Registre RGPD des activités de traitement (Art. 30)

Oui, l'obligation de tenir un registre s'applique à tout organisme. La dérogation de l'article 30.5 RGPD pour les structures de moins de 250 salariés est seulement partielle : elle tombe dès qu'un traitement n'est pas occasionnel (paie, gestion clients, RH), comporte un risque pour les droits et les libertés des personnes concernées, ou porte sur des données sensibles au sens de l'article 9 (santé, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, biométrie) ou sur des données relatives à des condamnations pénales et infractions (art. 10). En pratique, presque toutes les TPE/PME doivent tenir un registre, au moins pour leurs traitements courants.

Pour chaque traitement : le nom et les coordonnées du responsable (et du DPO le cas échéant), les finalités, les catégories de personnes concernées et de données traitées, les catégories de destinataires, les éventuels transferts hors UE, les durées de conservation prévues, et une description générale des mesures de sécurité techniques et organisationnelles. Le sous-traitant tient un registre distinct des traitements réalisés pour le compte de ses clients (art. 30.2).

Le manquement à l'article 30 relève du palier de sanction de l'article 83.4 : amende administrative pouvant atteindre 10 millions d'euros, ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent pour une entreprise, le montant le plus élevé étant retenu. La CNIL contrôle régulièrement la tenue du registre, souvent demandé en premier lors d'une vérification.

Le responsable de traitement (qui décide des finalités) recense les traitements effectués sous sa propre responsabilité (art. 30.1). Le sous-traitant (prestataire agissant pour le compte d'un client : hébergeur, éditeur SaaS, prestataire de paie) tient un registre des catégories d'activités réalisées pour chaque client (art. 30.2). Une même structure peut cumuler les deux rôles et doit alors tenir les deux volets séparément.

Oui. La CNIL met à disposition un modèle de registre (format tableur téléchargeable) destiné aux organismes dont les traitements sont peu nombreux et à faibles risques. Il couvre les mentions de l'article 30. Pour des traitements plus complexes ou sensibles, ce modèle doit être complété, et une analyse d'impact (AIPD) peut s'avérer nécessaire. Le modèle est accessible depuis la page CNIL dédiée aux registres RGPD.

Non. Le registre est un document interne de pilotage de la conformité ; il n'est pas déposé ni transmis spontanément à la CNIL. En revanche, il doit être tenu à jour et présenté immédiatement sur demande lors d'un contrôle (art. 30.4). Il doit être conservé par écrit, y compris sous forme électronique.