Registre des traitements : le vrai enjeu, c'est de le tenir vivant

Le registre est-il obligatoire, et pour qui ?

Oui, pour la quasi-totalité des organismes qui traitent des données personnelles, quelle que soit leur taille. L'article 30 du RGPD pose l'obligation, et sa portée est très large.

Une dérogation existe bien pour les organisations de moins de 250 salariés (article 30, paragraphe 5), mais c'est un piège classique. Elle ne joue que si le traitement remplit les trois conditions à la fois : être occasionnel, et ne comporter aucun risque pour les droits et libertés des personnes, et ne porter sur aucune donnée sensible au sens des articles 9 et 10 du RGPD (santé, opinions, données pénales...). Il suffit qu'une seule de ces conditions ne soit pas remplie pour que le registre redevienne obligatoire. Dès que vous gérez une base clients, une paie ou un site web avec un formulaire, la dérogation tombe. La CNIL le confirme : elle recommande le registre à tous, sans condition de taille, et met à disposition un modèle de registre de base.

Que doit contenir le registre ?

Le registre recense chacune de vos activités de traitement, avec, pour chacune, les éléments listés à l'article 30 : les finalités du traitement, les catégories de personnes concernées et de données traitées, les destinataires, les éventuels transferts hors Union européenne, les durées de conservation prévues, et une description générale des mesures de sécurité. Ce n'est pas un document abstrait : c'est la cartographie de ce que votre organisation fait réellement des données qu'elle détient. C'est aussi ce qui rend son maintien exigeant, car cette réalité bouge sans arrêt.

Une distinction que beaucoup de sites confondent : l'article 30 prévoit en réalité deux registres différents. Le registre du responsable de traitement (paragraphe 1) recense vos propres traitements, avec les mentions ci-dessus. Le registre du sous-traitant (paragraphe 2) recense les traitements que vous réalisez pour le compte de vos clients, avec des mentions distinctes : l'identité des responsables de traitement pour lesquels vous agissez, les catégories de traitements effectués, les transferts hors UE et une description des mesures de sécurité. Si vous êtes prestataire, c'est ce second registre que vous devez tenir, et son absence se sanctionne pour elle-même.

Pourquoi « un registre à jour » vaut mieux qu'« un registre fait »

Un registre est une photographie de vos traitements à un instant donné. Le problème, c'est que l'instant passe. La plupart des non-conformités constatées ne viennent pas d'une absence de registre, mais d'un registre figé : monté un jour de bonne volonté, validé, puis jamais rouvert. Or un registre faux est parfois pire qu'un registre absent, parce qu'il donne l'illusion de la conformité. Le jour d'un contrôle, l'écart entre ce que dit le registre et ce que fait réellement l'organisation saute aux yeux. Tenir son registre, ce n'est donc pas une tâche que l'on termine, c'est un état que l'on entretient.

Ce risque est concret. Dans sa délibération SAN-2025-014 du 11 décembre 2025, la CNIL a retenu un manquement à l'article 30 du RGPD à l'encontre d'un sous-traitant qui ne tenait pas de registre de ses activités, alors même que le traitement n'était pas occasionnel. La tenue du registre n'est donc pas un simple formalisme : c'est un manquement autonome, qui se sanctionne pour lui-même, indépendamment de tout autre.

Qu'est-ce qui rend un registre caduc ?

Un registre se périme au rythme de la vie de l'entreprise. Les déclencheurs les plus fréquents :

• Un nouvel outil ou logiciel qui traite des données (CRM, solution de paie, plateforme d'e-mailing, outil de visioconférence).
• Un nouveau prestataire ou sous-traitant, qui change la liste des destinataires et parfois le lieu d'hébergement des données.
• Une nouvelle finalité : on collecte des données déjà détenues pour un nouvel usage (prospection, statistiques, recrutement).
• Un changement de durée de conservation, ou l'absence de purge des données anciennes.
• Une évolution du site web : un formulaire ajouté, un traceur de mesure d'audience, un module de paiement.
• Un mouvement RH : nouveaux dispositifs de suivi, de badgeage, de télétravail, qui créent de nouveaux traitements.

Aucun de ces événements ne s'accompagne spontanément d'une mise à jour du registre. C'est précisément là que la conformité décroche, en silence.

À quelle fréquence faut-il le mettre à jour ?

Le RGPD ne fixe pas de fréquence : il exige que le registre soit exact, en continu. Concrètement, cela se traduit par deux réflexes complémentaires. Le premier, le plus important, est de mettre le registre à jour à chaque changement de traitement, au moment où il se produit : c'est le seul moyen de ne pas accumuler de retard. Le second est une revue périodique, au moins annuelle, pour rattraper ce qui serait passé sous le radar et vérifier que les durées de conservation sont respectées. Une organisation qui ne s'appuie que sur la revue annuelle court après un an de dérive à chaque fois ; celle qui met à jour en continu n'a, en revue, qu'à confirmer.

Qui doit tenir le registre ?

La responsabilité juridique incombe au responsable de traitement, c'est-à-dire à l'organisme lui-même. Mais dans les faits, personne ne tient un registre à jour tout seul. Le DPO ou le référent en assure le pilotage et la cohérence, mais l'information sur les traitements réels vient des métiers : les ressources humaines, le marketing, l'informatique, la direction. Un registre vivant suppose donc un circuit léger par lequel ces équipes signalent les changements, plutôt qu'un document qu'une seule personne tente de reconstituer une fois par an. Si vous êtes sous-traitant, notez que vous devez tenir votre propre registre, distinct de celui de vos clients (article 30, paragraphe 2).

Comment le tenir vivant sans y passer ses journées ?

La difficulté n'est pas de comprendre le registre, c'est de le maintenir. Un tableur y arrive au démarrage, puis devient un fardeau : personne ne sait quelle est la dernière version, les mises à jour se perdent, la revue annuelle vire au chantier. Un outil dédié change l'équation : la saisie est guidée, l'historique est horodaté, et la mise à jour d'un traitement prend quelques minutes au lieu d'une demi-journée. C'est exactement ce que fait Dativo : construire un premier registre conforme en une matinée, puis le faire vivre au fil de vos traitements. Et quand il faut un renfort humain, notre accompagnement DPO externalisé prend le relais.

À quoi sert un registre à jour, au-delà de la conformité ?

Un registre tenu n'est pas qu'une pièce à produire en cas de contrôle : c'est la carte de vos données. Il vous dit, à tout moment, où sont vos données personnelles, qui y accède et combien de temps vous les conservez. Cette carte sert bien au-delà du RGPD. Elle accélère la réponse à une demande de droit, puisque vous savez immédiatement quels traitements sont concernés. Elle éclaire vos choix de sécurité, parce qu'on protège d'abord ce qu'on a recensé. Et elle facilite l'arrivée d'un nouveau DPO, d'un repreneur ou d'un partenaire, qui hérite d'un dossier lisible plutôt que d'une zone d'ombre. Vu ainsi, tenir son registre cesse d'être une corvée réglementaire pour devenir un réflexe de bonne gestion.

Sources : article 30 du RGPD (texte consolidé, CNIL) ; CNIL, « Le registre des activités de traitement » et son modèle de registre ; délibération CNIL SAN-2025-014 du 11 décembre 2025 (défaut de registre du sous-traitant, articles 30-2 et 30-5).