Modèle de registre des activités de traitement RGPD pour TPE

La CNIL demande systématiquement à consulter le registre des activités de traitement lors de chaque contrôle. C’est souvent le premier document exigé - avant même les politiques de confidentialité ou les contrats de sous-traitance. Une entreprise sans registre ou avec un registre incomplet s’expose à une mise en demeure immédiate.

Pourquoi tenir un registre des activités de traitement ?

Le registre des traitements n'est pas qu'un document administratif obligatoire : c'est un véritable tableau de bord stratégique qui vous permet de piloter vos activités de traitement de données personnelles, d'identifier les risques, de prioriser vos actions, et de prouver votre conformité (principe d'accountability). Le registre remplace les anciennes déclarations à la CNIL (supprimées depuis mai 2018). Mais attention : le changement est plus profond qu’un simple changement de formulaire. Premièrement, il vous oblige à recenser tous vos traitements de données personnelles. Deuxièmement, il démontre votre conformité auprès de la CNIL. Troisièmement, il sert de base à vos analyses d’impact.

Obligation légale et champ d’application

L’article 30 du RGPD impose à tout responsable de traitement de tenir « un registre des activités de traitement effectuées sous sa responsabilité ». L’article 30(4) est explicite : le registre doit être mis à la disposition de l’autorité de contrôle sur demande. Le registre est obligatoire pour toute organisation traitant des données personnelles de façon régulière, quelle que soit sa taille (l’exemption Art. 30(5) est si restrictive qu’elle ne s’applique presque jamais en pratique). En pratique, toute PME qui traite des données clients, salariés ou prospects de façon régulière est concernée.

Qui doit tenir le registre ?

Le responsable de traitement : tient un registre listant tous les traitements effectués pour ses finalités.
Le sous-traitant : tient un registre distinct, centré sur les traitements réalisés pour le compte de chaque responsable de traitement.

Si vous êtes sous-traitant (prestataire qui traite des données pour le compte d'un client), l’article 30(2) vous impose également un registre - mais avec une structure différente. Chacun doit tenir son propre registre !

Contenu obligatoire du registre (article 30)

L’article 30(1) liste 7 catégories d’informations obligatoires pour le registre du responsable de traitement. La structure minimale comprend : nom du traitement, finalité, base légale, catégories de personnes concernées, catégories de données, catégories de destinataires, transferts hors UE et garanties, durées de conservation, mesures de sécurité.

Lire aussi: Freelance Informatique : Contrat

La distinction entre responsable de traitement et sous-traitant est essentielle car le contenu du registre diffère selon ces deux statuts. Pour les sous-traitants, les mentions se concentrent sur les traitements effectués pour le compte des responsables, incluant le nom du responsable, les catégories de traitements, les transferts et les mesures de sécurité.

Rubriques pratiques à remplir pour chaque traitement

Donnez un nom court, explicite et stable dans le temps : « Gestion des candidatures », « Newsletter marketing », « Paie et gestion RH », « Vidéosurveillance des locaux ».
Décrivez l'objectif poursuivi par le traitement.
Base légale : consentement, exécution d’un contrat, obligation légale, protection d’intérêts vitaux, mission d’intérêt public, intérêt légitime.
Qui est visé par ce traitement ? Clients, prospects, salariés, candidats, fournisseurs, visiteurs, enfants mineurs, etc.
Séparez clairement les données ordinaires des données sensibles (santé, origine, opinions, biométrie).
Qui reçoit ou accède aux données ? Indiquez les sous-traitants et vérifiez qu’un contrat de sous-traitance (DPA) est en place.
Durée de conservation : indiquez une durée précise et justifiée - « durée légale » n’est pas une durée.
Mesures de sécurité : décrivez synthétiquement 2-3 mesures clés (chiffrement, pseudonymisation, contrôle d’accès, sauvegardes, politiques de mot de passe, formation des équipes).
Indiquez si une AIPD est requise et référencez la fiche AIPD correspondante le cas échéant.

Erreurs fréquentes à éviter

Un registre qui liste des outils et non des traitements : « Salesforce », « HubSpot », « Slack » ne sont pas des traitements. Derrière un outil, il peut y avoir plusieurs traitements distincts.
Les bases légales au hasard : ne mettez pas « consentement » pour tout. Par exemple, la gestion de la paie repose sur une obligation légale, l’exécution d’un contrat sur l’art. 6(1)(b).
Les durées de conservation inexistantes ou vagues : notez des durées précises et leur justification.
Les sous-traitants oubliés : la plupart des PME utilisent 20 à 50 outils SaaS ; vérifiez la présence d’un DPA signé avec chacun.
Le registre créé une fois, jamais mis à jour : un registre daté de 2018 ou 2021 est une preuve d’absence de processus de gouvernance.
Confondre responsable de traitement et sous-traitant.

Mise en œuvre pratique : méthode étape par étape

Constituer un registre RGPD est une opération qui doit s’opérer en phases coordonnées.

