Qu'est-ce que le registre des traitements ?

Le registre des traitements est le document dans lequel vous notez, activité par activité, ce que vous faites des données personnelles : pourquoi vous les collectez, lesquelles, qui y accède et pendant combien de temps. Il prouve que vous avez réfléchi à vos pratiques, et la CNIL en propose un modèle gratuit.

À quoi ça sert ?

Le RGPD demande aux organisations de savoir ce qu'elles font des données de leurs clients, prospects, salariés. Le registre est l'outil qui met ça à plat. Il sert d'abord à vous-même : en le remplissant, vous découvrez parfois que vous gardez des informations inutiles, ou que vous ne savez pas qui en a l'accès.

Il sert aussi de pièce justificative. En cas de contrôle ou de demande de la CNIL, vous le présentez. Il facilite enfin la réponse à un client qui demande ce que vous détenez sur lui.

L'obligation de tenir un registre est prévue à l'article 30 du RGPD. Des exceptions existent pour les petites structures, mais elles sont étroites : dès que le traitement n'est pas occasionnel, la CNIL recommande de tenir un registre. Vérifiez votre situation sur cnil.fr.

Comment ça marche (en pratique)

Vous dressez la liste de vos traitements, c'est-à-dire de vos usages distincts de données, puis vous décrivez chacun avec les mêmes rubriques :

• La finalité : à quoi sert ce traitement (facturer, envoyer une newsletter, gérer des rendez-vous).
• Les catégories de personnes concernées : clients, prospects, salariés.
• Les catégories de données : identité, coordonnées, historique de commandes...
• Les destinataires : qui y accède, y compris vos prestataires.
• La durée de conservation : combien de temps vous les gardez.
• Les mesures de sécurité : mots de passe, sauvegardes, accès limités.
• Les transferts hors de l'Union européenne, le cas échéant.

Un tableur suffit. Le modèle de la CNIL est disponible sur son site. L'important est de le tenir à jour : quand vous ajoutez un outil, un formulaire ou un prestataire, vous complétez le registre.

Exemple concret

Exemple type : une coiffeuse utilise un agenda en ligne pour les rendez-vous, un carnet papier pour les fiches couleurs, et envoie des rappels par SMS. Son registre compte trois lignes : la prise de rendez-vous (données d'identité et téléphone, accès limité à elle et au prestataire de l'agenda), le suivi des soins (données de fiche client, conservées en local) et les rappels SMS (téléphone, prestataire d'envoi). Pour chacune, elle note la durée de conservation choisie.

Les erreurs fréquentes

• Penser que c'est réservé aux grandes entreprises. Une TPE manipule aussi des données de clients.
• Remplir une fois et oublier. Un registre périmé ne protège pas.
• Oublier un traitement : formulaire de contact, newsletter, vidéosurveillance, paie, outil de caisse.
• Ne pas fixer de durée de conservation : « indéfiniment » n'est pas une réponse recevable.
• Confondre registre et politique de confidentialité. Le registre est un document interne ; la politique de confidentialité s'adresse aux personnes concernées.
• Ne pas lister les sous-traitants (hébergeur, outil d'e-mailing, logiciel de caisse).

Pour aller plus loin

• Pour le cadre général, voir RGPD et donnée personnelle.
• Notre guide RGPD pour petites entreprises propose une méthode pas à pas.
• Pour un site qui collecte peu de données et affiche correctement ses informations, voir nos sites pour artisans et commerçants ; l'outil de mentions légales complète la démarche.

Questions fréquentes

Le registre est-il obligatoire pour une TPE ? La règle générale le prévoit, avec des exceptions étroites. La CNIL conseille d'en tenir un dans la plupart des cas. Vérifiez sur cnil.fr.

Où trouver un modèle ? Sur le site de la CNIL, qui publie un modèle de registre gratuit et un guide pour le remplir.

Dois-je le publier sur mon site ? Non, c'est un document interne. Vous le présentez en cas de contrôle ou de demande de l'autorité.

À quelle fréquence le mettre à jour ? À chaque changement : nouvel outil, nouveau formulaire, nouveau prestataire, nouvelle finalité.