Lorsqu’un dirigeant de PME ou d’ETI s’interroge sur l’état de sa conformité au Règlement général sur la protection des données, il pense spontanément aux cookies de son site internet, aux mentions d’information de ses formulaires, ou encore à la sécurité de son système informatique.
Toutefois, le registre des activités de traitement joue un rôle primordial.
Le registre est le document fondateur de la démarche de conformité, celui à partir duquel toute la construction juridique se déploie.
Le registre des activités de traitement se définit comme le document de recensement par lequel une organisation fait l’inventaire de l’ensemble des traitements qu’elle met en œuvre.
On désigne par traitement toute opération portant sur des données personnelles, qu’il s’agisse de leur collecte, de leur conservation, de leur consultation, de leur modification ou de leur suppression.
Le registre constitue ainsi la cartographie de la vie des données au sein de l’entreprise.
La problématique que cet article entend traiter est la suivante :
Le registre n’est-il qu’une formalité administrative, une contrainte bureaucratique ? Ou constitue-t-il l’instrument central sans lequel aucune conformité n’est démontrable ?
Une obligation légale autonome posée par l’article 30 du RGPD
Le Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) consacre le registre dans son article 30.
Ce texte impose la tenue d’un registre à deux acteurs distincts :
- le responsable de traitement, c’est-à-dire l’entité qui détermine les finalités et les moyens du traitement ;
- le sous-traitant, c’est-à-dire l’entité qui traite des données pour le compte du responsable de traitement.
Cette distinction est fondamentale et souvent ignorée. Une PME prestataire de services, tel qu’un éditeur de logiciel, est à la fois responsable de traitement pour ses propres données (ses salariés, ses prospects) et sous-traitant pour les données de ses clients. Elle doit alors tenir deux registres distincts.
Le registre n’est pas une recommandation de bonne pratique laissée à l’appréciation de l’entreprise. Il s’agit d’une obligation légale autonome, dont l’inexécution constitue, en elle-même et indépendamment de tout autre manquement, une infraction au Règlement.
Autrement dit : l’absence de registre est sanctionnable même si aucune donnée n’a été perdue, détournée ou mal utilisée. Le manquement est purement formel et néanmoins répréhensible.
La fausse exemption des moins de 250 salariés : un piège pour les dirigeants de PME
De nombreux dirigeants de PME ont entendu dire que le registre ne concernait que les grandes entreprises. Cette croyance repose sur une lecture incomplète de l’article 30.
L’article 30, prévoit en effet une dérogation : les obligations de tenue du registre « ne s’appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés ».
Si la lecture s’arrêtait là, la quasi-totalité des PME françaises seraient dispensées. Mais le même paragraphe énonce immédiatement trois exceptions qui vident la dérogation de presque toute sa substance. L’obligation demeure dès lors que :
- Le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées ;
- Le traitement n’est pas occasionnel ;
- Le traitement porte sur des catégories particulières de données (données dites sensibles, telles que les données de santé, les opinions politiques, l’origine ethnique) ou sur des données relatives à des condamnations pénales.
Ces trois conditions sont alternatives et non cumulatives : il suffit qu’une seule soit remplie pour que l’obligation soit maintenue.
En pratique, la réalité d’une PME est la suivante :
- Elle gère la paie de ses salariés : ce traitement est récurrent, donc non occasionnel.
- Elle conserve des fichiers clients et prospects : traitement également non occasionnel.
- Elle détient des données de santé dès lors qu’elle gère des arrêts maladie ou des cotisations de prévoyance.
En conclusion : aucune entreprise ayant des salariés et des clients ne peut sérieusement se prévaloir de la dérogation de l’article 30. Le Comité européen de la protection des données (CEPD) a confirmé cette lecture restrictive dès 2019, en rappelant que la dérogation ne dispense que des traitements à la fois occasionnels, non risqués et ne portant pas sur des données sensibles.
La dérogation des 250 salariés est donc un faux ami : elle existe en théorie mais ne trouve quasiment jamais à s’appliquer en pratique.
Cet article pourrait aussi vous intéresser : Data Act : un nouveau cadre pour la gestion des données en Europe
Le contenu obligatoire du registre
L’article 30 ne se contente pas d’imposer l’existence d’un registre ; il en détaille le contenu obligatoire. Le registre du responsable de traitement doit ainsi mentionner, pour chaque traitement :
- le nom et les coordonnées du responsable de traitement et, le cas échéant, du délégué à la protection des données (DPO) ;
- les finalités du traitement, c’est-à-dire l’objectif poursuivi (gérer la paie, prospecter, assurer la livraison) ;
- les catégories de personnes concernées et les catégories de données traitées ;
- les catégories de destinataires auxquels les données sont communiquées ;
- les éventuels transferts de données vers un pays tiers à l’Union européenne ;
- les délais de conservation prévus pour chaque catégorie de données ;
- une description générale des mesures de sécurité techniques et organisationnelles.
