Registre des traitements : contenu obligatoire et modèle

Le registre des activités de traitement est le premier document que la CNIL demande lors de tout contrôle. Sa construction et sa tenue constituent une obligation que quasi aucune entreprise, quelle que soit sa taille, ne peut légitimement éviter.

Ce qu’est le registre des traitements et à quoi il sert vraiment

Le registre des activités de traitement est prévu à l’article 30 du RGPD. C’est un document écrit, tenu sous forme papier ou électronique, qui recense l’ensemble des opérations impliquant des données personnelles réalisées par une organisation. Chaque opération fait l’objet d’une fiche distincte décrivant sa nature, son but, les personnes concernées, les données collectées, les destinataires, les éventuels transferts hors Union européenne, les durées de conservation et les mesures de sécurité appliquées.

Sa première fonction est formelle : le registre est une obligation légale. L’article 30, paragraphe 4, du RGPD impose au responsable de traitement et au sous-traitant de le mettre à la disposition de la CNIL sur demande. Lors d’un contrôle, qu’il soit sur place ou sur pièces, le registre est le premier document réclamé, avant même les contrats de sous-traitance ou les politiques de confidentialité. Son absence constitue en elle-même un manquement à l’obligation dite d’accountability posée par l’article 5, paragraphe 2, du RGPD, et elle signale immédiatement un défaut de pilotage.

Sa deuxième fonction, moins souvent mise en avant, est opérationnelle. Construire un registre oblige à cartographier tous les flux de données de l’organisation : quelles données entrent, qui y accède, vers qui elles partent, combien de temps elles sont conservées. Cet exercice révèle régulièrement des traitements oubliés, des sous-traitants non encadrés par contrat, des bases légales défaillantes ou des données conservées bien au-delà de toute utilité. Le registre n’est donc pas un formulaire administratif à remplir une fois : c’est un outil de diagnostic interne et de pilotage continu de la conformité.

Il remplace, depuis le 25 mai 2018, les déclarations préalables à la CNIL qui existaient sous l’ancien régime. La logique est inversée : auparavant, l’organisme déclarait et la CNIL autorisait. Désormais, l’organisme documente, pilote et doit pouvoir justifier à tout moment que chaque traitement est licite, proportionné et sécurisé. C’est le principe d’accountability inscrit à l’article 5 du RGPD, et le registre en est la preuve documentaire centrale.

Qui doit tenir un registre des traitements

La règle posée par l’article 30 du RGPD est celle d’une obligation quasi universelle. Tout responsable de traitement et tout sous-traitant doivent tenir un registre de leurs activités. La taille de l’organisation, son secteur d’activité et son statut juridique ne sont pas des critères d’exemption.

La dérogation de l’article 30, paragraphe 5 : ce qu’elle dit réellement

L’article 30, paragraphe 5, du RGPD prévoit une dérogation pour les organismes comptant moins de deux cent cinquante salariés. Beaucoup d’entreprises s’en saisissent pour conclure qu’elles sont dispensées du registre. Cette lecture est erronée, et elle expose ceux qui s’y fient à un risque réel en cas de contrôle.

La dérogation ne joue que si les conditions suivantes sont satisfaites : le traitement ne doit pas être susceptible de comporter un risque pour les droits et libertés des personnes concernées, il doit être occasionnel, et il ne doit pas porter sur des catégories particulières de données visées à l’article 9 du RGPD ni sur des données relatives à des condamnations pénales et à des infractions visées à l’article 10 du RGPD. Il suffit qu’une seule de ces conditions ne soit pas remplie pour que la dérogation tombe entièrement et que l’obligation de tenir un registre s’applique pleinement.

Voici les trois cas qui font tomber la dérogation :

• Premier cas : le traitement est susceptible de comporter un risque pour les droits et libertés des personnes. La vidéosurveillance, la géolocalisation des véhicules ou des salariés, le suivi de la productivité individuelle, les systèmes de contrôle d’accès par badge entrent dans cette catégorie. Dès qu’un traitement peut affecter la liberté de mouvement, l’intimité ou la réputation des personnes concernées, le risque est caractérisé et la dérogation disparaît.
• Deuxième cas : le traitement n’est pas occasionnel. Un traitement est occasionnel quand il intervient de façon ponctuelle et non répétée. Un fichier clients actif, une liste de prospection régulièrement mise à jour, une gestion de paie mensuelle, un envoi périodique de newsletters : aucun de ces traitements n’est occasionnel. Ils sont, par nature, réguliers et récurrents. Cette seule condition suffit à faire tomber la dérogation, indépendamment du risque et du type de données.
• Troisième cas : le traitement porte sur des catégories particulières de données ou sur des données pénales. Les données de santé, les données biométriques, les données relatives aux opinions politiques, aux convictions religieuses ou à l’appartenance syndicale, les données relatives à des condamnations pénales : dès qu’un traitement de l’organisation porte sur l’une de ces catégories, la dérogation ne s’applique plus à ce traitement.

En pratique, la dérogation ne s’applique quasiment jamais à une entreprise qui a des clients et des salariés. Une TPE de trois personnes qui tient un fichier clients actif, gère la paie de ses employés et envoie des devis ou des factures effectue des traitements non occasionnels. Elle doit tenir un registre, sans exception. La CNIL est explicite sur ce point : elle recommande à toutes les organisations, quelle que soit leur taille, de tenir un registre dès lors qu’elles traitent des données personnelles de façon régulière. La dérogation de l’article 30, paragraphe 5, n’est pas une porte de sortie pour les petites structures : elle ne couvre que des situations très marginales impliquant des traitements vraiment ponctuels, sans risque et sans données sensibles.

Arbre de décision : votre organisation est-elle concernée

Situation	Obligation de registre	Motif
Vous tenez un fichier clients actif, mis à jour régulièrement	Oui	Traitement non occasionnel
Vous gérez la paie de vos salariés chaque mois	Oui	Traitement non occasionnel
Vous envoyez une newsletter ou des emails commerciaux	Oui	Traitement non occasionnel
Vous avez une caméra de surveillance dans vos locaux	Oui	Traitement à risque pour les droits et libertés
Vous gérez des données de santé de vos collaborateurs (arrêts maladie)	Oui	Catégories particulières de données (article 9 du RGPD)
Vous avez un formulaire de contact sur votre site web	Oui	Traitement non occasionnel dès lors qu’il est actif en permanence
Vous avez organisé un événement ponctuel, unique, avec une liste de participants sans données sensibles	Dérogation possible, à évaluer au cas par cas	Traitement potentiellement occasionnel si non répété

Les deux registres à ne pas confondre

L’article 30 du RGPD distingue deux registres distincts selon le rôle joué par l’organisation vis-à-vis des données traitées. Ces deux registres obéissent à des logiques différentes, et de nombreuses organisations ne réalisent pas qu’elles sont tenues d’en maintenir les deux simultanément.

