Registre des traitements

Ce que ça change pour une organisation

L’article 30 impose au responsable de traitement de tenir un registre des activités de traitement effectuées sous sa responsabilité, et au sous-traitant de tenir un registre des catégories d’activités menées pour chaque responsable. La CNIL recommande une fiche par activité, avec l’identité de l’organisme, les finalités, les catégories de personnes et de données, les destinataires dont les sous-traitants, les transferts hors de l’Union et leurs garanties, les délais d’effacement et une description générale des mesures de sécurité.

L’exemption pour les organismes de moins de 250 employés ne joue pas si le traitement est susceptible de comporter un risque pour les droits et libertés, n’est pas occasionnel ou porte sur des catégories particulières de données ; la CNIL précise qu’elle concerne très peu de cas et conseille, en cas de doute, d’inscrire le traitement.

Le registre se met à jour à chaque modification et se communique à l’autorité sur demande. Il sert aussi à piloter la conformité : hiérarchiser les risques, repérer les traitements appelant une analyse d’impact, bâtir un plan d’action. Le manquement à l’article 30 est passible de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (article 83, paragraphe 4).

Exemple

Exemple générique : une entreprise de 80 salariés ouvre une fiche par activité (paie, recrutement, relation client, vidéosurveillance). Pour le recrutement, elle note la finalité (sélectionner des candidats), les données (identité, parcours), les destinataires (ressources humaines, éditeur de la plateforme d’annonces), la durée de conservation et les mesures de sécurité. Elle repère ainsi les prestataires à encadrer par un contrat et les traitements qui appellent une AIPD.

À ne pas confondre avec

• L’AIPD : étude approfondie d’un traitement à risque, alors que le registre inventorie toutes les activités.
• Le registre des violations : le responsable documente aussi chaque violation (faits, effets, mesures prises, article 33, paragraphe 5) dans un document distinct.
• Le registre du sous-traitant : il recense les activités menées pour chaque client et ne remplace pas celui du responsable.