Le registre des traitements est souvent perçu comme une formalité : un tableau rempli une fois pour être en règle, ressorti si l’autorité de contrôle appelle.
C’est passer à côté de son intérêt réel. Un registre à jour est le seul document qui répond à la question la plus difficile après un incident : quelles données sont concernées, et combien de personnes ?
Ce que dit le texte
L’article 30 du RGPD impose de tenir un registre des activités de traitement, mentionnant notamment les finalités, les catégories de personnes et de données, les destinataires, les transferts hors Union européenne, les durées de conservation et une description générale des mesures de sécurité.
L’exemption pour les organismes de moins de 250 salariés est très étroite : elle ne s’applique pas si le traitement présente un risque, s’il n’est pas occasionnel, ou s’il porte sur des données sensibles. En pratique, presque tout le monde est concerné.
À quoi il sert réellement
À tenir les délais de notification. L’article 33 impose 72 heures. Sans registre, déterminer quelles catégories de données sont touchées prend des jours — voir les régimes de notification.
À répondre aux demandes des personnes. Droit d’accès, d’effacement, d’opposition. Sans savoir où se trouvent les données d’une personne, chaque demande devient une enquête interne.
À piloter les durées de conservation. C’est le champ le plus souvent vide, et celui qui produit le plus de manquements.
À identifier les sous-traitants. Le registre révèle la chaîne réelle, y compris les prestataires que les achats ne connaissent pas.
Ce qui rend un registre inutile
Rédigé une fois et jamais revu. Un registre de 2021 décrit une organisation qui n’existe plus.
Il décrit des intentions plutôt que des faits. « Durée de conservation : 3 ans » alors qu’aucune purge n’existe. C’est pire que rien : cela documente un écart.
Tenu par une seule personne, loin des métiers. Ce sont les métiers qui créent des traitements, souvent sans le savoir.
Il ignore les outils récents. Un assistant conversationnel branché sur des données internes est un traitement — voir comment les données sortent. Il figure rarement au registre.
Comment le rendre vivant
Le brancher sur des événements existants : tout nouveau projet, tout nouveau contrat fournisseur, toute nouvelle application déclenche une entrée ou une mise à jour.
Une revue annuelle avec chaque direction métier, courte, en trois questions : qu’avez-vous créé cette année, qu’avez-vous arrêté, qu’est-ce qui a changé de prestataire.
Et une articulation avec l’inventaire des actifs : le registre dit quelles données, l’inventaire dit sur quelles machines. Séparés, les deux valent moins que reliés.
Le lien avec la sécurité
Le registre alimente directement l’article 32 : il indique quelles données appellent quel niveau de protection. Une analyse de risques conduite sans registre traite tous les traitements à égalité, ce qui est faux et coûteux.
Il conditionne aussi l’analyse d’impact : sans registre, on ignore quels traitements pourraient la déclencher.
Les traitements qu’on oublie systématiquement
Un registre construit en interrogeant les directions métier recense les traitements que ces directions perçoivent comme tels : la paie, le recrutement, la gestion commerciale, la relation client. Il manque presque toujours une seconde catégorie, née de l’outillage informatique et que personne ne considère spontanément comme un traitement de données personnelles.
- Les journaux techniques. Traces de connexion, journaux de navigation, historiques d’accès aux applications. Ils contiennent des identifiants nominatifs, des adresses et des horaires — donc des données personnelles, avec une durée de conservation à justifier.
- La vidéoprotection et le contrôle d’accès physique. Souvent gérés par les services généraux, hors du périmètre interrogé, et soumis à des règles d’information et de durée spécifiques.
- Les dispositifs de sécurité. Filtrage web, prévention des fuites de données, analyse comportementale : ils traitent l’activité de salariés identifiés. Leur légitimité n’est pas contestée, mais elle suppose une base légale, une information et un encadrement de la consultation.
- Les sauvegardes et les environnements de test. Une copie de production dans un environnement de recette est un traitement, avec le même niveau d’exigence et généralement un niveau de protection inférieur.
- Les outils souscrits directement par les métiers. Signature électronique, prise de rendez-vous, enquêtes de satisfaction, messagerie de campagne. Ils traitent des données de clients ou de salariés hors de tout recensement.
Ces oublis ne relèvent pas de la négligence : ils viennent du fait que la question est posée aux métiers, alors que ces traitements sont créés par l’informatique ou par la sécurité. Croiser l’inventaire applicatif avec le registre fait ressortir l’écart en quelques heures.
Responsable ou sous-traitant : la qualification qui change tout
C’est la source d’erreur la plus fréquente dans les registres d’entreprises de services, et elle a des conséquences directes.
Le responsable de traitement détermine les finalités et les moyens : pourquoi les données sont traitées et comment. Le sous-traitant agit sur instruction, pour le compte d’un autre. Les obligations diffèrent — le registre lui-même n’a pas le même contenu selon le rôle, et le RGPD prévoit deux registres distincts lorsque l’organisation exerce les deux qualités.
L’erreur courante consiste à se déclarer sous-traitant par défaut sur toutes les prestations clients. Elle est souvent fausse : un cabinet qui décide de sa méthode d’analyse, de ses outils et de la durée de conservation de ses dossiers agit comme responsable pour ces éléments, même s’il intervient pour un client. Une qualification erronée fait porter à la mauvaise partie les obligations d’information, de sécurité et de notification.
La règle pratique : la qualification se détermine traitement par traitement, pas contrat par contrat. Une même relation client peut relever des deux selon l’activité concernée.
Ce que regarde la CNIL en premier
En contrôle, le registre est demandé d’emblée — c’est le document qui structure le reste de l’inspection. Trois points concentrent l’attention.
La cohérence avec la réalité. Un traitement absent du registre mais visible dans les outils, ou l’inverse, ouvre immédiatement une discussion sur la fiabilité de l’ensemble. Le contrôle porte moins sur la complétude formelle que sur la crédibilité du document.
Les durées de conservation. C’est le manquement le plus fréquemment relevé. Une durée indiquée comme « durée de la relation contractuelle » sans précision de ce qui suit, ou une mention « illimitée », n’est pas recevable. Et une durée écrite dans le registre mais non appliquée dans le système est plus difficile à défendre qu’une absence de durée : elle démontre que l’écart était connu.
Les transferts hors Union européenne. Ils doivent être identifiés avec leur encadrement. L’oubli classique porte sur les transferts indirects : un prestataire européen dont le support technique est situé hors de l’Union réalise un transfert, même si les données sont hébergées en Europe.
Un document de pilotage, pas une pièce d’archive
Le registre est le seul document qui recense, en un endroit, ce que l’organisation fait des données qu’elle détient. Utilisé uniquement pour répondre à un contrôle, il coûte le temps de sa rédaction et ne rapporte rien.
Utilisé comme référentiel — pour instruire une demande d’exercice de droits, pour évaluer l’impact d’une violation de données dans les 72 heures, pour préparer une analyse d’impact, ou pour répondre à un questionnaire client — il devient le point d’entrée de la conformité et se maintient de lui-même, parce que chaque usage en révèle les erreurs.
Sources
- RGPD, articles 30, 32, 33 et 35
- CNIL — le registre des activités de traitement
Aller plus loin
L’articulation entre registre, analyse de risques et mesures de sécurité relève de nos missions de gouvernance, risques et conformité.