Dans la pratique, une fiche RGPD désigne le plus souvent une fiche de traitement : la page du registre qui décrit une activité précise, comme la paie ou la prospection. Cet article la détaille rubrique par rubrique, avec un exemple rempli pour une PME et les erreurs fréquentes.
De quelle fiche parle-t-on ?
Le mot « fiche » recouvre trois documents. Le plus courant est la fiche de registre, prévue par l'article 30 du RGPD, qui décrit une activité de traitement. La fiche d'information des personnes (articles 13 et 14) et les fiches pratiques publiées par la CNIL répondent à d'autres besoins.
La CNIL rappelle sur sa page consacrée au registre qu'une fiche est établie pour chaque activité de l'organisme et que les traitements s'identifient par finalité, jamais par logiciel. Une fiche RGPD nommée « CRM » est donc mal construite : l'activité s'appelle « gestion des clients et prospects », l'outil n'est qu'un support cité dans la fiche. Pour la mention d'information, voyez le guide sur le formulaire de collecte.
Que doit contenir une fiche de traitement ?
L'article 30, paragraphe 1, du RGPD liste sept rubriques, de a) à g), dans le texte officiel publié sur EUR-Lex.
- a) Responsable du traitement : raison sociale, adresse, contact, représentant et délégué à la protection des données le cas échéant.
- b) Finalités : à quoi sert l'activité, avec des verbes précis ; « gestion RH » n'est pas une finalité.
- c) Catégories de personnes et de données : qui est concerné (salariés, candidats, clients) et quelles familles de données (identité, coordonnées, données bancaires), données sensibles signalées à part.
- d) Catégories de destinataires : services internes, prestataires (expert-comptable, hébergeur, éditeur SaaS) et organismes tiers.
- e) Transferts hors Union européenne : le pays et la garantie utilisée, ou « aucun » après vérification de l'hébergement de chaque outil.
- f) Délais d'effacement : une durée ou un critère par catégorie de données, en distinguant base active et archivage intermédiaire (voir la CNIL sur les durées de conservation).
- g) Mesures de sécurité : description générale des mesures techniques et organisationnelles propres à cette activité (article 32).
Les rubriques f) et g) sont demandées « dans la mesure du possible ». Cette souplesse ne dispense pas de les remplir : une fiche RGPD sans durée ni mesure de sécurité est la première chose qu'un auditeur relève.
Exemple : la fiche « gestion de la paie » remplie
Exemple pour une PME qui confie sa paie à un expert-comptable. Les durées proviennent du référentiel CNIL sur les durées de conservation en ressources humaines publié en avril 2026, à adapter à votre situation.
| Rubrique | Contenu de la fiche |
|---|---|
| Nom de l'activité | Gestion de la paie |
| Responsable du traitement | Raison sociale, adresse, contact ; DPO le cas échéant |
| Finalités | Calcul et versement des salaires ; bulletins ; déclarations sociales (DSN) ; suivi des absences |
| Personnes concernées | Salariés, apprentis, stagiaires rémunérés |
| Catégories de données | Identité, numéro de sécurité sociale, coordonnées bancaires, situation familiale, rémunération, temps de travail |
| Destinataires | Service RH et direction ; expert-comptable (sous-traitant, contrat article 28) ; éditeur du logiciel de paie ; URSSAF, caisses de retraite et de prévoyance |
| Transferts hors UE | Aucun : logiciel de paie hébergé en Union européenne (vérifié au contrat) |
| Durées de conservation | Base active pendant la présence dans les effectifs ; bulletins 5 ans après leur remise (article L3243-4 du Code du travail) ; déclarations sociales 6 ans en archivage intermédiaire |
| Mesures de sécurité | Accès limité aux personnes chargées de la paie, comptes individuels, sauvegardes régulières, clauses de sécurité dans le contrat du prestataire |
Une fiche RGPD de ce niveau tient sur une page. Elle sert ensuite à répondre à une demande d'accès d'un salarié, à vérifier un contrat de sous-traitance ou à préparer une mise en conformité du volet RH.
