Le registre des traitements RGPD : à quoi ça sert, comment le faire

Le registre des traitements est souvent le premier document qu'on vous réclame en cas de contrôle CNIL, et pourtant beaucoup de PME ne l'ont pas. Bonne nouvelle : c'est plus simple qu'il n'y paraît.

Le registre des traitements, c'est quoi ?

C'est le document qui recense tous les traitements de données personnelles que réalise votre entreprise. Un « traitement », c'est toute opération sur des données personnelles : gérer un fichier clients, envoyer une newsletter, payer les salaires, suivre des candidatures. Le registre en dresse la liste et décrit, pour chacun, l'essentiel.

Il est prévu par l'article 30 du RGPD et constitue la colonne vertébrale de votre conformité : impossible de protéger ce qu'on n'a pas recensé.

Qui doit le tenir ?

En principe, toutes les organisations. Le RGPD prévoit un allègement pour les entreprises de moins de 250 salariés, mais avec des exceptions si larges (traitements réguliers, données sensibles, risques pour les personnes) que, dans la pratique, presque toutes les PME doivent en tenir un. La CNIL recommande d'ailleurs à tout le monde de le faire, ne serait-ce que pour s'y retrouver.

Que contient-il ?

Pour chaque traitement, le registre décrit généralement :

• la finalité : à quoi sert le traitement (gérer les commandes, recruter, faire de la prospection) ;
• les catégories de données concernées (identité, coordonnées, données bancaires) ;
• les personnes concernées (clients, prospects, salariés) ;
• les destinataires des données (services internes, prestataires) ;
• la durée de conservation ;
• les mesures de sécurité en place.

Comment le construire simplement

Inutile d'un logiciel coûteux pour démarrer. Un tableur bien organisé suffit, avec une ligne par traitement. La méthode la plus efficace : faites le tour des services (commercial, RH, compta, marketing) et notez, pour chacun, ce qu'ils font avec des données personnelles. La CNIL fournit aussi un modèle de base gratuit.

Le plus dur n'est pas la forme, c'est de ne rien oublier. Pensez aux traitements « invisibles » : la vidéosurveillance, les cookies du site, les fichiers de prospection.

Un document vivant

Le registre n'est pas un livrable qu'on remplit une fois pour toujours. Il doit être mis à jour à chaque nouveau traitement : nouveau logiciel, nouvelle campagne, nouveau prestataire. Une revue une à deux fois par an évite qu'il ne devienne obsolète.

Le lien avec la sécurité et NIS2

La colonne « mesures de sécurité » du registre recoupe directement les attentes des questionnaires de sécurité et de NIS2. Tenir un registre à jour, c'est donc préparer aussi vos réponses côté cybersécurité.

En résumé

Le registre des traitements liste tout ce que votre entreprise fait avec des données personnelles : finalité, données, durée, sécurité. Il est exigé par l'article 30 du RGPD et concerne en pratique presque toutes les PME. Un tableur suffit pour commencer, à condition de le tenir à jour.

FAQ

Ma PME de moins de 250 salariés doit-elle un registre ? En pratique presque toujours, à cause des exceptions à l'allègement (traitements réguliers, données sensibles). La CNIL recommande à toutes les structures d'en tenir un.

Peut-on le faire sur un simple tableur ? Oui. Un tableur clair, avec une ligne par traitement, est parfaitement valable pour une PME. Les outils dédiés deviennent utiles quand les traitements se multiplient.

À quelle fréquence le mettre à jour ? À chaque nouveau traitement, et au moins une revue générale une à deux fois par an.