Registre des activités de traitement : quels éléments le rendent vraiment utile

01

Ce que doit contenir le registre

• Nom et coordonnées du responsable du traitement, du responsable conjoint, du représentant et du délégué à la protection des données, le cas échéant
• Les finalités du traitement
• Catégories de personnes concernées et catégories de données personnelles traitées
• Catégories de destinataires, y compris ceux situés dans des pays tiers ou des organisations internationales
• Transferts hors UE, délais de suppression et mesures de sécurité, dans la mesure du possible

02

Qui doit le tenir et sous quelle forme

L'obligation concerne à la fois le responsable du traitement et le sous-traitant, qui tient un registre des catégories d'activités effectuées pour le compte du responsable. Les deux registres doivent être tenus par écrit, y compris sous forme électronique.

Les obligations ne s'appliquent pas aux entreprises de moins de 250 salariés, sauf si le traitement présente un risque pour les droits des personnes concernées, n'est pas occasionnel ou porte sur des catégories particulières de données ou des condamnations pénales.

03

Comment construire le registre étape par étape

Étapes

1. Lister le responsable, le responsable conjoint éventuel, le représentant et le délégué à la protection des données avec leurs coordonnées
2. Documenter chaque finalité de traitement séparément
3. Décrire les catégories de personnes concernées et de données pour chaque finalité
4. Indiquer les destinataires et les transferts vers des pays tiers, avec les garanties appropriées
5. Ajouter, dans la mesure du possible, les délais de suppression et les mesures de sécurité techniques et organisationnelles

04

Exemple hypothétique

Hypothèse : une entreprise de plus de 250 salariés enregistre le traitement des données du personnel pour la gestion des salaires. Le registre indique la finalité, les catégories d'employés concernés, le prestataire externe de paie comme destinataire et le transfert des données vers un cloud hors UE avec les garanties correspondantes.

Si la paie est confiée à un sous-traitant externe, le contrat précise l'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, ainsi que les obligations et droits du responsable.

05

Vérification avant de le considérer comme complet

• Le nom et les coordonnées du responsable, du représentant et du délégué à la protection des données sont présents
• Chaque finalité de traitement est documentée individuellement
• Les catégories de personnes concernées, de données, de destinataires et de transferts sont indiquées
• Le registre est sous forme écrite ou électronique et prêt pour l'autorité de contrôle
• Les contrats avec les sous-traitants externes contiennent les éléments requis

06

Ce qui peut être configuré dans un logiciel de gestion

Une entreprise peut demander à son partenaire logiciel de configurer des champs dédiés au responsable, aux finalités, aux catégories de données, aux destinataires et aux transferts, afin de garder les informations toujours à jour et consultables.

Il est utile de définir des rôles distincts pour ceux qui saisissent les entrées du registre et ceux qui les vérifient, avec un historique des modifications, afin de pouvoir présenter le registre sur demande de l'autorité compétente.

07

Questions fréquentes sur le registre

Le registre ne concerne-t-il que les grandes entreprises ? Non : il s'applique aux responsables et aux sous-traitants, avec une exemption limitée pour les organisations de moins de 250 salariés si le traitement n'est pas risqué ou occasionnel.

Un fichier électronique suffit-il ? Oui, la forme écrite, y compris électronique, est expressément admise par le règlement.

Que se passe-t-il si un élément comme les délais de suppression manque ? Le règlement exige ces données 'dans la mesure du possible', elles doivent donc être incluses lorsqu'elles sont disponibles.

08

Prochaine étape pratique

Revoyez votre registre actuel en le comparant aux éléments énumérés dans cet article et vérifiez que chaque finalité de traitement dispose d'une entrée complète et à jour.