Étape 1 - Cartographie des données (2-4 semaines pour une PME) : Interviewez chaque responsable de service : quelles données collectez-vous ? Dans quel outil ? Pour quel objectif ?
Étape 2 - Remplissage du registre : Créez une fiche par traitement identifié.
Étape 3 - Qualification des bases légales : Pour chaque traitement, vérifiez que la base légale est correctement identifiée et documentée.
Étape 4 - Audit des sous-traitants : Pour chaque outil SaaS ou prestataire, vérifiez la présence d’un DPA. Demandez les DPA manquants.
Étape 5 - Identification des AIPD requises : Pour chaque traitement de votre registre, évaluez si une AIPD est requise et créez un lien entre la fiche registre et la fiche AIPD correspondante.

Organisez la mission : désignez un pilote, identifiez un référent par service, organisez une réunion de lancement. Le registre doit être tenu par les responsables eux-mêmes ou par une personne chargée de sa tenue (DPO, juriste, RSSI).

Format et outils recommandés

Un registre Excel est parfaitement valide sur le plan juridique. Ce qui compte, c’est l’exhaustivité, l’exactitude et la mise à jour régulière - pas le format. Un fichier Excel ne permet cependant pas de suivre les mises à jour, de générer des rapports d’audit ou de gérer efficacement les sous-traitants à grande échelle. À partir d’une certaine volumétrie (50+ traitements, plusieurs sites), un logiciel RGPD dédié facilite considérablement la maintenance et les processus de mise à jour. Utiliser un logiciel de gestion du registre n’est évidemment pas obligatoire, mais cela accélère considérablement l’élaboration du registre.

Organisation interne et gouvernance

La mise à jour du registre n’est pas un projet annuel - c’est un processus continu. Désignez clairement qui, dans chaque service, est responsable de signaler les nouveaux traitements. Sans processus d’escalade, les traitements oubliés s’accumulent. Si vous avez désigné un DPO, c’est lui qui supervise la tenue du registre. Il est recommandé que le registre soit validé par le dirigeant ou le DPO, et que les mises à jour majeures fassent l’objet d’une traçabilité (version, date, auteur).

Mises à jour et bonnes pratiques opérationnelles

Le registre doit être mis à jour à chaque modification significative : nouveau traitement, changement de sous-traitant, modification des finalités ou des durées de conservation.
Enrichissez le registre avec des informations complémentaires pour en faire un outil de pilotage (liens vers DPA, AIPD, politiques internes).
Instaurer une revue trimestrielle est un rythme pertinent pour capturer les évolutions.
Centraliser, protéger l’accès au registre et conserver l’historique des versions.

Exemples concrets et segmentation des traitements

Les activités de traitement sont très variées : marketing (newsletters, tracking, scoring), ventes et relation client (CRM, facturation, SAV), ressources humaines (recrutement, paie, gestion du personnel), administration (comptabilité, contrats), sécurité (vidéosurveillance, logs), IT (comptes utilisateurs, sauvegardes). Typiquement une entreprise de 200 salariés peut engendrer une quarantaine de traitements si ceux-ci sont bien rédigés.

Activité	Finalité	Personnes concernées	Durée	Mesure clé
Paie salariés	Gestion RH	Salariés	5 ans	Encryption, accès limité
Newsletter marketing	Communication commerciale	Prospects, clients	3 ans après dernier contact	Double opt-in, droit d'opposition
Gestion clients (CRM)	Relation client	Clients, prospects	5 ans	Contrôle d'accès, sauvegardes

Sanctions et risques de non-conformité

L’absence du registre constitue un manquement à l’article 30 du RGPD, passible d’une amende pouvant atteindre 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial. La CNIL n’attend pas un document parfait - elle attend un document vivant. Enrichir et tenir le registre à jour réduit notablement le risque de sanction et facilite la réponse aux contrôles.

FAQ synthétique pour les TPE

Dois-je tenir un registre si je suis une TPE ? Oui, dans la très grande majorité des cas. Même les TPE qui gèrent des clients ou des salariés sont concernées.
Faut-il envoyer le registre à la CNIL ? Non, vous n’avez pas à l’envoyer spontanément. Mais il doit être mis à disposition sur demande.
Quel format choisir ? Excel est valide ; un logiciel RGPD devient pertinent au-delà d’une vingtaine de traitements.
Combien de traitements faut-il déclarer ? Cela dépend de la taille et des activités : une PME de 200 salariés compte généralement entre 30 et 50 traitements.

Ressources et outils pratiques

La CNIL a publié des modèles et un mode d'emploi sur le registre des activités de traitement. Téléchargez un exemple complet de registre des activités de traitement RGPD prérempli (modèle Excel et Word) pour l’adapter à votre activité en 30 minutes. Utiliser un modèle CNIL ou un modèle professionnel accélère le démarrage et évite les oublis.

Utilité stratégique au-delà de l’obligation

Au-delà de la réponse à l’obligation prévue par l’article 30 du RGPD, le registre est un outil de pilotage et de démonstration de votre conformité. Sa création et sa mise à jour sont l’occasion d’identifier et de hiérarchiser les risques au regard du RGPD, d’optimiser la collecte et la conservation des données, et d’améliorer la sécurité organisationnelle et technique.

Pour aller plus loin ou obtenir un audit personnalisé, contactez un avocat en conformité RGPD ou un DPO externe.

balises: