Registre des traitements
Définition
Le registre des activités de traitement est un document prévu par l'article 30 du RGPD qui recense les traitements de données personnelles d'un organisme et décrit, pour chacun, sa finalité, les données concernées, les destinataires, la durée de conservation et les mesures de sécurité.
Le registre est la base de la conformité au RGPD. Il permet de savoir quelles données personnelles l'organisme utilise, pourquoi, et comment elles sont protégées. Il peut être demandé par la CNIL lors d'un contrôle.
Qui doit le tenir
Le règlement prévoit une exemption pour les organismes de moins de 250 personnes, mais elle ne joue pas lorsque les traitements ne sont pas occasionnels, qu'ils présentent un risque pour les personnes ou qu'ils portent sur des données sensibles. La gestion des clients, des fournisseurs ou de la paie n'étant pas occasionnelle, la plupart des organismes sont concernés en pratique.
Le contenu d'une fiche
- La finalité : par exemple suivre les commandes et la facturation.
- Les catégories de personnes et de données concernées.
- Les destinataires, y compris les sous-traitants.
- Les durées de conservation.
- Les mesures de sécurité.
- Les éventuels transferts hors de l'Union européenne.
Comment le construire
- Lister les activités qui utilisent des données personnelles : clients, prospects, salariés, candidats, site internet.
- Rédiger une fiche par activité.
- Vérifier les contrats des sous-traitants.
- Mettre le registre à jour à chaque nouvel outil.
La CNIL propose un modèle de registre pour démarrer. Guide détaillé : le registre des traitements pas à pas.