Registre des traitements RGPD : modèle et guide complet

Le registre des traitements est souvent le premier document qu'on vous réclame lors d'un contrôle, et celui que la plupart des organisations n'ont jamais vraiment construit. Beaucoup de dirigeants pensent qu'il s'agit d'une formalité réservée aux grands groupes. C'est faux, et l'absence de registre est l'un des manquements les plus simples à constater pour la CNIL.

Cet article répond concrètement : ce qu'est un registre des traitements, qui doit le tenir, ce qu'il doit contenir et comment le construire. Vous y trouverez un modèle sous forme de tableau des colonnes à renseigner, puis la méthode pour le maintenir à jour.

Définition — Le registre des traitements, ou registre des activités de traitement, est le document qui recense l'ensemble des traitements de données personnelles réalisés par une organisation. Il décrit, pour chaque traitement, sa finalité, les données concernées, les personnes visées, les destinataires, les durées de conservation et les mesures de sécurité. Il est prévu par l'article 30 du RGPD.

Points clés

• Le registre des traitements cartographie tous vos usages de données personnelles, traitement par traitement.
• Il est rendu obligatoire par l'article 30 du RGPD, avec des allègements pour les structures de moins de 250 salariés.
• Il doit préciser finalités, catégories de personnes et de données, destinataires, durées de conservation et mesures de sécurité.
• Un simple tableau bien tenu suffit pour démarrer : la valeur vient de la mise à jour, pas de l'outil.
• C'est la première brique de toute mise en conformité, celle qui permet ensuite de prioriser par le risque.

Registre des traitements : définition et rôle

Le registre des traitements est la cartographie de tous les traitements de données personnelles que réalise votre organisation. Chaque ligne décrit une activité : la gestion de la paie, le fichier clients, la vidéosurveillance, la newsletter, le recrutement.

Son rôle dépasse la simple obligation documentaire. Il vous oblige à savoir quelles données vous détenez, pourquoi, pour combien de temps et qui y accède. C'est le socle du principe de responsabilité : sans registre, vous ne pouvez pas prouver que vous respectez les règles. Pour une vue d'ensemble du texte, notre article RGPD, c'est quoi ? reprend les bases.

En pratique, le registre sert de point de départ. Une fois vos traitements listés, vous repérez ceux qui posent le plus de risques et les traitez en priorité. C'est cette logique qui structure une mise en conformité RGPD réaliste plutôt qu'un projet interminable.

Bon à savoir — Le registre n'est pas public. Il reste un document interne, que vous tenez à disposition de la CNIL en cas de demande. Vous n'avez donc pas à le publier sur votre site, seulement à pouvoir le présenter rapidement.

Qui doit tenir un registre des traitements ?

Toute organisation qui traite des données personnelles doit en principe tenir un registre, quelle que soit sa taille ou son statut. Entreprise, association, collectivité, profession libérale : la règle vaut pour tout le monde dès qu'il y a traitement de données.

L'article 30 prévoit une dispense partielle pour les organisations de moins de 250 salariés. Mais elle est très encadrée : elle tombe dès que le traitement n'est pas occasionnel, qu'il présente un risque, ou qu'il porte sur des données sensibles. La quasi-totalité des TPE et PME reste donc concernée, car gérer des salariés ou des clients constitue un traitement régulier.

Il existe aussi deux registres distincts selon votre rôle. En tant que responsable de traitement, vous documentez les traitements que vous décidez. En tant que sous-traitant, vous tenez un registre des traitements réalisés pour le compte de vos clients. Une même société peut cumuler les deux casquettes.

Attention — Se croire dispensé parce qu'on a moins de 250 salariés est une erreur fréquente. Dès que vous gérez une paie, un fichier clients ou des candidatures, vous tenez un traitement régulier qui doit figurer au registre. Pour savoir par où démarrer, consultez RGPD pour les TPE et PME : par où commencer.

Ce que le registre doit contenir selon l'article 30

L'article 30 du RGPD fixe précisément les informations à renseigner pour chaque traitement. Le contenu attendu tient en quelques rubriques claires.

• Finalité du traitement : l'objectif poursuivi, par exemple la gestion des commandes ou le suivi des candidatures.
• Catégories de personnes concernées : clients, prospects, salariés, fournisseurs, visiteurs.
• Catégories de données : identité, coordonnées, données bancaires, données de connexion, données de santé.
• Destinataires : services internes, sous-traitants, partenaires ou administrations qui reçoivent les données.
• Durées de conservation : le délai au terme duquel chaque catégorie de données est supprimée ou archivée.
• Mesures de sécurité : les moyens techniques et organisationnels qui protègent les données, décrits de façon générale.

À ces éléments s'ajoutent l'identité du responsable de traitement et, le cas échéant, celle du délégué à la protection des données, ainsi que les éventuels transferts hors de l'Union européenne. Remplir ces rubriques vous fait souvent repérer un traitement oublié ou une durée de conservation jamais fixée.

Modèle de registre des traitements : le tableau des colonnes

Un registre efficace se présente comme un tableau, une ligne par traitement. Voici les colonnes à renseigner, qui reprennent les exigences de l'article 30 sous une forme directement utilisable.

Colonne	Ce que vous y notez
Nom du traitement	Intitulé court et parlant (ex. Gestion de la paie)
Finalité	L'objectif précis et légitime du traitement
Responsable	Service ou personne pilote du traitement
Base légale	Consentement, contrat, obligation légale, intérêt légitime
Personnes concernées	Clients, salariés, prospects, fournisseurs
Catégories de données	Identité, coordonnées, données bancaires, etc.
Données sensibles	Oui ou non, et lesquelles le cas échéant
Destinataires	Qui reçoit ou consulte les données
Sous-traitants	Prestataires impliqués (paie, hébergement, emailing)
Transferts hors UE	Pays et garanties associées
Durée de conservation	Délai par catégorie de données
Mesures de sécurité	Chiffrement, gestion des accès, sauvegardes

Ce modèle couvre les besoins d'une TPE, d'une PME ou d'une collectivité. Un simple tableur suffit pour commencer, avant un outil dédié si le nombre de traitements grandit.

Bon à savoir — La CNIL met à disposition un modèle de registre prêt à l'emploi que vous pouvez adapter à votre activité. Vous le trouverez sur le site de la CNIL, aux côtés de nombreuses fiches pratiques.

Comment construire votre registre étape par étape

Construire un registre revient à interroger chaque service sur ce qu'il fait des données, puis à consigner les réponses. La démarche est plus simple qu'elle n'y paraît si vous procédez par étapes.

1. Recensez vos traitements en partant des activités réelles : ressources humaines, commercial, comptabilité, marketing, informatique.
2. Décrivez chaque traitement en remplissant les colonnes du modèle, une ligne à la fois.
3. Fixez une base légale et une durée de conservation pour chaque traitement, même si cela demande un arbitrage.
4. Identifiez les traitements à risque, notamment ceux qui portent sur des données sensibles ou un suivi à grande échelle.
5. Reliez le registre aux autres actions de conformité, comme les mentions d'information ou les analyses d'impact.

Un traitement à risque élevé peut imposer une analyse d'impact avant sa mise en œuvre. Notre article AIPD : l'analyse d'impact relative à la protection des données explique quand elle devient obligatoire. Anticiper ces points dès la conception, dans une logique de privacy by design, évite de corriger dans l'urgence une fois le projet lancé.

Conseil — Ne visez pas un registre parfait du premier coup. Listez d'abord vos dix ou quinze traitements évidents, puis complétez au fil des semaines. Si vous voulez cadrer la démarche sur votre activité, prenez contact : un premier échange suffit souvent à savoir par où commencer.

Comment maintenir le registre à jour

Un registre n'a de valeur que s'il reflète la réalité du moment. Un document figé, rempli une fois puis oublié, ne vous protège pas lors d'un contrôle et signale même une conformité de façade.

