RGPD · 8 min · 2026-08-05
Le registre des traitements : ce qu'il doit contenir, et pourquoi il est faux six mois plus tard
Ce que demande l'article 30, qui doit en tenir un malgré l'exemption des 250 salariés, et pourquoi un registre tenu à part du reste se périme aussi vite qu'il se remplit.
Ce que demande l'article 30
Le registre des activités de traitement est l'une des rares obligations documentaires que le RGPD décrit de façon précise. Le responsable de traitement en tient un, le sous-traitant aussi, avec un contenu propre à chacun.
Pour le responsable de traitement, le texte énumère notamment les finalités du traitement, les catégories de personnes concernées et de données, les catégories de destinataires, les transferts vers un pays tiers, les durées d'effacement prévues et une description générale des mesures de sécurité.
L'exemption qui n'exempte presque personne
Le règlement prévoit une dispense pour les organisations de moins de 250 salariés. Elle est assortie de conditions qui la vident largement de sa portée : elle tombe si le traitement est susceptible de comporter un risque pour les droits et libertés, s'il n'est pas occasionnel, ou s'il porte sur des catégories particulières de données.
Or un traitement de paie, un fichier client ou un outil de recrutement ne sont jamais occasionnels. En pratique, une organisation de vingt personnes qui emploie du personnel et gère des clients tient un registre comme les autres.
Pourquoi il se périme si vite
Un registre est presque toujours constitué de la même façon : un tableur, une personne, quelques semaines. À la fin de l'exercice il est juste. C'est le dernier jour où il l'est.
Chaque nouvel outil crée un traitement, souvent sans passer par qui que ce soit. Une équipe marketing installe une plateforme d'emailing, un service client adopte un nouvel outil de tickets, une direction teste un assistant conversationnel avec des données réelles. Aucun de ces gestes ne déclenche une mise à jour du registre, parce que le registre vit à part de l'organisation.
Le registre décrit, il ne prouve pas
C'est la confusion la plus coûteuse. Un registre à jour ne démontre pas que les durées de conservation sont respectées, que les sous-traitants sont encadrés, que les personnes sont informées ou que les mesures de sécurité décrites existent.
Il décrit une intention et une cartographie. La démonstration est ailleurs : dans les contrats de sous-traitance, les mentions d'information, les politiques approuvées, les configurations de suppression, les traces de revue. Le règlement met la charge de cette démonstration sur le responsable de traitement, ce que l'on appelle la responsabilité.
Le relier plutôt que le tenir à part
Un registre utile n'est pas un document isolé, c'est une entrée dans un dispositif. Chaque traitement pointe vers les exigences qu'il met en jeu, chaque exigence vers les preuves qui la couvrent, chaque manque vers une action assignée.
L'effet est immédiat le jour d'un questionnaire client ou d'une demande d'exercice de droits : on part d'un état, pas d'une page blanche et d'une chasse aux fichiers.
Par où commencer, si le vôtre n'existe pas
Par les outils, pas par l'organigramme. Listez les applications réellement utilisées, y compris celles que la direction informatique ne connaît pas, et demandez pour chacune quelles données y entrent et pourquoi.
C'est plus rapide que d'interroger service par service, et cela fait apparaître d'emblée les traitements que personne n'aurait déclarés spontanément.
Sources
- Règlement (UE) 2016/679, article 30 (registre des activités de traitement) et article 30.5 (dispense)
- Règlement (UE) 2016/679, article 5.2 (responsabilité du responsable de traitement)