01

La réponse en bref

Un registre utile contient toujours : l'identité et les coordonnées du responsable du traitement (et du DPO, si désigné), les finalités de chaque traitement, les catégories de personnes concernées et de données, les destinataires auxquels les données sont communiquées, les éventuels transferts hors UE avec les garanties documentées, les délais de suppression prévus et une description des mesures de sécurité appliquées.

02

Pourquoi ces éléments et pas d'autres

Le RGPD distingue deux registres : celui du responsable du traitement, qui retrace les finalités et les destinataires, et celui du sous-traitant, qui liste les catégories de traitements effectués pour chaque responsable. Les deux doivent être tenus par écrit, y compris sous forme électronique, et mis à disposition de l'autorité de contrôle sur demande. L'obligation ne s'applique pas aux organisations de moins de 250 employés, sauf si le traitement présente des risques, n'est pas occasionnel ou concerne des catégories particulières de données.

03

La procédure par rôle

Étapes

  1. Le responsable du traitement identifie chaque activité de traitement et enregistre ses finalités, les catégories de personnes concernées et de données.
  2. Le responsable du traitement documente les destinataires des données, y compris ceux situés dans des pays tiers, avec les garanties adoptées.
  3. Le responsable du traitement ou le DPO estime, lorsque c'est possible, les délais de suppression pour chaque catégorie de données.
  4. Le sous-traitant tient un registre distinct des catégories de traitements effectués pour le compte du responsable du traitement.
  5. Le sous-traitant ne fait pas appel à un autre sous-traitant sans l'autorisation écrite préalable du responsable du traitement, et chaque mission est régie par un contrat précisant l'objet, la durée, la nature et la finalité du traitement.

04

Un cas hypothétique

Exemple hypothétique : une PME de 180 employés utilise un prestataire cloud externe pour la gestion des bulletins de paie. Le responsable du traitement enregistre la finalité (gestion du personnel), les catégories de données (données de rémunération) et le destinataire (le prestataire cloud). Le prestataire, en tant que sous-traitant, tient son propre registre des catégories de traitements effectués pour ce responsable et agit sur la base d'un contrat écrit définissant durée et nature.

05

Vérifications avant de considérer le registre complet

  • Chaque traitement comporte des finalités, des catégories de personnes concernées et de données indiquées.
  • Les destinataires, y compris les éventuelles organisations de pays tiers, sont listés avec les garanties documentées.
  • Les délais de suppression sont indiqués lorsque c'est possible.
  • Les mesures de sécurité techniques et organisationnelles sont décrites de manière générale.
  • Le registre est tenu par écrit, y compris sous forme électronique, et prêt à être présenté à l'autorité de contrôle sur demande.

06

Comment un logiciel peut soutenir cette procédure

Une entreprise peut demander à son fournisseur logiciel de configurer un espace dédié où, pour chaque traitement, finalités, catégories de données et destinataires sont enregistrés, avec un champ permettant de suivre qui a saisi ou modifié chaque entrée. Attribuer des rôles distincts à ceux qui remplissent le registre (le responsable du traitement ou son délégué) et à ceux qui le vérifient (le DPO, si désigné) favorise la traçabilité requise et facilite la présentation du registre en cas de demande.

07

Questions fréquentes sur le contenu du registre

Le registre du responsable du traitement et celui du sous-traitant ont des contenus différents : le premier est centré sur les finalités et les destinataires, le second sur les catégories de traitements effectués pour le compte du responsable.

Le seuil de 250 employés n'exonère pas automatiquement de l'obligation si le traitement présente des risques ou concerne des catégories particulières de données.

08

Prochaine étape

Étapes

  1. Listez toutes les activités de traitement actives dans l'entreprise, une par une.
  2. Attribuez à chacune un responsable interne chargé de sa mise à jour.
  3. Vérifiez que chaque entrée contient tous les éléments prévus par l'article 30.
  4. Planifiez une révision périodique avec le DPO, si désigné.

FAQ

Questions fréquentes

Quelles informations ne peuvent manquer dans un registre des traitements ?

Le nom et les coordonnées du responsable du traitement, la finalité du traitement, les catégories de personnes concernées et de données, les destinataires, les éventuels transferts hors UE, les délais de suppression et les mesures de sécurité, lorsqu'il est possible de les indiquer.

Le registre du sous-traitant est-il identique à celui du responsable du traitement ?

Non : le sous-traitant tient un registre des catégories de traitements effectués pour le compte de chaque responsable, avec ses propres coordonnées et celles du responsable, pas les mêmes entrées détaillées que celles du responsable.

Une PME de moins de 250 employés est-elle toujours exemptée du registre ?

Non : l'exemption ne s'applique pas si le traitement présente des risques pour les personnes concernées, n'est pas occasionnel ou concerne des catégories particulières de données ou des données relatives à des condamnations pénales.

✓

Sources et vérification