Comment tenir le registre des activités de traitement ?

À quoi sert le registre ?

Le registre des activités de traitement est un inventaire écrit, sous forme papier ou électronique, de tous les traitements de données personnelles mis en œuvre par un organisme. Prévu par l'article 30 du RGPD, il remplace les anciennes déclarations à la CNIL et sert trois objectifs : obliger l'organisme à connaître précisément ce qu'il fait des données, constituer le socle de toutes les autres actions (information, durées, sécurité, sous-traitants) et permettre à l'autorité de contrôle de comprendre rapidement les traitements. Un registre bien tenu fait gagner un temps considérable lors d'une demande d'accès, d'une violation de données ou d'un contrôle.

Qui doit tenir un registre ?

Le principe est simple : tout responsable de traitement et tout sous-traitant doit tenir un registre. Le paragraphe 5 de l'article 30 prévoit une dérogation pour les entreprises et organisations de moins de 250 salariés, mais elle ne joue pas si le traitement est susceptible de comporter un risque pour les droits et libertés, s'il n'est pas occasionnel ou s'il porte sur des données sensibles ou pénales. Or la gestion de la paie, des clients ou des fournisseurs n'est jamais occasionnelle. En pratique, presque toutes les structures, même très petites, doivent donc inscrire au moins ces traitements dans leur registre ; la CNIL propose pour elles un modèle simplifié.

Ce que doit contenir chaque fiche

Pour le responsable du traitement, l'article 30 liste les mentions obligatoires : le nom et les coordonnées du responsable et, le cas échéant, du délégué à la protection des données ; les finalités du traitement ; les catégories de personnes concernées et de données ; les catégories de destinataires ; les transferts vers des pays tiers et les garanties associées ; les délais prévus pour l'effacement ; une description générale des mesures de sécurité. Il est vivement conseillé d'y ajouter la base légale, la source des données, les sous-traitants nommément, la date de mise en œuvre et le lien vers l'éventuelle analyse d'impact.

Exemple pour une petite entreprise

Une entreprise de rénovation de douze salariés qui dispose d'un site vitrine aura typiquement six à dix fiches : gestion des clients et des chantiers, devis et facturation, prospection, gestion du personnel et paie, recrutement, gestion des fournisseurs, formulaire de contact du site, éventuellement géolocalisation des véhicules et vidéosurveillance du dépôt. Chaque fiche tient sur une page. L'exercice prend une à deux journées la première fois, puis quelques heures par an pour la mise à jour.

Le registre du sous-traitant

Le sous-traitant tient un registre distinct, plus léger, des catégories d'activités de traitement qu'il effectue pour le compte de ses clients : le nom et les coordonnées de chaque client responsable, les catégories de traitements réalisés pour lui, les transferts éventuels et la description des mesures de sécurité. Une agence web, un cabinet comptable ou une société d'infogérance tient donc deux registres : l'un pour ses propres traitements, l'autre pour ceux qu'elle opère pour ses clients.

Tenir le registre à jour

Un registre figé perd vite son utilité. Il faut le mettre à jour à chaque nouveau traitement, changement d'outil, de prestataire ou de durée de conservation, et le relire au moins une fois par an. Le plus simple est d'en faire une étape obligatoire de tout nouveau projet, en lien avec la démarche de privacy by design. Le format est libre : tableur, logiciel dédié, document partagé, pourvu qu'il soit complet, daté et accessible. Le registre doit être mis à la disposition de la CNIL sur demande ; il n'a pas à être publié, mais certains organismes publics choisissent de le rendre accessible par transparence.

Le registre des violations, un document distinct

À ne pas confondre : l'article 33, paragraphe 5, impose de documenter toute violation de données, même lorsqu'elle n'a pas été notifiée à la CNIL, dans un registre interne des violations. Ce document décrit les faits, leurs effets et les mesures prises. Il est expliqué dans le guide des violations de données.

Comment construire son registre pas à pas

La construction du registre commence par un recensement. Le pilote rencontre chaque service, ou envoie un questionnaire simple, pour identifier les activités qui impliquent des données personnelles : quelles données, pour quoi faire, sur qui, avec quels outils, transmises à qui, conservées combien de temps. Il regroupe ensuite ces activités par finalité, car le registre recense des traitements et non des logiciels : un même logiciel peut servir plusieurs traitements, et un même traitement peut mobiliser plusieurs outils. Il rédige enfin une fiche par traitement, en commençant par les plus importants ou les plus risqués. Pour une petite entreprise, une dizaine à une vingtaine de fiches couvrent généralement l'essentiel de l'activité.

