être juriste pour remplir votre registre correctement.
Rappels de mise à jour
Dativo vous alerte quand une fiche n'a pas été revue depuis longtemps. Votre registre reste vivant et à jour, sans effort supplémentaire.
Export immédiat
En cas de contrôle CNIL, exportez votre registre complet en un clic. Format structuré, lisible et conforme aux attentes de l'autorité.
Questions fréquentes sur le registre des traitements
En théorie, les entreprises de moins de 250 salariés sont exemptées. En pratique, cette exemption ne s'applique que si aucun traitement n'est régulier, ne porte sur des données sensibles ou ne présente un risque pour les droits des personnes. Concrètement, presque toutes les entreprises doivent tenir un registre.
Le RGPD n'impose aucun format particulier. Vous pouvez utiliser un tableur, un document texte ou un logiciel dédié comme Dativo. L'essentiel est que le registre soit tenu à jour, accessible et complet. Un outil dédié facilite grandement la maintenance sur le long terme.
Le registre doit être mis à jour dès qu'un nouveau traitement est créé, qu'un traitement existant est modifié ou supprimé. Il est recommandé de faire une revue complète au moins une fois par an pour vérifier que toutes les fiches sont encore exactes.
L'absence de registre est une infraction au RGPD sanctionnable par la CNIL. Les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Au-delà de l'amende, c'est souvent le premier document demandé lors d'un contrôle. Ne pas l'avoir, c'est partir avec un désavantage immédiat.
Créez votre registre des traitements en quelques minutes
Dativo vous guide pas à pas pour construire un registre conforme, complet et toujours à jour. Essayez gratuitement, sans engagement.
Démarrer mon registre gratuitement