Registre traitements RGPD : tenir l’article 30 dans la vraie vie

Le registre traitements RGPD est la pièce maîtresse de la conformité au Règlement général sur la protection des données (RGPD). Il cartographie ce que votre organisation fait des données à caractère personnel, à quelles fins, sur quelles bases légales, avec qui et pour combien de temps. La Commission nationale de l’informatique et des libertés (CNIL) le considère comme le premier document à présenter en cas de contrôle, avant même les politiques internes ou les contrats sous-traitants. Pourtant, beaucoup d’organisations le tiennent encore par à-coups, dans un tableur figé qui ne reflète plus la réalité des traitements. Cet article reprend la base juridique, détaille les mentions obligatoires, distingue les deux versions du registre et propose une méthode concrète pour le construire et le maintenir.

Article 30 du RGPD : ce que dit le texte

L’article 30 du RGPD est court mais structurant. Il impose à tout responsable du traitement, et à tout sous-traitant, de tenir « un registre des activités de traitement effectuées sous sa responsabilité ». Le registre doit être tenu par écrit, y compris sous forme électronique, et présenté à l’autorité de contrôle sur demande. Il n’est pas publié, il reste interne à l’organisation, mais il doit pouvoir être communiqué à la CNIL en quelques heures lors d’un contrôle.

Le registre est l’un des outils principaux de mise en œuvre du principe de responsabilité (accountability) introduit par le RGPD. L’idée est simple : une organisation doit être capable de démontrer qu’elle sait ce qu’elle fait des données qu’elle collecte. Ce document fait office de carte d’identité de la conformité et conditionne pratiquement tout ce qui en découle, des analyses d’impact aux clauses contractuelles, en passant par la réponse aux droits des personnes.

Qui est concerné, qui est exempté

L’obligation pèse sur le responsable du traitement, sur son représentant éventuel dans l’Union européenne, et sur le sous-traitant. Le RGPD prévoit toutefois une exception pour les organisations de moins de 250 salariés. Cette exception est limitée et trompeuse. Elle ne s’applique pas si le traitement est susceptible de comporter un risque pour les droits et libertés des personnes, s’il n’est pas occasionnel, ou s’il porte sur des catégories particulières de données au sens de l’article 9 (données de santé, opinions politiques, données biométriques, etc.) ou sur des données relatives à des condamnations pénales.

En pratique, la CNIL considère que dès qu’une PME gère un fichier clients, un fichier prospects, un fichier RH ou un système de vidéosurveillance, elle ne peut pas se prévaloir de l’exception. Autrement dit, presque toutes les structures, quel que soit leur effectif, doivent tenir un registre. Le seuil de 250 salariés n’est pertinent que pour des traitements totalement ponctuels et non sensibles, ce qui est rarissime.

Deux registres distincts : responsable et sous-traitant

Le RGPD distingue deux registres aux contenus différents. Une même entreprise peut devoir tenir les deux, lorsqu’elle agit comme responsable du traitement pour ses propres opérations (paie, gestion clients, marketing) et comme sous-traitant pour le compte de ses propres clients (hébergement, traitement à façon, prestation de service).

Le registre du responsable du traitement (article 30.1)

Le registre du responsable décrit les traitements que l’organisation pilote pour son propre compte. C’est lui qui définit les finalités et les moyens. Pour chaque traitement, le registre doit comporter :

• le nom et les coordonnées du responsable du traitement, du représentant éventuel et du Délégué à la protection des données (DPO) lorsqu’il est désigné ;
• les finalités poursuivies par le traitement ;
• une description des catégories de personnes concernées et des catégories de données traitées ;
• les catégories de destinataires auxquels les données sont communiquées, y compris ceux situés dans des pays tiers ou des organisations internationales ;
• le cas échéant, les transferts hors Union européenne, le pays destinataire et les garanties mises en place (clauses contractuelles types, décision d’adéquation, règles d’entreprise contraignantes) ;
• les durées de conservation prévues pour chaque catégorie de données ;
• une description générale des mesures de sécurité techniques et organisationnelles.

Cette liste est un minimum. Beaucoup d’organisations enrichissent leur registre en ajoutant la base légale du traitement (consentement, contrat, obligation légale, mission d’intérêt public, intérêts légitimes, sauvegarde des intérêts vitaux), les sous-traitants impliqués, le résultat d’une éventuelle analyse d’impact (AIPD) ou la qualification du risque résiduel. Ces ajouts ne sont pas obligatoires mais ils transforment le registre en véritable outil de pilotage.