Le registre du responsable de traitement, prévu à l’article 30, paragraphe 1, s’applique à l’organisation quand elle détermine elle-même les finalités et les moyens d’un traitement. C’est la situation la plus connue : une entreprise qui gère ses propres clients, ses propres salariés et ses propres prospects est responsable de traitement pour ces opérations.

Le registre du sous-traitant, prévu à l’article 30, paragraphe 2, s’applique à l’organisation quand elle traite des données pour le compte et sur instruction d’un autre organisme. Un prestataire informatique qui héberge les données de ses clients, un cabinet comptable qui établit la paie pour plusieurs entreprises, une agence qui gère la base de données prospects d’un annonceur : tous ces acteurs sont sous-traitants pour ces opérations et doivent tenir leur propre registre sous-traitant, distinct de leur registre de responsable.

Une même organisation peut être les deux à la fois. Un prestataire informatique qui héberge des données pour ses clients est sous-traitant pour ces données. Mais pour la gestion de ses propres salariés et de sa propre comptabilité, il est responsable de traitement. Il doit donc tenir les deux registres, chacun avec les mentions qui lui sont propres. Cette situation de double qualité est fréquente et souvent mal prise en compte dans les démarches de conformité.

Critère	Registre du responsable (art. 30 §1)	Registre du sous-traitant (art. 30 §2)
Qui le tient	Celui qui décide des finalités et des moyens du traitement	Celui qui traite pour le compte et sur instruction d’un responsable
Finalités	À documenter précisément pour chaque traitement	Non applicable : le sous-traitant ne fixe pas les finalités
Base légale (article 6)	À documenter pour chaque traitement	Non applicable
Durées de conservation	À documenter pour chaque catégorie de données	Non applicable
Catégories de personnes et de données	À décrire précisément	Non requises au titre de l’article 30, paragraphe 2
Destinataires	À lister (internes et sous-traitants)	Non requis
Catégories de traitements effectués pour chaque client responsable	Non applicable	À documenter pour chaque responsable client
Transferts hors EEE	À documenter avec les garanties applicables	À documenter avec les garanties applicables
Mesures de sécurité (article 32)	Description générale requise	Description générale requise
Identification des responsables clients	Non applicable	Nom et coordonnées de chaque responsable pour le compte duquel le sous-traitant agit

Les mentions obligatoires du registre du responsable de traitement

L’article 30, paragraphe 1, du RGPD énumère limitativement les informations que doit contenir le registre du responsable de traitement. Pour chaque activité de traitement documentée, une fiche complète doit renseigner les rubriques suivantes. La CNIL recommande également d’y faire figurer la base légale applicable au sens de l’article 6 du RGPD, afin de pouvoir démontrer la licéité de chaque traitement à tout moment.

Identité et coordonnées du responsable de traitement

Cette rubrique doit mentionner le nom de l’organisation, son adresse complète et ses coordonnées de contact dédiées aux questions relatives aux données personnelles. Si un délégué à la protection des données a été désigné, ses coordonnées doivent également figurer. En cas de responsabilité conjointe du traitement avec un autre organisme, les coordonnées de chaque co-responsable doivent être renseignées.

Exemple de formulation : « Société X, 12 rue de la République, 69001 Lyon. Contact données personnelles : rgpd@societe-x.fr. Délégué à la protection des données : Mme Y, joignable à dpo@societe-x.fr. »

Erreur classique : Omettre les coordonnées du délégué à la protection des données quand il a été désigné, ou ne renseigner que la raison sociale sans contact dédié. Cette rubrique doit permettre à la CNIL d’identifier et de contacter rapidement le responsable ainsi que l’interlocuteur en charge des questions de protection des données.

Finalités du traitement

La finalité répond à la question : pourquoi ces données sont-elles collectées et traitées ? Elle doit être déterminée, explicite et légitime, conformément au principe posé par l’article 5 du RGPD. Chaque traitement peut avoir plusieurs finalités, mais elles doivent toutes être listées distinctement. Lorsque deux finalités distinctes s’appuient sur des bases légales différentes, elles doivent faire l’objet de fiches séparées.

Exemple de formulation : « Gestion de la relation client : traitement des commandes, émission et suivi des factures, gestion des réclamations et du service après-vente. »

Erreur classique : Rédiger des finalités vagues du type « amélioration de nos services », « gestion des données clients » ou « communication ». Ces libellés sont trop généraux pour permettre une vérification de la licéité du traitement. Une finalité doit décrire concrètement l’objectif poursuivi, de façon à ce qu’un tiers puisse comprendre pourquoi les données sont collectées.

Catégories de personnes concernées

Il s’agit d’identifier qui sont les personnes dont les données sont traitées dans le cadre du traitement décrit. Cette rubrique doit être précise et exhaustive, en évitant les catégories trop larges qui masquent la réalité des flux de données.

Exemple de formulation : « Clients personnes physiques ayant passé au moins une commande au cours de la durée active de conservation, et contacts référents au sein des clients personnes morales, anciens clients en phase d’archivage intermédiaire. »

Erreur classique : Se contenter d’une mention générique comme « clients » sans préciser si cela inclut les anciens clients, les contacts secondaires ou les bénéficiaires indirects. La précision dans cette rubrique facilite la gestion des droits des personnes concernées et la réponse aux demandes d’exercice de ces droits.

Catégories de données personnelles

Cette rubrique liste les types de données effectivement traitées dans le cadre du traitement. Il convient de distinguer les données ordinaires des données relevant de catégories particulières au sens de l’article 9 du RGPD, car ces dernières font l’objet d’un régime de protection renforcé et leur présence conditionne notamment l’appréciation de la nécessité d’une analyse d’impact.

Exemple de formulation : « Données d’identification (nom, prénom), coordonnées professionnelles (adresse email, numéro de téléphone, adresse postale), données de facturation (numéro de commande, montants, conditions de paiement), historique des échanges et des achats. Aucune donnée de catégorie particulière au sens de l’article 9 du RGPD. »

Erreur classique : Omettre certaines catégories de données, notamment les données techniques comme les adresses IP (qui peuvent être des données personnelles dès lors qu’elles permettent d’identifier une personne), les identifiants de connexion ou les métadonnées de navigation. Il faut lister toutes les données effectivement collectées et traitées, et non seulement celles demandées explicitement à la personne concernée.

