Registre des traitements : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le registre des traitements est le document, tenu par écrit, qui recense l'ensemble des traitements de données personnelles d'un organisme : finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité.
Ce qu'il faut comprendre
Le registre des activités de traitement est prévu par l'article 30 du RGPD. Pour chaque traitement, le responsable indique notamment son nom et ses coordonnées, celles du DPO, la finalité, les catégories de personnes et de données, les destinataires, les transferts hors Union européenne, les délais d'effacement et une description générale des mesures de sécurité. Le sous-traitant tient son propre registre, plus court.
Une exemption existe pour les organismes de moins de 250 salariés, mais elle tombe dès que le traitement n'est pas occasionnel, présente un risque ou porte sur des données sensibles. Une paie mensuelle ou un fichier clients n'est pas occasionnel : en pratique, presque toutes les structures doivent tenir un registre.
Le registre peut être électronique. Il doit être présenté à la CNIL sur demande et constitue la première pièce examinée lors d'un contrôle. Il sert aussi de base pour répondre aux demandes de droits et décider des analyses d'impact. Erreur fréquente : remplir le registre une fois puis l'oublier. Il doit être mis à jour à chaque nouveau logiciel, prestataire ou usage des données.
Exemple concret
Une commune de 3 000 habitants recense ses traitements : état civil, listes électorales, cantine scolaire, urbanisme, paie des agents, vidéoprotection. Pour chacun, la secrétaire de mairie renseigne la finalité, la base légale, les données, les destinataires, la durée de conservation et le logiciel utilisé. Le registre est mis à jour lors du changement de logiciel de facturation de la cantine.
Textes de référence
- RGPD, art. 30
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
