Qu'est-ce qu'un registre de traitement RGPD ?
Le registre de traitement est un document présentant l'ensemble des activités de traitement de données personnelles effectuées par une organisation. Il permet d'avoir une vision globale des données collectées, de leur utilisation et de leur protection.
Cette obligation est prévue par l'article 30 du RGPD. Le registre doit être tenu par écrit, y compris sous forme électronique, et doit pouvoir être présenté à l'autorité de contrôle (la Commission Nationale de l'Informatique et des Libertés en France) sur demande. Il constitue une preuve tangible des efforts de conformité de l'organisation.
Le registre ne se limite pas à une simple liste des traitements. Il doit contenir des informations détaillées sur chaque processus : finalités, catégories de données, durée de conservation, mesures de sécurité, transferts hors UE, etc. C'est un outil clé à la conformité.
Quand faut-il tenir un registre de traitement RGPD ?
1. Entreprise de plus de 250 salariés
Le RGPD impose ce registre à toutes les organisations employant plus de 250 personnes. Cette obligation s'applique indépendamment du volume ou de la nature des données traitées.
Pour ces entreprises, le registre doit couvrir l'ensemble des traitements de données personnelles, qu'ils concernent les clients, les salariés, les fournisseurs ou tout autre catégorie de personnes.
2. Traitement régulier de données
Même les organisations de moins de 250 salariés doivent tenir un registre si elles effectuent des traitements de données de manière non occasionnelle. En pratique, cela concerne la quasi-totalité des entreprises qui gèrent des fichiers clients, des fichiers fournisseurs ou des dossiers de personnel.
La notion de traitement “non occasionne” couvre tous les traitements récurrents, c'est-a-dire ceux qui sont effectués de manière habituelle dans le cadre de l'activité de l'organisation.
3. Traitement de données sensibles
Le registre est obligatoire dès que l'organisation traite des catégories particulières de données, communément appelées “données sensibles” : données de santé, opinions politiques, convictions religieuses, origine ethnique, orientation sexuelle, données biométriques ou encore génétiques.
Ces traitements doivent être documentés et encadrés puisqu’ils présentent des risques accrus pour les droits et libertés des personnes
4. Traitement pouvant présenter un risque
Le registre est également obligatoire pour les traitements susceptibles de comporter un risque pour les droits et libertés des personnes concernées : profilage, décisions automatisées, surveillance systématique, traitement à grande échelle, etc.
Comment créer un registre de traitement RGPD ?
Etape 1 : Identifier les traitements
La première étape consiste à réaliser un inventaire exhaustif des traitements de données personnelles effectués par l'organisation. Cette cartographie doit couvrir tous les services et toutes les activités comme le pôle ressources humaines, commercial, marketing, comptabilité, informatique, etc.
Pour chaque traitement identifié, il faudra nommer un responsable et recueillir les informations nécessaires à sa documentation. Cette phase d'inventaire peut révéler des traitements méconnus ou mal encadrés.
Conseil d'expert : Utilise un questionnaire standardisé pour interroger chaque service. Cela garantira l'exhaustivité de l'inventaire et facilitera la collecte des informations.
Etape 2 : Documenter chaque traitement
Une fois les traitements identifiés, chacun d’entre eux doit faire l'objet d'une fiche détaillée. Cette fiche doit contenir toutes les informations exigées par l'article 30 du RGPD : finalités, catégories de données, catégories de personnes concernées, destinataires, durée de conservation, mesures de sécurité.
La documentation doit être suffisamment précise pour permettre à un tiers (auditeur, CNIL) de comprendre le traitement sans explication complémentaire. Elle doit également être tenue à jour.
Conseil d'expert : Crée un modèle de fiche de traitement incluant tous les champs obligatoires. Cela garantira l'homogénéité de la documentation et facilitera les mises à jour.
Etape 3 : Mise à jour régulière
Le registre est un document vivant qui doit refléter la réalité des traitements effectués. Toute modification (nouveau traitement, changement de finalité, nouveau sous-traitant, nouvelle catégorie de données) doit être reportée dans le registre.