Les questions à poser à chaque service

Pour recenser efficacement, quelques questions suffisent. Quelles informations sur des personnes utilisez-vous dans votre travail ? Pourquoi en avez-vous besoin ? D'où viennent-elles ? Dans quels outils sont-elles enregistrées ? Qui y a accès, en interne et à l'extérieur ? Combien de temps les gardez-vous ? Sont-elles envoyées hors de l'Union, par exemple via un logiciel en ligne ? Ces questions, posées en termes concrets, permettent de faire émerger des traitements oubliés, comme le fichier personnel d'un commercial, le tableau des anniversaires tenu par l'accueil ou la liste des visiteurs conservée à l'entrée.

Les traitements que l'on oublie souvent

Certains traitements échappent régulièrement au premier recensement. La messagerie électronique, qui contient pourtant une masse de données personnelles. La téléphonie et l'enregistrement des appels. Le contrôle d'accès par badge et la vidéosurveillance. Les journaux de connexion des systèmes informatiques. La gestion des visiteurs à l'accueil. Les outils collaboratifs et les partages de fichiers. Les formulaires de contact et la lettre d'information du site. Les comptes de l'entreprise sur les réseaux sociaux, qui impliquent une responsabilité conjointe avec la plateforme pour les statistiques de fréquentation. La gestion des litiges et du contentieux. La géolocalisation des véhicules. Penser à ces traitements dès le départ évite de découvrir des lacunes lors d'un contrôle.

Le registre comme outil de pilotage

Le registre n'est pas seulement une obligation documentaire. Bien construit, il devient un outil de pilotage. En le parcourant, on repère les traitements sans durée de conservation définie, les prestataires sans contrat, les transferts non encadrés, les données sensibles qui appellent une analyse d'impact ou les traitements dont la base légale est fragile. Chaque fiche peut ainsi comporter une colonne « actions à mener » qui alimente le plan de conformité. Certains organismes y ajoutent aussi le niveau de risque, le service responsable, la date de dernière mise à jour et les liens vers la documentation associée, comme le contrat de sous-traitance ou la mention d'information.

Le format du registre

Le RGPD exige que le registre se présente sous une forme écrite, y compris électronique, sans imposer de modèle. Un tableur, un document de traitement de texte, l'outil en ligne de la CNIL ou un logiciel spécialisé conviennent. Les logiciels de gestion de la conformité offrent des fonctions utiles pour les structures importantes : génération de rapports, rappels de mise à jour, lien avec les analyses d'impact et les contrats, gestion des droits d'accès. Pour une petite structure, le modèle de la CNIL, complété au fil de l'eau, est souvent la solution la plus simple et la plus durable. Le registre doit pouvoir être communiqué à la CNIL sur demande, ce qui suppose qu'il soit lisible par un tiers et rédigé en français.

Les erreurs à éviter dans le registre

Les registres examinés lors des contrôles présentent des défauts récurrents. Les finalités sont parfois trop vagues, comme « gestion de l'entreprise » ou « marketing », alors qu'elles doivent être précises. Les durées de conservation sont souvent absentes ou remplacées par la mention « durée nécessaire ». Les catégories de données sont listées sans distinction, sans signaler les données sensibles. Les destinataires sont oubliés, notamment les prestataires. Le registre n'a pas été mis à jour depuis sa création en 2018. Enfin, certains registres décrivent des logiciels plutôt que des traitements, ce qui empêche de comprendre l'usage réel des données. Une relecture critique, idéalement par une personne extérieure au service qui l'a rédigé, permet de corriger ces défauts.

Le registre et les autres documents

Le registre est au centre de la documentation de conformité. La politique de confidentialité doit être cohérente avec lui : les finalités, les bases légales, les durées et les destinataires annoncés aux personnes doivent correspondre à ceux qui figurent dans les fiches. Les analyses d'impact approfondissent les traitements les plus risqués. Les contrats de sous-traitance encadrent les destinataires qui agissent pour le compte de l'organisme. Le registre des violations et le journal des demandes de droits complètent l'ensemble. Une incohérence entre ces documents, par exemple une durée de conservation différente dans le registre et dans la mention d'information, est rapidement repérée lors d'un contrôle et fragilise l'ensemble de la démarche.

Un exemple de fiche complète

Pour illustrer, voici le contenu d'une fiche « gestion de la vidéosurveillance » dans un commerce. Responsable : la société, représentée par son gérant, avec les coordonnées du référent. Finalité : sécurité des biens et des personnes, prévention des vols et des agressions. Base légale : intérêt légitime du commerçant. Personnes concernées : clients, salariés, prestataires et visiteurs. Données : images vidéo, sans son, date et heure. Destinataires : gérant et personnes habilitées, prestataire de maintenance du système, forces de l'ordre sur réquisition. Transfert hors de l'Union : aucun. Durée de conservation : trente jours au maximum, sauf extraction en cas d'incident pour transmission aux autorités. Mesures de sécurité : enregistreur dans un local fermé, accès protégé par mot de passe nominatif, journalisation des consultations, information par panneaux à l'entrée. Si les caméras filment la voie publique, une autorisation préfectorale est nécessaire, ce qui sera mentionné.