Catégories de destinataires

Les destinataires sont toutes les personnes ou organisations qui reçoivent ou accèdent aux données, qu’il s’agisse de services internes à l’organisation ou de tiers externes. Les sous-traitants encadrés par un contrat conforme à l’article 28 du RGPD sont des destinataires et doivent figurer dans cette rubrique avec la mention de leur statut de sous-traitant et de l’existence d’un contrat les encadrant.

Exemple de formulation : « Destinataires internes : service commercial, service comptable. Destinataires externes : prestataire de transport et logistique (sous-traitant, contrat article 28 en place), établissement bancaire pour le traitement des paiements (destinataire tiers). »

Erreur classique : Oublier de lister les outils hébergés externalement qui traitent des données pour le compte de l’organisation. Chaque prestataire qui accède aux données, même pour des opérations purement techniques, est un destinataire à identifier. Cette omission est l’une des lacunes les plus fréquemment constatées lors des contrôles.

Transferts hors Union européenne

Lorsque des données sont transmises vers un pays situé hors de l’Espace économique européen, ce transfert doit être documenté avec identification du pays destinataire et du mécanisme juridique permettant d’assurer un niveau de protection adéquat : décision d’adéquation de la Commission européenne, clauses contractuelles types, règles d’entreprise contraignantes ou autre mécanisme applicable.

Exemple de formulation : « Aucun transfert hors Espace économique européen identifié. » Ou : « Transfert vers les États-Unis via le prestataire d’hébergement, encadré par les clauses contractuelles types de la Commission européenne. »

Erreur classique : Ignorer les transferts induits par l’utilisation d’outils dont les serveurs sont localisés hors de l’Union européenne. L’utilisation d’un service hébergé aux États-Unis, en Inde ou en Asie constitue un transfert qui doit être documenté et juridiquement encadré. Cette rubrique est souvent laissée vide ou renseignée avec « non applicable » par défaut, alors que de nombreux traitements impliquent des transferts vers des pays tiers via des outils externalisés.

Durées de conservation

Pour chaque catégorie de données au sein du traitement, la durée de conservation doit être renseignée. Il ne s’agit pas de donner une date fixe, qui serait obsolète le lendemain de sa rédaction, mais de formuler une règle applicable à chaque donnée individuellement selon sa catégorie et sa finalité. La méthode pour formuler correctement cette rubrique est développée dans la section consacrée aux durées de conservation.

Exemple de formulation : « Données du dossier client actif : conservées pendant toute la durée de la relation commerciale. Archivage intermédiaire : durée de la prescription applicable en matière d’actions civiles commerciales, avec accès restreint. Suppression sécurisée au terme de l’archivage intermédiaire. »

Erreur classique : Écrire « durée légale », « aussi longtemps que nécessaire » ou laisser la rubrique vide. Ces formulations n’ont aucune valeur documentaire et démontrent l’absence de politique de conservation réelle. La CNIL vérifie cette rubrique en priorité, car elle est le reflet direct du respect du principe de limitation de la conservation posé par l’article 5 du RGPD.

Description générale des mesures de sécurité

Cette rubrique renvoie à l’article 32 du RGPD, qui impose de mettre en place des mesures techniques et organisationnelles appropriées pour assurer la protection des données. Il n’est pas nécessaire d’entrer dans des détails techniques exhaustifs au niveau du registre, une description générale des principales mesures suffisant, le détail pouvant figurer dans une politique de sécurité séparée.

Exemple de formulation : « Chiffrement des données en transit (protocole TLS), accès aux bases de données restreint par authentification à double facteur, sauvegardes chiffrées quotidiennes, habilitations nominatives aux seuls collaborateurs en ayant besoin pour l’accomplissement de leurs missions, session de formation annuelle des équipes aux règles de sécurité et aux bonnes pratiques. »

Erreur classique : Indiquer uniquement « mesures de sécurité appropriées » sans aucune précision. Cette formulation ne permet pas à la CNIL d’évaluer la réalité des protections mises en place. Elle figure parmi les lacunes les plus fréquemment relevées lors des contrôles sur place.

Les mentions du registre du sous-traitant

Le registre du sous-traitant, prévu à l’article 30, paragraphe 2, est structurellement plus léger que celui du responsable de traitement. Il n’inclut ni les finalités, ni les bases légales, ni les catégories de personnes et de données, ni les durées de conservation : ces éléments relèvent du responsable, qui les fixe et les documente dans son propre registre. Le sous-traitant documente ce qu’il fait pour le compte du responsable, non les raisons pour lesquelles le responsable a décidé de collecter ces données.

Le registre du sous-traitant doit comprendre les éléments suivants :

• Identification du sous-traitant : nom, coordonnées complètes, et le cas échéant coordonnées du délégué à la protection des données et du représentant.
• Identification de chaque responsable client : pour chaque organisation pour le compte de laquelle le sous-traitant agit, son nom et ses coordonnées doivent figurer. Cette rubrique peut être organisée sous forme de liste ou d’annexe mise à jour en continu.
• Catégories de traitements effectués pour chaque responsable : non pas les finalités fixées par le client responsable, mais la nature des opérations techniques réalisées par le sous-traitant. Exemples : hébergement des données, maintenance applicative, traitement de la paie, envoi d’emails pour le compte du responsable, archivage, support technique avec accès aux données.
• Transferts hors Union européenne : si des données sont transmises vers un pays tiers dans le cadre de la prestation, le pays destinataire et le mécanisme de garantie applicable doivent être indiqués.
• Description générale des mesures de sécurité : conformément à l’article 32 du RGPD, une description synthétique des protections mises en place pour sécuriser les données traitées pour le compte des responsables clients.
• Sous-traitants ultérieurs : si le sous-traitant fait appel à d’autres prestataires pour réaliser tout ou partie de la prestation, ces sous-traitants ultérieurs doivent être mentionnés, conformément aux obligations découlant de l’article 28 du RGPD.

Le registre du sous-traitant peut être organisé par client (une entrée par responsable de traitement) ou par catégorie de prestation (une entrée par type d’opération réalisée pour plusieurs clients). L’important est que toutes les combinaisons client-prestation soient couvertes et que le document soit accessible immédiatement en cas de contrôle ou d’audit d’un responsable client.

