Registre des traitements : la colonne vertébrale du RGPD

L'article 30 du RGPD impose à tout responsable de traitement et tout sous-traitant de tenir un registre des activités de traitement. Cette obligation s'applique aux organisations de plus de 250 salariés et, en pratique, à quasiment toutes les autres dès qu'elles traitent des données sensibles ou de manière non occasionnelle. Le registre est le document de référence demandé en premier lors d'un contrôle CNIL. Son absence ou son incomplétude est presque systématiquement sanctionnée.

Le registre doit contenir pour chaque traitement un ensemble d'informations précises. Voici les rubriques minimales imposées par l'article 30.

Nous menons des entretiens avec chaque service pour recenser les traitements réels, pas seulement les traitements théoriques. Nous structurons le registre dans un format pratique (tableur ou outil dédié) et nous le rendons immédiatement exploitable par vos équipes.

Un registre figé est un registre mort. Chaque nouveau projet, nouveau logiciel, nouveau prestataire doit donner lieu à une mise à jour. Nous vous formons à la tenue du registre et fournissons un kit de gouvernance interne (fiche de demande, comité trimestriel, indicateurs).

Si votre organisation agit aussi comme sous-traitante (prestation de services pour le compte de clients), vous devez tenir un second registre dit "sous-traitant", avec un contenu spécifique. Nous structurons les deux dans un format cohérent.