Le registre du sous-traitant (article 30.2)

Le registre du sous-traitant décrit, du côté du prestataire, les traitements opérés pour le compte de chacun de ses clients. Les mentions exigées sont plus resserrées : nom et coordonnées du sous-traitant, du DPO et du responsable du traitement pour le compte duquel il agit ; catégories de traitements effectuées pour chaque client ; transferts hors UE et garanties associées ; description générale des mesures de sécurité.

Un éditeur SaaS, un prestataire de paie, un hébergeur ou une agence marketing tient typiquement ce second registre. Il classe ses entrées par client donneur d’ordre et liste les opérations confiées par contrat. Cette présentation aide à répondre aux audits clients devenus systématiques dans les appels d’offres B2B.

Mentions obligatoires : entrer dans le détail

Au-delà des intitulés, plusieurs mentions méritent d’être détaillées car elles sont régulièrement mal renseignées en contrôle CNIL.

Les finalités doivent être précises, explicites et légitimes. « Gestion clients » est trop vague. La CNIL attend par exemple : « Gestion des commandes en ligne, suivi de la facturation, service après-vente, fidélisation par programme de points ». Chaque finalité est un objet distinct du registre, même si plusieurs finalités peuvent partager une même base de données.

Les catégories de personnes précisent qui est concerné : clients particuliers, clients professionnels, prospects, salariés, candidats, fournisseurs, visiteurs du site, mineurs, etc.

Les catégories de données énumèrent les types d’informations collectées : identité, coordonnées, données bancaires, données de connexion, données de localisation, données de santé, données de jeunesse, opinions, etc. La précision sert ensuite à mesurer la minimisation : collectez-vous le strict nécessaire à la finalité ?

Les destinataires distinguent les destinataires internes (services concernés au sein de l’organisation) et externes (sous-traitants, partenaires, autorités). Mentionner « les services concernés » sans détail est insuffisant pour la CNIL.

Les durées de conservation sont la mention la plus souvent défaillante. Elles doivent distinguer la durée d’usage actif (base active) et la durée d’archivage intermédiaire avant suppression ou anonymisation. Les durées doivent être justifiées par la finalité, les obligations comptables ou fiscales, et les délais de prescription applicables.

Les mesures de sécurité restent en description générale dans le registre, mais elles doivent être appuyées par une politique de sécurité documentée (chiffrement, contrôle d’accès, journalisation, sauvegardes, gestion des incidents).

Construire le registre des traitements : modèle CNIL et méthode

La CNIL met à disposition un modèle gratuit de registre des traitements, présenté sous forme de tableau et accompagné d’un guide pratique. Ce modèle distingue les rubriques obligatoires et propose plusieurs exemples remplis pour les traitements courants : gestion du personnel, gestion des clients, gestion des fournisseurs, vidéosurveillance, alerte professionnelle. Il est librement téléchargeable depuis le site officiel de l’autorité, dans la rubrique consacrée à la conformité des organismes.

Le modèle CNIL convient bien aux PME qui démarrent leur conformité. Il a deux limites à connaître. D’abord, il ne couvre que le registre du responsable de traitement ; les sous-traitants doivent en construire un autre. Ensuite, il évolue régulièrement, donc un fichier téléchargé en 2022 peut ne plus refléter les recommandations actuelles. Mieux vaut télécharger la dernière version disponible avant de s’en servir comme base.

Méthode pas à pas pour bâtir le registre

Construire un registre pour la première fois suit une trame éprouvée. La voici en cinq étapes.

Étape 1 : cartographier les traitements. Listez chaque processus métier qui implique une donnée personnelle : recrutement, paie, gestion commerciale, support client, marketing, sécurité physique, conformité, qualité. Interrogez chaque direction. Le DPO, s’il est désigné, pilote ce travail en s’appuyant sur des entretiens et sur les comptes informatiques actifs. Pour comprendre le rôle du DPO dans cette construction, consultez notre guide sur les missions et le parcours pour devenir DPO en 2026.

Étape 2 : qualifier juridiquement chaque traitement. Pour chaque processus identifié, déterminez la finalité précise, la base légale au sens de l’article 6 du RGPD, et la qualité de l’organisation (responsable seul, responsable conjoint avec un partenaire, sous-traitant pour un client). Cette qualification structure tout le reste.