Comment identifier ses traitements quand on part de zéro

Lorsqu’une organisation s’attaque à la construction de son registre pour la première fois, la difficulté n’est généralement pas de savoir quoi écrire dans chaque rubrique, mais de savoir quelles fiches créer. Voici une méthode en quatre passes complémentaires pour ne rien oublier.

Première passe : par service ou par département. Interrogez chaque responsable de service : le service commercial, les ressources humaines, le service comptable et financier, le service informatique, le marketing. Pour chaque service, la question est simple : quelles données personnelles utilisez-vous, dans quel but et depuis quels systèmes ? Cette approche garantit une couverture par métier mais risque de passer à côté des traitements transversaux ou de ceux mis en place de façon informelle en dehors des outils officiels.

Deuxième passe : par outil. Listez tous les outils qui contiennent ou traitent des données personnelles : l’outil de gestion de la relation client, le logiciel comptable, l’outil de paie, la messagerie professionnelle, le système de gestion documentaire, le site web et ses formulaires, les outils de visioconférence, les plateformes de stockage partagé. Pour chaque outil, identifiez quelles données y sont stockées ou traitées et pour quelles finalités. Cette méthode est la plus rapide pour une TPE ou une PME, car les outils sont en nombre limité et leur usage est bien cerné.

Troisième passe : par type de personne concernée. Parcourez méthodiquement chaque catégorie de personnes avec lesquelles l’organisation interagit : clients, prospects, fournisseurs, salariés, candidats à l’embauche, visiteurs du site web, abonnés à la newsletter, partenaires commerciaux. Pour chaque catégorie, posez-vous la question : quelles données sont collectées, à quel moment, par quel canal et dans quel but ?

Quatrième passe : par document. Passez en revue les documents types utilisés par l’organisation : formulaires de contact, bons de commande, contrats de travail, bulletins de paie, fiches de candidature, enquêtes de satisfaction, contrats fournisseurs. Chaque document qui recueille des données personnelles correspond à un traitement à documenter dans le registre.

Pour une TPE ou une petite PME, partir de la liste des outils est la méthode la plus rapide. Le nombre d’outils utilisés est limité, leur périmètre fonctionnel est bien identifié, et chaque outil correspond généralement à un ou deux traitements distincts. Cette approche permet d’avoir un premier registre fonctionnel en quelques heures, à affiner ensuite par les autres passes. Le risque principal à éviter est de confondre l’outil et le traitement : un outil peut héberger plusieurs traitements distincts avec des finalités différentes, et chacun mérite sa propre fiche.

La liste des traitements qu’on oublie presque toujours

Certains traitements sont absents des premiers registres construits par les organisations, souvent parce qu’ils semblent secondaires ou sont devenus invisibles par habitude. Ce sont pourtant des traitements réels, parfois à risque élevé, qui doivent figurer dans le registre.

• La vidéosurveillance : dès qu’une caméra est installée dans des locaux professionnels, un traitement de données personnelles est en cours. Ce traitement est susceptible de comporter un risque pour les droits et libertés des personnes filmées. La dérogation de l’article 30, paragraphe 5, ne peut pas s’y appliquer.
• Les badges d’accès : les systèmes de contrôle d’accès aux bâtiments ou aux locaux enregistrent des données de présence et de déplacement. Ce traitement est régulier par nature et peut être à risque, notamment s’il permet un suivi des horaires individuels ou des déplacements au sein des locaux.
• Les listes de diffusion internes : les groupes de messagerie, les listes de distribution par email, les groupes de messagerie instantanée constitués pour des besoins professionnels contiennent des données personnelles de salariés ou de partenaires et constituent un traitement distinct à documenter.
• Le formulaire de contact du site web : chaque formulaire en ligne collectant un nom, un email ou un numéro de téléphone correspond à un traitement distinct, avec sa propre finalité, sa propre base légale et sa propre durée de conservation.
• Les cookies et traceurs : si le site web dépose des cookies de mesure d’audience ou de ciblage, ces opérations constituent des traitements de données personnelles (adresses IP, identifiants de navigation) à documenter dans le registre, avec leur base légale propre.
• Les candidatures spontanées et les CV reçus : la réception et la conservation de candidatures impliquent le traitement de données personnelles parfois sensibles (parcours, diplômes, coordonnées). Ce traitement doit être documenté même si aucun recrutement actif n’est en cours au moment de la construction du registre.
• Les annuaires internes : les répertoires de contacts internes, les organigrammes avec photos, les trombinoscopes publiés sur l’intranet constituent des traitements de données personnelles soumis aux mêmes obligations.
• La messagerie professionnelle : les boîtes email des salariés contiennent des données personnelles de tiers (clients, partenaires, candidats). La politique de gestion de ces boîtes, notamment après le départ d’un salarié, doit être documentée dans le registre.
• Les sauvegardes : les systèmes de sauvegarde traitent indirectement l’ensemble des données personnelles présentes dans les systèmes. La politique de sauvegarde, sa fréquence, les garanties de sécurité appliquées et les durées de rétention des sauvegardes doivent être documentées dans une fiche dédiée.

Un modèle de fiche de registre complet

Voici un exemple de fiche remplie pour le traitement de gestion de la relation client. Ce modèle est présenté à titre illustratif et doit être adapté à la réalité concrète de chaque organisation. Il reprend les rubriques de l’article 30, paragraphe 1, du RGPD, complétées par la base légale recommandée par la CNIL.