Les durées de conservation dans le registre

La rubrique des durées de conservation est l'une des plus difficiles à renseigner. Elle doit distinguer, le cas échéant, la durée en base active, pendant laquelle les données sont utilisées pour la finalité, la durée d'archivage intermédiaire, pendant laquelle elles sont conservées à part pour répondre à une obligation légale ou se prémunir d'un contentieux, et le sort final, suppression ou anonymisation. Les référentiels de la CNIL et les textes sectoriels donnent des repères : trois ans après le dernier contact pour un prospect, durée de la relation contractuelle puis délais de prescription pour un client, dix ans pour les pièces comptables, cinq ans après le départ pour certains documents relatifs aux salariés. Indiquer « durée nécessaire » ne suffit pas.

Les mesures de sécurité dans le registre

Le registre doit contenir, dans la mesure du possible, une description générale des mesures techniques et organisationnelles de sécurité. Il ne s'agit pas de détailler la configuration des pare-feu, mais de décrire les grandes catégories de mesures : gestion des habilitations, authentification, chiffrement, sauvegardes, journalisation, sécurité physique, sensibilisation du personnel, procédures de gestion des incidents. Cette description peut renvoyer à une politique de sécurité générale, complétée pour chaque traitement par les mesures spécifiques, comme le chiffrement renforcé pour des données de santé ou la double authentification pour l'accès à un logiciel de paie.

Qui tient le registre et qui le consulte ?

Le registre est tenu par le responsable de traitement, sous la coordination du délégué à la protection des données lorsqu'il existe, ou du référent désigné. Les services métiers contribuent à sa mise à jour, car ce sont eux qui connaissent l'évolution de leurs traitements. Le registre n'a pas vocation à être publié, mais il doit être mis à la disposition de la CNIL sur demande. Il peut être communiqué en interne aux personnes qui en ont besoin, comme les responsables de service ou les auditeurs. Certains organismes publics choisissent de le publier par souci de transparence, ce qui n'est pas obligatoire mais témoigne d'une démarche ouverte.

Le registre lors d'un contrôle de la CNIL

Lors d'un contrôle, le registre est presque toujours l'une des premières pièces demandées. Les contrôleurs l'utilisent pour comprendre l'organisation, identifier les traitements à examiner et vérifier la cohérence avec ce qu'ils observent sur place ou en ligne. Un registre absent, incomplet ou manifestement obsolète est relevé comme un manquement à l'article 30, mais il pénalise surtout l'organisme dans la suite du contrôle, car il révèle une démarche de conformité insuffisante. À l'inverse, un registre clair et à jour facilite les échanges, réduit la durée du contrôle et témoigne de la bonne foi de l'organisme. Plusieurs sanctions de la CNIL ont retenu l'absence de registre parmi les manquements, notamment à l'encontre de petites structures qui pensaient en être dispensées.

Faire évoluer le registre avec l'organisme

Le registre doit suivre la vie de l'organisme. Un nouveau logiciel, une nouvelle activité, un changement de prestataire, une fusion, une réorganisation ou la fin d'un traitement doivent se traduire par une mise à jour. Une revue complète au moins annuelle est recommandée, complétée par des mises à jour au fil de l'eau. Conserver les versions successives, avec la date de chaque modification, permet de démontrer la continuité de la démarche. Lors d'une acquisition d'entreprise, le registre de la cible constitue d'ailleurs un élément important de l'audit préalable, qui permet d'évaluer rapidement le niveau de conformité et les risques repris par l'acquéreur.

Le registre dans les associations et les collectivités

Les associations doivent tenir un registre dès qu'elles gèrent des adhérents, des donateurs ou des bénévoles de façon régulière, ce qui est presque toujours le cas. La CNIL propose un modèle adapté et un référentiel spécifique pour la gestion des membres et des donateurs. Les collectivités territoriales, souvent accompagnées par un délégué mutualisé, tiennent des registres plus étendus, couvrant l'état civil, les listes électorales, l'action sociale, la cantine scolaire, l'urbanisme ou la gestion du personnel. Dans tous les cas, le principe est le même : une fiche par finalité, des informations précises et une mise à jour régulière.

Un registre concis reste plus facile à faire vivre, à partager avec les services et à présenter en cas de contrôle.