Prévoyez une revue au moins une fois par an, et surtout à chaque changement notable : nouvel outil, nouveau prestataire, nouvelle activité, nouveau type de collecte. Chaque nouveau projet impliquant des données devrait déclencher l'ajout ou la mise à jour d'une ligne. Ce réflexe vaut mieux qu'une grande révision annuelle faite dans l'urgence.

Sur la durée, désigner un DPO externe permet de tenir cet effort sans mobiliser une ressource interne à plein temps. Et si vous déployez des systèmes d'intelligence artificielle, la conformité à l'AI Act vient se combiner à cette cartographie, car ces systèmes reposent presque toujours sur des traitements de données à documenter.

Conseil — La tenue d'un registre vivant est exactement le type d'accompagnement que nous assurons chez le cabinet mydari, avec une conformité priorisée par les risques réels. Si votre registre est incomplet ou inexistant, échangeons sur votre situation pour définir un plan simple.

FAQ

Qu'est-ce que le registre des traitements ?

Le registre des traitements est le document qui recense tous les traitements de données personnelles d'une organisation. Pour chacun, il précise la finalité, les catégories de personnes et de données, les destinataires, les durées de conservation et les mesures de sécurité. Il est prévu par l'article 30 du RGPD et sert de socle à toute démarche de conformité.

Le registre des traitements est-il obligatoire ?

Oui. Toute organisation qui traite des données personnelles doit tenir un registre. Les structures de moins de 250 salariés bénéficient d'un allègement, mais il tombe dès que le traitement est régulier, présente un risque ou porte sur des données sensibles. En pratique, gérer des salariés ou des clients suffit à rendre le registre obligatoire.

Que doit contenir un registre des traitements ?

Pour chaque traitement, le registre indique sa finalité, les catégories de personnes concernées, les catégories de données, les destinataires, les durées de conservation et une description des mesures de sécurité. Il précise aussi l'identité du responsable, celle du délégué à la protection des données le cas échéant, et les transferts éventuels hors de l'Union européenne.

Comment créer un registre des traitements ?

Partez de vos activités réelles, service par service, et créez une ligne par traitement dans un tableau. Renseignez pour chacun la finalité, la base légale, les données, les destinataires, la durée de conservation et les mesures de sécurité. Commencez par vos traitements les plus évidents, puis complétez progressivement plutôt que de viser l'exhaustivité immédiate.

Un tableur suffit-il pour tenir le registre ?

Oui, un simple tableur convient pour démarrer, surtout dans une TPE ou une PME. Le RGPD n'impose aucun format ni aucun logiciel particulier, seulement un support écrit. Un outil dédié devient utile lorsque le nombre de traitements augmente et que la mise à jour manuelle devient lourde à suivre.

Qui est responsable du registre dans l'entreprise ?

Le responsable de traitement, c'est-à-dire l'organisation elle-même, reste responsable de la tenue du registre. En pratique, sa gestion est souvent confiée au délégué à la protection des données ou à un référent interne. Un DPO externe peut aussi en assurer la tenue et la mise à jour dans la durée.

À quelle fréquence mettre à jour le registre ?

Le registre doit être révisé au moins une fois par an, et à chaque changement notable : nouvel outil, nouveau prestataire, nouvelle activité ou nouveau type de collecte. Le plus efficace est de le mettre à jour au fil de l'eau, à chaque nouveau projet, plutôt que d'attendre une révision annuelle réalisée dans l'urgence.

Conclusion

Le registre des traitements n'est ni un document complexe ni une contrainte réservée aux grands groupes. C'est la carte de vos usages de données, celle qui vous permet de savoir ce que vous détenez et de prioriser. Bien tenu, il transforme la conformité en démarche lisible plutôt qu'en source d'angoisse.

La suite dépend de votre situation. Si vous voulez construire ou remettre à jour votre registre sans y passer des semaines, prenez contact avec nos équipes : nous cadrons ensemble les prochaines étapes. Pour approfondir d'autres sujets, parcourez le blog et ses articles pratiques.

L'équipe mydari

Tous les articles