Rubrique	Contenu
Numéro de fiche	RT-001
Nom du traitement	Gestion de la relation client
Service responsable	Direction commerciale
Date de création de la fiche	[Date à compléter]
Date de dernière mise à jour	[Date à compléter]
Identité du responsable de traitement	Société [Nom], [Adresse complète], [Email contact RGPD]
Délégué à la protection des données	[Nom, coordonnées] ou « Non désigné à ce jour »
Finalités	Gestion et suivi des devis et commandes ; émission et archivage des factures ; gestion des réclamations et du service après-vente ; fidélisation de la clientèle existante par communications commerciales ciblées
Base légale (article 6 du RGPD)	Exécution d’un contrat (article 6, paragraphe 1, point b) pour les traitements liés à la relation commerciale en cours. Intérêt légitime de l’organisation (article 6, paragraphe 1, point f) pour la fidélisation des clients existants, après mise en balance des intérêts.
Catégories de personnes concernées	Clients personnes physiques actifs et anciens clients ; contacts référents au sein des clients personnes morales
Catégories de données personnelles	Données d’identification (nom, prénom) ; coordonnées professionnelles et/ou personnelles (adresse email, numéro de téléphone, adresse postale de facturation et de livraison) ; données de facturation (numéro de commande, montants, modalités de paiement) ; historique des échanges et des achats
Données de catégories particulières (article 9)	Aucune
Destinataires internes	Service commercial, service comptable, direction générale pour les contrats significatifs
Destinataires externes	Prestataire hébergeant l’outil de gestion de la relation client (sous-traitant, contrat article 28 en place) ; prestataire comptable pour les opérations de facturation (sous-traitant, contrat article 28 en place)
Transferts hors EEE	[Aucun identifié à ce jour] ou [Transfert vers [pays], encadré par les clauses contractuelles types de la Commission européenne, vérifiées le [date]]
Durées de conservation	Phase active : durée de la relation commerciale, données accessibles aux services opérationnels. Phase d’archivage intermédiaire : durée de la prescription applicable aux actions civiles en matière commerciale, accès restreint à la direction juridique. Suppression sécurisée au terme de l’archivage intermédiaire, sauf obligation légale spécifique justifiant une conservation plus longue pour certaines catégories de documents.
Mesures de sécurité (article 32)	Accès à l’outil de gestion de la relation client restreint aux collaborateurs habilités, par profil de rôle nominatif ; authentification par identifiant et mot de passe robuste avec renouvellement périodique ; chiffrement des données en transit (protocole TLS) ; sauvegardes quotidiennes chiffrées ; journalisation des accès et des modifications ; formation annuelle des équipes commerciales aux règles de sécurité
Analyse d’impact (article 35)	Non requise pour ce traitement (hors critères de risque élevé au sens des recommandations de la CNIL)

Trois fiches supplémentaires remplies

Gestion des fournisseurs

Rubrique	Contenu
Numéro de fiche	RT-002
Nom du traitement	Gestion des fournisseurs et prestataires
Finalité	Gestion des relations contractuelles avec les fournisseurs et prestataires ; traitement des commandes d’achat ; gestion des paiements et de la comptabilité fournisseurs ; évaluation et suivi de la performance des fournisseurs
Base légale (article 6)	Exécution d’un contrat (article 6, paragraphe 1, point b) pour les contacts parties prenantes au contrat. Intérêt légitime (article 6, paragraphe 1, point f) pour la gestion des contacts au sein des personnes morales fournisseurs qui ne sont pas personnellement parties au contrat.
Personnes concernées	Contacts référents au sein des sociétés fournisseurs (interlocuteurs commerciaux, responsables de compte, représentants légaux pour les contrats)
Catégories de données	Données d’identification professionnelle (nom, prénom, fonction) ; coordonnées de contact professionnelles (email, téléphone) ; données bancaires pour le règlement des factures ; données contractuelles (conditions, historique des commandes et des paiements)
Destinataires	Service achats, service comptable, direction générale pour les contrats stratégiques
Transferts hors EEE	À évaluer selon les fournisseurs et les outils utilisés pour la gestion des achats
Durées de conservation	Phase active : durée de la relation contractuelle. Phase d’archivage intermédiaire : durée des obligations comptables et fiscales applicables aux pièces justificatives, accès restreint au service comptable. Suppression au terme de l’archivage intermédiaire.
Mesures de sécurité (article 32)	Accès restreint par profil de rôle, chiffrement des données en transit, sauvegardes régulières chiffrées

Gestion du personnel

Rubrique	Contenu
Numéro de fiche	RT-003
Nom du traitement	Gestion des ressources humaines et de la paie
Finalité	Établissement et versement des rémunérations ; gestion des congés, absences et temps de travail ; tenue des dossiers du personnel ; établissement des déclarations sociales et fiscales obligatoires
Base légale (article 6)	Exécution du contrat de travail (article 6, paragraphe 1, point b) pour les traitements liés à la relation de travail. Obligation légale (article 6, paragraphe 1, point c) pour les déclarations sociales et fiscales imposées par la réglementation applicable.
Personnes concernées	Salariés en poste ; anciens salariés pour la durée de conservation applicable à leur dossier
Catégories de données	Données d’identification (nom, prénom, date et lieu de naissance, nationalité) ; coordonnées personnelles (adresse, email, téléphone) ; données bancaires (RIB pour virement de salaire) ; données de rémunération (salaire, primes, avantages en nature) ; numéro de sécurité sociale ; données relatives aux absences et aux congés
Données de catégories particulières (article 9)	Données de santé en cas d’arrêt maladie (présence dans le dossier RH, traitée sur la base des obligations propres au droit du travail). Accès strictement restreint.
Destinataires	Direction des ressources humaines, service comptable, organismes sociaux (caisses de retraite, mutuelle d’entreprise, organisme de prévoyance), administration fiscale, prestataire de paie (sous-traitant, contrat article 28)
Transferts hors EEE	À vérifier selon le prestataire de paie utilisé et ses sous-traitants ultérieurs
Durées de conservation	Données actives : durée du contrat de travail, accessibles au service RH. Phase d’archivage intermédiaire : durée de la prescription applicable en matière de litiges prud’homaux et d’obligations sociales, accès restreint à la direction. Bulletins de paie : durée imposée par la réglementation du travail applicable. Données de santé : conservées uniquement le temps strictement nécessaire à la gestion de l’absence, puis supprimées.
Mesures de sécurité (article 32)	Accès au dossier du personnel strictement limité au service RH et à la direction, authentification renforcée, chiffrement des archives, traçabilité des accès, politique de destruction sécurisée des documents en fin de conservation

Prospection commerciale

Rubrique	Contenu
Numéro de fiche	RT-004
Nom du traitement	Prospection commerciale
Finalité	Envoi de communications commerciales à des prospects identifiés ; développement du portefeuille clients
Base légale (article 6)	Intérêt légitime de l’organisation (article 6, paragraphe 1, point f) pour la prospection B2B vers des contacts professionnels dont les coordonnées sont librement accessibles dans un contexte professionnel, après mise en balance des intérêts. Consentement (article 6, paragraphe 1, point a) pour la prospection par email vers des particuliers.
Personnes concernées	Prospects personnes physiques ; contacts référents au sein de sociétés cibles
Catégories de données	Nom, prénom, email professionnel, numéro de téléphone, fonction, société, source de collecte (formulaire web, salon professionnel, parrainage, réseau professionnel)
Destinataires	Équipe commerciale, outil de gestion de la relation client ou outil d’emailing (sous-traitant, contrat article 28 en place)
Transferts hors EEE	À vérifier selon l’outil d’emailing ou de gestion de la relation client utilisé et la localisation de ses serveurs
Durées de conservation	Durée maximale à compter du dernier contact actif du prospect, conformément aux recommandations de la CNIL. À l’issue de cette période, suppression ou sollicitation d’un nouveau consentement ou d’une nouvelle manifestation d’intérêt. Traçabilité des consentements conservée pour la durée de la prescription applicable.
Mesures de sécurité (article 32)	Accès à la base prospects restreint à l’équipe commerciale, gestion centralisée et automatisée des désinscriptions, traçabilité des consentements recueillis avec date et mode de collecte, journalisation des accès à la base

