Comment créer et maintenir votre registre des traitements RGPD

Le registre des traitements est le document central de votre conformité RGPD. Imposé par l'article 30 du règlement européen, il recense l'ensemble des traitements de données personnelles effectués par votre organisation. C'est le premier document que la CNIL demandera en cas de contrôle.

Qui doit tenir un registre des traitements ?

Contrairement à une idée reçue, le registre n'est pas réservé aux grandes entreprises. Depuis les précisions apportées par la CNIL, toutes les organisations sont concernées :

• Les entreprises de toutes tailles (TPE, PME, ETI, grands groupes)
• Les associations et fondations
• Les collectivités locales et établissements publics
• Les professions libérales (avocats, médecins, comptables...)
• Les sous-traitants qui traitent des données pour le compte d'autrès organisations

Que doit contenir le registre ? Les mentions obligatoires

Le registre du responsable de traitement doit contenir, pour chaque traitement, les informations suivantes :

• Le nom et les coordonnées du responsable de traitement (et le cas échéant du DPO)
• Les finalités du traitement (pourquoi vous collectez ces données)
• Les catégories de personnes concernées (clients, salariés, prospects...)
• Les catégories de données personnelles traitées (identité, coordonnées, données bancaires...)
• Les catégories de destinataires (internes et externes)
• Les transferts de données hors UE (le cas échéant, avec les garanties appropriées)
• Les durées de conservation prévues pour chaque catégorie de données
• Une description générale des mesures de sécurité techniques et organisationnelles

Comment structurer votre registre : méthodologie en 5 étapes

Étape 1 - Cartographiez vos traitements : Identifiez tous les traitements de données personnelles dans chaque service de votre organisation. Interviewez les responsables de service, analysez vos applications et vos flux de données.

Étape 2 - Documentez chaque traitement : Pour chaque traitement identifié, renseignez toutes les mentions obligatoires de l'article 30. Soyez précis et exhaustif.

Étape 3 - Identifiez les bases légales : Chaque traitement doit reposer sur une base légale parmi les 6 prévues par l'article 6 du RGPD (consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêts légitimes).

Étape 4 - Définissez les durées de conservation : Fixez une durée de conservation pour chaque catégorie de données. Appuyez-vous sur les référentiels de la CNIL et les obligations légales sectorielles.

Étape 5 - Mettez à jour régulièrement : Le registre est un document vivant. Prévoyez une revue trimestrielle et une mise à jour systématique à chaque nouveau traitement ou modification significative.

Les erreurs à éviter

• Un registre figé qui n'est jamais mis à jour - prévoyez des revues régulières
• Des descriptions trop vagues des finalités - soyez précis et spécifique
• L'absence de durées de conservation - c'est une mention obligatoire
• Oublier les traitements informels (fichiers Excel, boites email partagées...)
• Ne pas inclure les traitements des sous-traitants
• Confondre le registre du responsable de traitement et celui du sous-traitant