La réalisation d’un registre de traitement n’est pas un simple inventaire, c’est un document qui oblige l’entreprise à instruire elle-même sa propre conformité.
A titre d’exemple, les durées de conservation nécessitent que l’entreprise justifie, traitement par traitement, pourquoi elle conserve les données selon la durée choisie.
De plus, Un registre inexact, sur-déclaratif ou déconnecté des pratiques réelles peut se retourner contre l’entreprise en cas de contrôle
Le registre comme instrument de preuve du principe de responsabilité
Au-delà de son contenu, le registre tire sa véritable importance de son articulation avec le principe d’accountability, une obligation de rendre compte Ce principe impose au responsable de traitement d’être en mesure de démontrer sa conformité. Il opère un renversement de la charge de la preuve : ce n’est pas à la CNIL d’établir le manquement, c’est à l’entreprise d’établir sa conformité.
Le registre est précisément l’instrument de cette démonstration.
Lors d’un contrôle, l’article 30, prévoit expressément que le registre est mis à la disposition de l’autorité de contrôle « sur demande ». Dans la pratique des contrôles de la CNIL, le registre est l’un des tout premiers documents réclamés, qu’il s’agisse d’un contrôle sur place, sur pièces ou en ligne.
Il convient toutefois de nuancer la portée probatoire du registre :
- Un registre à jour, complet et sincère constitue la première preuve tangible d’une démarche de conformité structurée et crédibilise immédiatement l’entreprise face au contrôleur.
- À l’inverse, un registre absent, obsolète ou rempli de manière purement formelle peut se retourner contre l’organisme. Il révèle souvent l’absence de cartographie réelle des traitements et fragilise la démonstration de conformité. Pour une autorité de contrôle, ce type de registre peut constituer un signal d’alerte et justifier des vérifications plus approfondies.
Le registre n’a donc de valeur probatoire que s’il reflète une réalité opérationnelle. Un registre rédigé une fois puis jamais mis à jour ne protège pas l’entreprise : il témoigne contre elle.
Cet article pourrait aussi vous intéresser : Accord de protection des données (DPA) : le contrat RGPD indispensable
Le registre comme socle opérationnel de tous les autres processus de conformité
Le registre constitue votre boussole de mise en conformité. C’est un repère sur lequel s’appuyer dans le cadre de la mise en conformité de votre entreprise.
Le registre indique quelles données sont utilisées, pour quelles finalités, dans quels outils, par quels services, avec quels prestataires, pendant combien de temps et avec quelles mesures de sécurité.
Le registre est aussi un outil, utile pour plusieurs sujets :
- Lorsqu’un client ou un salarié demande l’accès ou la suppression de ses données
- En cas d’incident de sécurité, il aide à identifier rapidement les données et les personnes concernées
- Repérer les traitements les plus sensibles, qui peuvent nécessiter une analyse d’impact
- Vérifier que les prestataires manipulant des données personnelles sont bien encadrés par un contrat conforme.
Le registre fonctionne ainsi comme une fondation. On ne construit pas la conformité à côté du registre : on la construit à partir de lui. C’est un outil de pilotage, de maîtrise des risques et de preuve. Sans lui, l’entreprise avance à l’aveugle sur ses données personnelles.
Conclusion
Le registre RGPD n’est pas une formalité administrative. C’est la carte des données personnelles de l’entreprise.
Pour une PME ou une ETI, il est très rare de pouvoir s’en passer : les traitements liés aux salariés, aux clients, aux prospects, aux fournisseurs ou aux outils numériques sont généralement réguliers et doivent donc être documentés.
Un registre à jour permet de savoir quelles données sont traitées, pourquoi, par qui, pendant combien de temps, avec quels prestataires et avec quelles mesures de sécurité. Il aide aussi à répondre aux demandes des personnes, à réagir en cas d’incident et à démontrer la conformité en cas de contrôle.
Tenir son registre, ce n’est donc pas seulement respecter le RGPD. C’est savoir ce que l’on fait des données personnelles dans l’entreprise, et pouvoir le prouver.
Pour un dirigeant de PME ou d’ETI, la question n’est donc pas de savoir s’il faut tenir un registre, mais de comprendre que le registre est le premier acte de pilotage de la donnée dans son entreprise. Tenir son registre, c’est savoir ce que l’on fait de ses données, et pouvoir le prouver.
à 