La durée de conservation dans le registre : comment la formuler correctement

La durée de conservation est l’une des rubriques les plus défaillantes dans les registres soumis à la CNIL lors des contrôles. Elle est pourtant vérifiée en priorité, car elle est le reflet direct du respect du principe de limitation de la conservation posé par l’article 5 du RGPD : les données ne doivent pas être conservées sous une forme permettant l’identification des personnes concernées au-delà de ce qui est nécessaire au regard des finalités poursuivies.

La règle fondamentale est d’écrire une règle, jamais une date. Une date est obsolète le lendemain de sa rédaction et ne s’applique pas aux données collectées après elle. Une règle, en revanche, est applicable à chaque donnée individuellement, quelle que soit la date à laquelle elle a été collectée.

La CNIL structure la conservation en trois phases successives, que le registre doit refléter pour chaque catégorie de données :

• La base active : c’est la période pendant laquelle les données sont nécessaires à la réalisation de la finalité principale du traitement. Les données sont accessibles aux équipes opérationnelles. La durée de cette phase est déterminée par la durée de la relation (contractuelle, par exemple) ou par la durée de l’objectif poursuivi (durée d’une campagne, durée d’un projet).
• L’archivage intermédiaire : la finalité principale est accomplie, mais les données conservent une utilité administrative ou probatoire, notamment pour couvrir un litige potentiel ou satisfaire une obligation légale de conservation. Les données sont physiquement ou logiquement séparées de la base active. Leur accès est restreint à un nombre limité de personnes habilitées (direction juridique, direction générale, délégué à la protection des données). La durée de cette phase est déterminée par la prescription applicable à la situation concernée ou par l’obligation légale identifiable.
• La suppression sécurisée ou l’anonymisation irréversible : au terme de l’archivage intermédiaire, les données sont supprimées de façon sécurisée, ce qui implique une destruction effective et non simplement une mise à la corbeille. L’anonymisation irréversible peut être envisagée dans des cas très spécifiques (conservation à des fins statistiques agrégées), mais elle ne se confond pas avec une simple pseudonymisation.

Cette logique en trois phases doit être appliquée à chaque catégorie de données au sein d’un même traitement. Pour un traitement de gestion clients, les coordonnées du client et les données de facturation n’ont pas nécessairement les mêmes durées d’archivage intermédiaire, car elles relèvent d’obligations légales différentes. Le registre doit refléter ces distinctions.

Une erreur fréquente consiste à écrire une durée unique pour l’ensemble des données d’un traitement, sans distinguer les phases. Or une donnée dont la finalité principale est accomplie ne peut pas être conservée en base active sous prétexte qu’une autre donnée du même traitement fait encore l’objet d’une obligation légale. Le cloisonnement entre phase active et archivage intermédiaire est une condition du respect du principe de minimisation.

Dans le registre, la formulation correcte doit permettre à quiconque de comprendre, sans ambiguïté, à partir de quel événement le délai commence à courir (fin du contrat, dernier contact actif, date de la facture, départ du salarié), ce qui se passe à l’issue de la phase active (bascule en archivage intermédiaire avec accès restreint), et ce qui se passe à l’issue de l’archivage intermédiaire (suppression sécurisée ou, exceptionnellement, anonymisation). Ce niveau de précision est ce que la CNIL attend.

La tenue du registre dans le temps

Un registre créé une fois et jamais relu n’a plus de valeur sur le plan de la conformité. Il ne reflète plus la réalité des traitements, et il ne peut pas démontrer l’accountability de l’organisation. La CNIL attend un document vivant, mis à jour de façon continue, qui reflète fidèlement l’état des traitements au moment du contrôle.

Qui est responsable de la tenue du registre

La responsabilité de la tenue du registre incombe au responsable de traitement. C’est lui qui doit s’assurer que le registre est complet, exact et à jour. La mission de le construire et de le maintenir peut être confiée à un délégué à la protection des données, à un responsable juridique ou à un responsable des systèmes d’information. En l’absence de toute désignation formelle, elle revient au dirigeant. L’essentiel est que la responsabilité soit clairement attribuée, que la personne désignée dispose des accès nécessaires à l’ensemble des services et qu’un processus soit établi pour que les évolutions soient remontées.

À quelle fréquence réviser le registre

Une révision complète annuelle est le minimum. Elle consiste à passer en revue chaque fiche pour vérifier que les informations sont encore exactes : les finalités correspondent-elles toujours à la réalité des traitements ? Les sous-traitants listés sont-ils ceux effectivement utilisés aujourd’hui ? Les mesures de sécurité décrites sont-elles toujours en place ? Les durées de conservation formulées sont-elles effectivement appliquées ?

Au-delà de la révision annuelle, certains événements doivent déclencher une mise à jour immédiate du registre :

• La mise en place d’un nouveau traitement de données (lancement d’un nouveau produit, d’un nouveau service, d’un nouveau système d’information, d’une nouvelle campagne marketing).
• Le changement d’un sous-traitant (migration d’un outil vers un autre, changement de prestataire d’hébergement ou d’emailing).
• La modification des finalités d’un traitement existant.
• La modification des mesures de sécurité ou de l’architecture technique des systèmes.
• La cessation définitive d’un traitement.
• L’identification d’un nouveau transfert vers un pays situé hors de l’Espace économique européen.
• La conclusion ou la révision d’un contrat de sous-traitance.

Le versionnage du registre

Chaque mise à jour du registre doit être tracée : date de la modification, nature de la modification, identité de la personne qui l’a effectuée. Ce versionnage n’est pas imposé explicitement par l’article 30 du RGPD, mais il est fortement recommandé. Il permet de démontrer que le registre est un document vivant, effectivement maintenu et non figé depuis une création initiale ancienne. Lors d’un contrôle, un registre présentant un historique documenté de mises à jour successives est perçu comme la marque d’une démarche sérieuse et continue. Un registre dont la seule date est celle de sa création donne l’impression inverse.