Étape 3 : remplir les mentions obligatoires. Avec les responsables métier de chaque processus, complétez les rubriques imposées par l’article 30. C’est l’étape la plus longue. Elle révèle souvent des angles morts : un fichier prospects oublié, une caméra non déclarée, un sous-traitant absent du contrat.

Étape 4 : recouper avec les sous-traitants et les transferts. Vérifiez que chaque sous-traitant cité dans le registre dispose bien d’un contrat conforme à l’article 28 du RGPD, et que les transferts hors UE sont couverts par un mécanisme valide. C’est un point de vigilance de plus en plus contrôlé par la CNIL.

Étape 5 : valider et faire vivre. Faire valider le registre par la direction marque l’engagement de l’organisation. Mais le travail commence à ce moment-là. Le registre vit, s’enrichit, se purge à mesure que les traitements évoluent.

Faire vivre le registre dans la durée

Un registre figé n’a aucune valeur en contrôle. La CNIL repère immédiatement un document qui n’a pas bougé depuis sa création. La règle pratique est simple : tout nouveau traitement entre dans le registre avant d’être lancé, toute modification substantielle (nouvelle finalité, nouveau sous-traitant, nouveau pays de transfert, allongement d’une durée de conservation) déclenche une mise à jour, et toute suppression d’un traitement doit être tracée.

Un rythme de revue trimestrielle ou semestrielle, animé par le DPO ou le référent conformité, permet d’éviter la dérive. Les organisations matures intègrent le registre à leurs processus existants : revue projet, comité d’investissement, comité d’éthique, signature des contrats. Le registre devient alors un produit de la gouvernance et non une charge administrative.

Articulation avec l’AIPD et choix de l’outil

Le registre traitements RGPD et l’analyse d’impact relative à la protection des données (AIPD) entretiennent une relation étroite. Le registre identifie les traitements ; l’AIPD analyse en profondeur ceux qui présentent un risque élevé pour les droits et libertés des personnes. C’est en consultant le registre que vous repérez les traitements qui doivent passer par une AIPD : surveillance systématique, profilage à grande échelle, traitement de données sensibles à grande échelle, données de mineurs, croisements massifs.

Inversement, le résultat de l’AIPD vient enrichir le registre : risque résiduel évalué, mesures de mitigation retenues, date de réécriture programmée. Pour aller plus loin sur les critères qui déclenchent une analyse, voyez notre article dédié à la méthode pour conduire une analyse d’impact relative à la protection des données.

Tableurs ou logiciel GRC

Le RGPD n’impose aucun outil particulier. Un tableur peut suffire dans certains cas, un logiciel devient indispensable dans d’autres. Le bon choix dépend du volume de traitements, de la maturité de l’organisation et du niveau d’audit attendu par les clients.

Le tableur (Excel, Google Sheets, LibreOffice Calc). C’est l’outil de départ. Avantages : gratuit ou déjà disponible, prise en main immédiate, filtres et tris natifs. Limites : pas d’historique des modifications, pas de gestion fine des droits, pas d’intégration aux autres outils de conformité, fragile dès qu’on dépasse trente ou quarante traitements actifs. Le tableur convient aux PME mono-établissement, aux associations et aux structures qui démarrent.

Les logiciels de gouvernance, risque et conformité (GRC) ou les outils privacy dédiés. Ils sont conçus pour le pilotage de la conformité dans la durée. On y trouve OneTrust, TrustArc, Witik, Data Legal Drive, Dastra, GDPR Tools, ainsi que des modules privacy intégrés à des suites GRC plus larges. Avantages : workflow d’approbation, traçabilité des modifications, intégration AIPD et droits des personnes, modèles préchargés, exports CNIL. Limites : coût annuel non négligeable, courbe d’apprentissage, dépendance à un éditeur tiers.

Le critère de bascule du tableur vers un logiciel se situe en général autour de cinquante traitements actifs, ou dès qu’une organisation entre dans une démarche d’audit ISO 27701 ou de certification client. Le coût d’une mauvaise tenue de registre, en cas de contrôle, devient alors supérieur au coût de l’outil.

Le registre traitements RGPD n’est pas un document administratif de plus. C’est la photographie en mouvement de la maturité d’une organisation face au RGPD. Le bâtir une fois ne suffit pas. Le tenir vivant, le confronter aux pratiques réelles, le faire dialoguer avec les analyses d’impact et les contrats sous-traitants, voilà ce qui sépare une conformité de façade d’une conformité solide.