Registre des traitements : quels éléments le rendent vraiment utile

01

La réponse en bref

Un registre des traitements devient un outil utile lorsqu'il réunit, pour chaque activité, les éléments prévus par le Règlement (UE) 2016/679 : le nom et les coordonnées du responsable du traitement, des éventuels responsables conjoints, du représentant du responsable du traitement et du délégué à la protection des données ; les finalités du traitement ; les catégories de personnes concernées et de données personnelles ; les catégories de destinataires, y compris ceux situés dans des pays tiers ; les éventuels transferts hors UE avec les garanties appliquées ; les délais d'effacement, dans la mesure du possible ; et une description générale des mesures de sécurité techniques et organisationnelles adoptées.

02

Qui le tient et sous quelle forme

L'obligation concerne à la fois le responsable du traitement, qui enregistre les activités menées sous sa propre responsabilité, et le sous-traitant, qui tient un registre distinct des catégories de traitements effectués pour le compte de chaque responsable. La relation entre les deux est régie par un contrat ou un autre acte juridique qui définit l'objet, la durée, la nature et la finalité du traitement. Le registre doit être tenu par écrit, y compris sous forme électronique, et les entreprises de moins de 250 salariés peuvent en être exemptées, sauf en cas de risque pour les personnes concernées, de traitement non occasionnel ou de données particulières.

03

Comment le construire étape par étape

Étapes

1. Listez chaque activité de traitement, en identifiant le responsable, les éventuels responsables conjoints, le représentant du responsable du traitement et le délégué à la protection des données.
2. Décrivez la finalité de chaque traitement ainsi que les catégories de personnes concernées et de données impliquées.
3. Indiquez les catégories de destinataires, y compris ceux situés dans des pays tiers ou des organisations internationales.
4. Documentez les transferts hors UE et les garanties adéquates appliquées, le cas échéant.
5. Notez les délais d'effacement prévus et les mesures de sécurité techniques et organisationnelles adoptées.

04

Un exemple hypothétique

Exemple hypothétique : une entreprise de quarante salariés cartographie le traitement des données du personnel. Le registre indique le responsable et ses coordonnées, la finalité (gestion de la relation de travail), les catégories de personnes concernées (salariés) et de données (données contractuelles et salariales), les destinataires (expert-comptable externe), l'absence de transferts hors UE, un délai de conservation lié à la durée de la relation de travail et les mesures de sécurité appliquées, comme le chiffrement des archives numériques.

05

Checklist des éléments prévus

• Nom et coordonnées du responsable du traitement, des éventuels responsables conjoints, du représentant du responsable du traitement et du délégué à la protection des données.
• Finalités du traitement décrites pour chaque activité enregistrée.
• Catégories de personnes concernées et de données personnelles traitées.
• Catégories de destinataires et, le cas échéant, transferts vers des pays tiers avec les garanties adoptées.
• Délais d'effacement, dans la mesure du possible, et mesures de sécurité techniques et organisationnelles.

06

Le mettre en place avec un partenaire logiciel

Une entreprise peut choisir de confier à un partenaire logiciel la structure d'information qui soutient le registre : une liste unique des activités de traitement, avec des champs pour le responsable et le sous-traitant, les contacts, les catégories de personnes concernées et de données, les destinataires, les transferts, les délais d'effacement et les mesures de sécurité. Attribuer des rôles et des droits de modification uniquement à ceux qui mettent à jour le registre, et conserver une trace des révisions dans le temps, sont des choix opérationnels qui rendent le registre consultable et cohérent avec l'obligation de le tenir par écrit, y compris sous forme électronique.

07

Questions fréquentes

• Le registre peut être tenu sous forme électronique, pas uniquement sur papier.
• Les entreprises de moins de 250 salariés peuvent en être exemptées, sauf en cas de risque pour les droits des personnes concernées ou de données particulières.
• Sur demande, le registre doit être mis à disposition de l'autorité de contrôle compétente.

08

La prochaine étape utile

Listez les activités de traitement déjà en cours dans l'entreprise et vérifiez, une par une, si tous les éléments prévus y figurent : contacts, finalités, catégories, destinataires, transferts, délais d'effacement et mesures de sécurité. Ce contrôle permet d'identifier rapidement ce qui manque et de compléter le registre avec des données vérifiables.