Le lien avec l’analyse d’impact selon l’article 35

Le registre et l’analyse d’impact relative à la protection des données sont deux documents complémentaires. Le registre recense tous les traitements. L’analyse d’impact, prévue à l’article 35 du RGPD, analyse en détail les traitements qui présentent un risque élevé pour les droits et libertés des personnes concernées et doit être réalisée préalablement à leur mise en oeuvre.

Le registre est le point d’entrée naturel pour identifier si une analyse d’impact est nécessaire. Pour chaque traitement documenté dans une fiche, il convient d’évaluer si ce traitement répond aux critères de risque élevé définis par les lignes directrices de la CNIL. En pratique, une colonne dédiée dans le registre peut mentionner, pour chaque fiche : « Analyse d’impact requise : oui / non / à évaluer », avec un lien vers la fiche d’analyse d’impact correspondante si elle a été réalisée.

Cette articulation garantit la cohérence de l’ensemble du dispositif documentaire. Une analyse d’impact sans fiche de registre correspondante, ou une fiche de registre décrivant un traitement à risque élevé sans analyse d’impact associée, sont des lacunes susceptibles d’être relevées lors d’un contrôle de la CNIL.

Parmi les traitements qui, une fois identifiés dans le registre, doivent alerter sur la nécessité probable d’une analyse d’impact, on peut citer : la vidéosurveillance déployée à grande échelle ou de façon systématique, le profilage automatisé avec des effets significatifs sur les personnes, le traitement de données de santé à grande échelle, les systèmes de notation ou de scoring des personnes, ou encore les traitements impliquant des personnes vulnérables (mineurs, patients, personnes en situation de précarité). Le registre permet de repérer ces traitements et de déclencher l’analyse d’impact qui s’impose, avant toute mise en production.

Les erreurs fréquentes à éviter

Un registre défaillant peut être aussi problématique qu’une absence de registre, car il crée une apparence de conformité qui ne résiste pas à un contrôle approfondi. Voici les erreurs les plus souvent observées.

• Confondre le registre et la politique de confidentialité : ces deux documents ont des fonctions opposées. La politique de confidentialité est un document public, destiné aux personnes concernées, qui les informe de leurs droits. Le registre est un document interne de pilotage, destiné à l’organisation elle-même et à la CNIL sur demande. L’un ne peut pas remplacer l’autre.
• Une seule fiche pour toute l’entreprise : regrouper tous les traitements en une seule fiche générique « gestion des données de l’entreprise » est sans valeur documentaire. Chaque traitement distinct, c’est-à-dire chaque finalité autonome, doit faire l’objet d’une fiche séparée. Cette erreur est souvent le signe qu’aucune cartographie des traitements n’a été réalisée.
• Des finalités rédigées de façon trop vague : « gestion des clients », « amélioration de nos services » ou « communication » ne sont pas des finalités au sens du RGPD. Une finalité doit être déterminée, explicite et légitime, et doit décrire concrètement l’opération réalisée et l’objectif poursuivi.
• Les sous-traitants non listés : de nombreuses organisations omettent de lister les outils externalisés comme destinataires, notamment les services hébergés dans le nuage informatique qui traitent des données pour le compte de l’organisation. Chaque prestataire accédant aux données doit figurer dans le registre et faire l’objet d’un contrat conforme à l’article 28 du RGPD.
• Les durées de conservation exprimées en date fixe : inscrire une date fixe est non seulement inefficace (cette date est dépassée le lendemain), mais révèle une incompréhension de la logique du registre. La durée doit être formulée comme une règle applicable à chaque donnée en fonction de son propre cycle de vie.
• Un registre créé une fois et jamais relu : un registre dont la date de création remonte à plusieurs années, sans aucune trace de mise à jour, est interprété par la CNIL comme la preuve d’un défaut de gouvernance des données. La date de dernière mise à jour est l’un des premiers éléments examinés.
• L’absence de registre du sous-traitant alors que l’entreprise en est un : les prestataires de services qui traitent des données pour le compte de leurs clients sont souvent conscients de leur obligation en tant que responsables de traitement, mais négligent leur obligation distincte en tant que sous-traitants. Ces deux obligations sont indépendantes et l’une ne se substitue pas à l’autre.

Un registre se construit à partir de vos outils, pas d’un modèle vierge

La façon la plus fiable de ne manquer aucun traitement est de partir de la liste concrète des outils qui contiennent des données personnelles dans votre organisation. Un modèle vierge, aussi bien structuré soit-il, ne peut pas à votre place identifier les traitements que vous réalisez réellement. Il donne une structure, pas un contenu.

Commencez par recenser chaque outil utilisé dans votre activité quotidienne : celui qui centralise vos contacts commerciaux, celui qui traite vos factures, celui où sont enregistrés vos devis, celui qui contient vos échanges avec vos clients, celui qui gère la paie. Pour chaque outil, identifiez quelles données y sont saisies, qui y accède, à quelle fin et pour combien de temps. Vous obtenez ainsi les briques de chaque fiche de votre registre, fondées sur ce qui se passe réellement dans votre organisation et non sur une liste théorique.

Djaboo centralise les clients, les contacts, les devis, les factures et les dépenses rattachés à leur dossier. Cette centralisation permet d’identifier précisément quelles catégories de données y sont traitées, pour quelles finalités opérationnelles et par quelles personnes, ce qui rend le renseignement de la fiche de registre correspondante concret, précis et fiable. Il est cependant essentiel de souligner que le registre des traitements demeure à la charge exclusive du responsable de traitement : c’est à lui de le construire, de le renseigner et de le tenir à jour. Aucun outil ne se substitue à cette obligation documentaire, qui ne peut être ni automatisée ni transférée à un prestataire.

Questions fréquentes

Mon entreprise a moins de dix salariés. Suis-je vraiment obligé de tenir un registre ?

Oui, dans la quasi-totalité des cas. La dérogation de l’article 30, paragraphe 5, du RGPD ne dépend pas d’un seuil d’effectif absolu inférieur à deux cent cinquante : elle dépend de la nature des traitements. Si vous tenez un fichier clients actif, gérez la paie de vos salariés ou envoyez des communications commerciales de façon régulière, vos traitements ne sont pas occasionnels et la dérogation ne s’applique pas. Une structure de deux personnes avec un fichier clients doit tenir un registre au même titre qu’une entreprise de cent personnes. La CNIL recommande sans ambiguïté à toutes les organisations qui traitent des données personnelles de tenir un registre, quelle que soit leur taille.