Une procédure de mise à jour doit être définie et communiquée à l'ensemble des collaborateurs concernés. Une revue périodique (au moins annuelle) permet de s'assurer que le registre reste à jour.
Etape 4 : Intégrer le registre du sous-traitant
Si l'organisation agit en tant que sous-traitant pour le compte d'autres responsables de traitement, elle doit tenir un registre spécifique des catégories de traitements effectuées pour leur compte. Ce registre sera alors un complément au registre principal.
Que doit contenir un registre de traitement RGPD ?
- Les finalités du traitement : Le registre doit préciser les finalités de chaque traitement, c'est-à-dire les objectifs poursuivis. Ces finalités doivent être déterminées, explicites et légitimes. Cela peut être par exemple la gestion de la paie, la prospection commerciale, le suivi des commandes ou la gestion des réclamations.
- Les catégories de données : Le registre doit lister les catégories de données personnelles traitées comme les données d'identification (nom, prénom, adresse), les données de contact (téléphone, email), les données financières (RIB, numéro de carte), les données professionnelles (fonction, employeur), etc.
- Les catégories de personnes concernées : Il convient d'identifier les catégories de personnes dont les données sont traitées : clients, prospects, salariés, candidats, fournisseurs, visiteurs du site web, etc. Cette information permet de définir les droits applicables à chaque catégorie.
- Les destinataires des données : Le registre doit mentionner les destinataires ou catégories de destinataires auxquels les données sont communiquées : services internes, prestataires, partenaires commerciaux, autorités publiques. Les sous-traitants doivent être identifiés nommément.
- Les durées de conservation : Pour chaque traitement, la durée de conservation des données doit être indiquée. Cette durée doit être justifiée par les finalités du traitement ou par des obligations légales. À l'expiration de ce délai, les données doivent être supprimées ou anonymisées.
- Les mesures de sécurité : Le registre doit décrire les mesures techniques et organisationnelles mises en place pour garantir la sécurité des données telles que le chiffrement, le contrôle d'accès, les sauvegardes, la sensibilisation du personnel et les procédures en cas de violation.
- Les transferts hors UE : Si des données sont transférées vers des pays situés en dehors de l'Union européenne, le registre doit mentionner les pays concernés et les garanties encadrant ces transferts : clauses contractuelles types, décision d'adéquation, règles d'entreprise contraignantes.
Conseils pratiques pour tenir un registre RGPD
- Utiliser le modèle de la CNIL : La CNIL propose un modèle de registre qui peut servir de base à la documentation des traitements. Ce modèle, disponible gratuitement sur le site de la CNIL, couvre l'ensemble des informations exigées par le RGPD et facilite la mise en conformité.
- Impliquer le DPO : Si l'organisation dispose d'un Délégué à la Protection des Données (DPO), celui-ci doit être étroitement associé à la tenue du registre. Il peut mener l'inventaire des traitements, valider les fiches et vérifier la cohérence de l'ensemble du registre. En l'absence d’un DPO, un référent RGPD doit être désigné pour assurer la coordination de la mise en conformité et la tenue du registre.
- Réviser le registre annuellement : Une revue annuelle du registre permet de s'assurer que celui-ci reste à jour et qu'il reflète fidèlement les traitements effectués. Cette revue est l'occasion de vérifier la pertinence des durées de conservation, l'actualité des mesures de sécurité et la conformité des sous-traitants.
Conseil d'expert : Planifie une revue annuelle du registre, idéalement à date fixe. Implique les responsables de chaque traitement pour garantir l'exactitude des informations.
Points clés à retenir
Le registre de traitement est un outil indispensable pour piloter la conformité RGPD d’une organisation. Il permet d'avoir une vision globale des données personnelles traitées et de démontrer le respect de la réglementation.
Sa constitution nécessite un travail d'inventaire et de documentation rigoureux, mais elle apporte une valeur ajoutée réelle en termes de sécurité juridique et de maîtrise des risques. Une mise à jour régulière et une revue périodique sont des éléments essentiels pour maintenir une bonne conformité.q
