Registre des activités de traitement : quels éléments le rendent vraiment utile

01

Les éléments qui rendent utile un registre des activités de traitement

Un registre des activités de traitement est utile lorsqu'il contient, pour chaque activité : le nom et les coordonnées du responsable du traitement, du responsable conjoint, du représentant et du délégué à la protection des données ; les finalités du traitement ; les catégories de personnes concernées et de données personnelles ; les catégories de destinataires, y compris ceux situés dans des pays tiers ; les éventuels transferts hors UE avec les garanties adoptées ; les délais prévus pour l'effacement des données, dans la mesure du possible ; une description générale des mesures de sécurité techniques et organisationnelles.

02

À quoi cela sert concrètement

Le registre doit être tenu par écrit, y compris sous forme électronique, et mis à disposition de l'autorité de contrôle sur demande. Les entreprises de moins de 250 salariés peuvent être exemptées de cette obligation, sauf si le traitement présente un risque pour les droits des personnes concernées, n'est pas occasionnel ou porte sur des catégories particulières de données ou des données relatives à des condamnations pénales.

03

Comment construire un registre utilisable

Étapes

1. Identifiez le responsable du traitement, l'éventuel responsable conjoint, le représentant et le délégué à la protection des données avec leurs coordonnées.
2. Décrivez les finalités, les catégories de personnes concernées et les catégories de données personnelles pour chaque activité.
3. Listez les catégories de destinataires, y compris ceux situés dans des pays tiers ou des organisations internationales.
4. Documentez les transferts hors UE et les garanties adoptées, le cas échéant.
5. Si vous faites appel à des sous-traitants, formalisez un contrat écrit définissant l'objet, la durée, la nature et la finalité du traitement.

04

Exemple hypothétique

Une entreprise hypothétique de services RH enregistre une activité de traitement pour la gestion des candidatures : responsable du traitement et DPD avec leurs coordonnées, finalité 'sélection du personnel', catégorie de personnes concernées 'candidats', catégorie de données 'données d'identification et curriculum vitae', destinataires 'service des ressources humaines', aucun transfert hors UE, effacement après la période de conservation prévue, mesures de sécurité décrites de manière générale.

05

Liste de contrôle des éléments obligatoires

• Nom et coordonnées du responsable du traitement, du responsable conjoint, du représentant et du DPD, le cas échéant.
• Finalités du traitement indiquées pour chaque activité.
• Catégories de personnes concernées et catégories de données personnelles traitées.
• Catégories de destinataires, y compris les pays tiers ou organisations internationales.
• Description générale des mesures de sécurité techniques et organisationnelles.

06

Comment configurer le registre dans un logiciel de gestion

Une entreprise peut configurer, avec son partenaire logiciel, un module qui suit : les coordonnées du responsable du traitement et des sous-traitants, les finalités pour chaque activité, les catégories de données et de personnes concernées, les destinataires, les éventuels transferts hors UE et garanties associées, les délais d'effacement et les mesures de sécurité. Il est utile de prévoir des rôles distincts pour la saisie et la révision des données, avec un historique des modifications pour garantir la traçabilité et les révisions périodiques.

07

Questions fréquentes

Le registre est tenu par le responsable du traitement et, le cas échéant, par le sous-traitant, pour les activités menées sous leur responsabilité.

Le format peut être électronique, à condition que le contenu reste complet et disponible sur demande de l'autorité de contrôle.

08

Prochaine étape

Vérifiez quelles activités de traitement de votre organisation manquent encore d'une description complète selon les éléments listés et planifiez leur documentation.