Quelle est la différence entre le registre du responsable de traitement et celui du sous-traitant ?

Le registre du responsable de traitement, prévu à l’article 30, paragraphe 1, recense les traitements que votre organisation décide de réaliser pour ses propres finalités. Le registre du sous-traitant, prévu à l’article 30, paragraphe 2, recense les opérations que vous réalisez sur instructions d’un client responsable de traitement. Le contenu diffère profondément : le registre du responsable inclut les finalités, les bases légales, les durées de conservation et les catégories de données. Le registre du sous-traitant, plus succinct, documente les catégories de traitements réalisés pour chaque client, les transferts éventuels hors Union européenne et les mesures de sécurité appliquées. Si votre organisation est à la fois responsable pour ses propres données et sous-traitant pour celles de ses clients, elle doit tenir les deux registres de façon indépendante.

Combien de fiches doit comporter un registre pour une petite structure ?

Il n’existe pas de nombre fixe. Le nombre de fiches doit correspondre au nombre de traitements distincts réellement mis en oeuvre par l’organisation, c’est-à-dire au nombre de finalités autonomes identifiées. Pour une TPE active avec des clients, des fournisseurs, quelques salariés et un site web avec formulaire de contact, un registre bien construit comprend généralement entre huit et quinze fiches. En dessous, il est probable que des traitements ont été oubliés ou indûment regroupés. Au-delà d’une trentaine de fiches pour une très petite structure, un découpage trop fin peut nuire à la lisibilité sans apporter de valeur supplémentaire en termes de conformité.

Le registre doit-il être rendu public ?

Non. Le registre est un document strictement interne. L’article 30, paragraphe 4, du RGPD impose de le mettre à la disposition de la CNIL sur demande, mais aucune disposition n’exige sa publication. Il ne doit pas être confondu avec la politique de confidentialité ou les mentions d’information prévues par les articles 13 et 14 du RGPD, qui sont des documents publics destinés aux personnes concernées. Le registre peut en revanche être partiellement communiqué à des partenaires commerciaux ou à des clients qui souhaitent auditer les pratiques de leur sous-traitant dans le cadre de l’article 28 du RGPD.

Peut-on tenir un registre sur un tableur simple ?

Oui. L’article 30, paragraphe 3, du RGPD n’impose aucun format particulier si ce n’est la forme écrite, y compris électronique. Un fichier tableur bien structuré est tout à fait valide juridiquement, à condition qu’il soit complet, à jour et accessible rapidement en cas de contrôle. La CNIL met d’ailleurs à disposition sur son site un modèle de registre simplifié au format tableur, téléchargeable gratuitement, adapté aux TPE et PME. Ce que la CNIL évalue lors d’un contrôle, c’est la qualité, la précision et l’actualité du contenu, pas le support sur lequel il est tenu.

À quelle fréquence doit-on mettre à jour le registre ?

Le registre doit être mis à jour immédiatement à chaque événement significatif : nouveau traitement, changement de sous-traitant, modification des finalités ou des mesures de sécurité, cessation d’un traitement. En dehors de ces déclencheurs immédiats, une révision complète annuelle est le minimum recommandé. La CNIL n’impose pas de fréquence exacte dans l’article 30, mais elle vérifie la date de dernière mise à jour lors de chaque contrôle. Un registre non actualisé depuis plus d’un an est interprété comme un défaut de pilotage, sauf si l’organisation peut démontrer qu’aucun changement notable n’est intervenu dans ses traitements au cours de cette période.

Un prestataire qui héberge des données pour ses clients doit-il tenir un registre ?

Oui, et souvent deux. En tant que sous-traitant au sens de l’article 28 du RGPD, ce prestataire doit tenir le registre du sous-traitant prévu à l’article 30, paragraphe 2, pour documenter les opérations réalisées pour chaque responsable client. Et en tant que responsable de traitement pour ses propres données (gestion de ses salariés, de sa propre comptabilité, de ses propres clients), il doit tenir le registre du responsable prévu à l’article 30, paragraphe 1. Cette situation de double qualité est très fréquente dans les secteurs des services informatiques, des agences, des cabinets comptables et des prestataires de services externalisés. Elle est insuffisamment prise en compte dans les pratiques de mise en conformité.

Que risque-t-on concrètement en l’absence de registre ?

L’absence de registre constitue un manquement à l’article 30 du RGPD. Sur le plan formel, elle peut donner lieu à une mise en demeure de la CNIL avec un délai de mise en conformité. Elle constitue également un facteur aggravant dans le cadre de toute sanction prononcée pour d’autres manquements constatés lors du même contrôle. Au-delà de la sanction administrative, l’absence de registre prive l’organisation de la capacité à démontrer sa conformité, ce qui peut représenter un désavantage commercial significatif dans des relations d’affaires où les partenaires et clients exigent des garanties en matière de protection des données, notamment dans le cadre des contrats de sous-traitance prévus à l’article 28 du RGPD.

Le registre suffit-il à prouver la conformité RGPD de mon organisation ?

Non. Le registre est un élément central de la conformité, mais il n’en est qu’un composant. La conformité au RGPD implique également que chaque traitement repose sur une base légale valide au sens de l’article 6, que les personnes concernées soient informées de leurs droits conformément aux articles 13 et 14, que les données soient sécurisées conformément à l’article 32, que les sous-traitants soient encadrés par des contrats conformes à l’article 28, que les droits d’accès, de rectification, d’effacement et d’opposition soient garantis et traités dans les délais. Le registre est la carte qui recense et documente. La conformité est le territoire, qui englobe l’ensemble des pratiques réelles de l’organisation.

Que faire si j’identifie des traitements non conformes en construisant le registre ?

C’est précisément l’une des utilités majeures de cet exercice. Lorsqu’un traitement est identifié sans base légale valide, avec des durées de conservation excessives ou sans encadrement contractuel du sous-traitant concerné, le registre doit le documenter tel qu’il est, avec une mention indiquant qu’une action corrective est en cours. Il convient ensuite de prioriser les corrections selon le niveau de risque de chaque traitement, en commençant par ceux qui exposent les personnes concernées aux risques les plus élevés. Un registre honnête qui documente les non-conformités identifiées et le plan d’action associé pour y remédier est bien mieux perçu par la CNIL qu’un registre qui affiche une conformité inexistante. La démarche compte autant que le résultat.