Quelles sont les erreurs les plus fréquentes ?
Les fiches défaillantes partagent presque toujours les mêmes défauts : finalité trop vague, durée « illimitée », destinataires oubliés et mesures de sécurité recopiées d'une fiche à l'autre.
- Durée « illimitée » : préférez une durée ou un critère objectif (« fin du contrat plus la prescription applicable »).
- Destinataires oubliés : l'expert-comptable, l'hébergeur ou le prestataire informatique accèdent aux données et doivent apparaître.
- Mesures de sécurité copiées-collées : une phrase générique ne décrit rien ; le guide de la sécurité de la CNIL aide à choisir celles qui comptent.
- Fiche par logiciel : un CRM peut porter trois activités (clients, prospection, après-vente) aux destinataires et durées différents.
Le sous-traitant tient-il une fiche différente ?
Oui. L'article 30, paragraphe 2, prévoit un registre propre au sous-traitant. Un prestataire informatique ou un cabinet de paie remplit donc une fiche RGPD par client, avec quatre rubriques : identité du sous-traitant et du responsable de traitement, catégories de traitements effectués pour lui, transferts hors UE éventuels et mesures de sécurité. Une PME à la fois responsable et sous-traitante tient les deux volets. Le guide sur les obligations RGPD des entreprises situe cette obligation parmi les autres.
Où trouver le modèle de fiche de la CNIL ?
La CNIL met à disposition un modèle de registre simplifié au format tableur (ODS), publié en juillet 2019, avec un tutoriel, une liste des traitements, une fiche vierge et une fiche d'exemple remplie. Un modèle basique existe aussi en RTF et PDF.
La forme reste libre : le règlement impose un registre écrit, y compris électronique, communicable à l'autorité de contrôle sur demande. Tout support convient tant que chaque fiche contient les rubriques de l'article 30 et porte une date de mise à jour.
« Chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement tiennent un registre des activités de traitement effectuées sous leur responsabilité. »
La dérogation du paragraphe 5 pour les organismes de moins de 250 salariés ne vise pas les traitements non occasionnels, comme la paie ou la prospection : la CNIL précise qu'elle reste limitée à des cas très particuliers. Presque toutes les PME ont donc des fiches à tenir.
À retenir
- Une fiche de traitement décrit une activité, identifiée par sa finalité et non par le logiciel utilisé.
- Les sept rubriques de l'article 30.1 doivent toutes être remplies, durées et mesures de sécurité comprises.
- Les erreurs à éviter : finalité vague, durée illimitée, destinataires oubliés, sécurité recopiée d'une fiche à l'autre.
- Le sous-traitant tient un registre distinct, prévu à l'article 30.2, avec une fiche par client.
- Le modèle simplifié de la CNIL, au format tableur, fournit une fiche vierge et un exemple rempli.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Registre des traitementsLe registre des traitements est le document, tenu par écrit, qui recense l'ensemble des traitements de données personnelles d'un organisme : finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité.
- Mesures techniques et organisationnellesLes mesures techniques et organisationnelles sont l'ensemble des moyens, informatiques et humains, qu'un organisme met en place pour protéger les données personnelles et garantir un niveau de sécurité adapté au risque.
- FinalitéLa finalité est l'objectif précis pour lequel des données personnelles sont collectées et traitées. Le RGPD impose qu'elle soit déterminée, explicite et légitime, et interdit d'utiliser ensuite les données pour un but incompatible.
- Prospection commercialeLa prospection commerciale est l'envoi de messages destinés à promouvoir des produits, des services ou l'image d'un organisme. Par courriel ou SMS, elle exige en principe le consentement préalable des particuliers, et un droit d'opposition simple pour les professionnels.
- Responsable de traitementLe responsable de traitement est la personne physique ou morale, l'autorité publique ou l'organisme qui détermine les finalités et les moyens d'un traitement de données personnelles. C'est lui qui répond en premier lieu du respect du RGPD.
