Qu'est-ce que le registre des traitements ?
Le registre recense vos activités de traitement, pas vos systèmes ni vos champs de données. Une activité de traitement, c'est ce que vous faites avec des données personnelles pour une finalité, comme la paie ou l'envoi d'une newsletter. La plupart des organismes en comptent entre 15 et 60. Le registre est tenu par écrit, y compris sous forme électronique, et mis à la disposition de l'autorité de contrôle (la CNIL en France) sur demande (article 30, paragraphes 3 et 4).
Les organismes de moins de 250 salariés ne sont dispensés que pour les traitements occasionnels, peu susceptibles de présenter un risque pour les personnes et ne portant ni sur des catégories particulières (article 9) ni sur des données relatives aux infractions (article 10). La paie, la gestion des clients et les dossiers du personnel ne sont pas occasionnels : en pratique, presque tout employeur tient un registre pour ces traitements.
Ce que le responsable de traitement doit consigner
| Article 30, par. 1 | Colonne du registre | Exemple |
|---|---|---|
| a) | Nom et coordonnées du responsable de traitement, du responsable conjoint éventuel, du représentant et du délégué à la protection des données (DPO) | Une seule fois, en tête du registre |
| b) | Finalités du traitement | Verser les salaires et respecter les obligations fiscales |
| c) | Catégories de personnes concernées et de données personnelles | Salariés ; identité, coordonnées bancaires, salaire, numéro fiscal |
| d) | Catégories de destinataires, y compris dans des pays tiers | Prestataire de paie, administration fiscale, caisse de retraite |
| e) | Transferts vers des pays tiers et garantie utilisée | Aucun, ou : États-Unis, décision d'adéquation |
| f) | Délais d'effacement, si possible | Durée imposée par la loi fiscale, puis suppression |
| g) | Description générale des mesures de sécurité (article 32) | Accès réservé aux RH, double authentification, stockage chiffré |
Non exigées par l'article 30 mais utiles en colonnes : la base légale (article 6), le service responsable, la source des données, la nécessité d'une AIPD et la date de la dernière revue. Vous avez de toute façon besoin de la base légale pour votre politique de confidentialité, et le modèle de la CNIL l'inclut.
Le registre du sous-traitant
Si vous traitez des données personnelles pour le compte de clients, par exemple comme éditeur SaaS, prestataire de paie ou prestataire informatique, l'article 30, paragraphe 2 demande un registre distinct et plus court :
- le nom et les coordonnées de chaque responsable de traitement (client) pour lequel vous agissez, ainsi que de votre représentant et de votre DPO ;
- les catégories de traitements effectués pour le compte de chaque responsable ;
- les transferts vers des pays tiers et la garantie utilisée ;
- une description générale de vos mesures de sécurité.
Beaucoup d'organismes sont les deux : responsable de traitement pour leur personnel et leurs clients, sous-traitant pour les données que leurs clients placent dans leur service. Tenez les deux registres, bien séparés.
Exemple : une entreprise de 40 salariés
Un éditeur de logiciels de 40 salariés, responsable de traitement. Trois de ses activités de traitement :
| Activité | Finalité et base légale | Personnes et données | Destinataires et transferts | Conservation | Mesures de sécurité |
|---|---|---|---|---|---|
| Paie et gestion du personnel | Salaires, impôts et cotisations ; contrat et obligation légale (art. 6, par. 1, b) et c)) | Salariés ; identité, coordonnées, RIB, salaire, numéro fiscal, jours d'absence | Prestataire de paie (sous-traitant), administration fiscale, caisse de retraite ; aucun transfert | Durée imposée par le droit fiscal et social | Accès réservé aux RH, double authentification, stockage chiffré |
| Support client | Répondre aux demandes des clients ; contrat (art. 6, par. 1, b)) | Contacts des clients ; nom, e-mail, contenu du ticket | Prestataire de helpdesk (sous-traitant), hébergé dans l'UE ; aucun transfert | 2 ans après la clôture du ticket | Accès par rôle, journalisation |
| Newsletter | Actualités produit ; consentement (art. 6, par. 1, a)) | Abonnés ; e-mail, nom, date d'inscription | Plateforme d'envoi (sous-traitant) ; États-Unis, décision d'adéquation | Jusqu'à la désinscription ; preuve du consentement 3 ans | Double opt-in, accès réservé au marketing |
Modèle gratuit (CSV)
Deux fichiers CSV qui s'ouvrent dans Excel, LibreOffice et Google Sheets : l'un pour votre registre de responsable de traitement, avec les trois lignes d'exemple, l'autre pour votre registre de sous-traitant. Indiquez les coordonnées du responsable et du DPO en tête du document que vous transmettez.
Erreurs fréquentes
- Une ligne par système (« CRM », « SharePoint ») au lieu d'une par finalité, si bien que finalités et bases légales restent floues.
- Une conservation « aussi longtemps que nécessaire » au lieu d'une durée ou de la règle qui la fixe.
- Des destinataires sans les sous-traitants : cloud, messagerie, paie.
- Des transferts vers des prestataires hors UE sans garantie : décision d'adéquation, clauses contractuelles types ou règles d'entreprise contraignantes.
- Un registre fait une fois en 2018 et jamais revu depuis.
Tenir le registre dans Dazr
- Un registre, deux rôles : chaque activité de traitement consigne le rôle (responsable ou sous-traitant), les finalités, la base légale, les personnes concernées, les catégories de données, les destinataires, les transferts avec leur garantie, la conservation, les mesures de sécurité et la source.
- Saisi une fois : les coordonnées du responsable, du représentant et du DPO sont saisies une fois et reprises dans chaque export.
- Relié au reste : les activités sont reliées aux fournisseurs et aux AIPD, et les risques des AIPD au registre des risques.
- Export : le registre en PDF pour l'autorité de contrôle ou l'auditeur, en Excel ou CSV pour travailler ; chaque modification figure dans le journal d'activité.
- Offre : le registre des traitements et les AIPD font partie de Pro, 99 € par mois, avec 14 jours d'essai gratuit. Free comprend le registre des violations de données avec le délai de 72 heures.
Dazr vous aide à garder le registre complet et à jour ; il ne choisit pas votre base légale et ne constitue pas un conseil juridique.
Source : règlement (UE) 2016/679 (RGPD), article 30, et la prise de position du groupe de travail « Article 29 » sur l'article 30, paragraphe 5, du 19 avril 2018. Dernière vérification : 7 novembre 2026.
Questions fréquentes
Les petites entreprises doivent-elles tenir un registre ?
En général, oui. L'exemption pour moins de 250 salariés ne couvre pas les traitements réguliers, à risque ou portant sur des catégories particulières, et la paie et la gestion des clients sont réguliers. L'UE a proposé de modifier ce seuil ; vérifiez qu'une modification est en vigueur avant de vous y fier.
Existe-t-il un modèle officiel ?
Non. L'article 30 fixe le contenu, pas la forme. La CNIL propose son propre modèle ; un tableur ou un registre dans un outil convient dès lors que toutes les mentions obligatoires y figurent.
Faut-il publier le registre ?
Non. C'est un document interne que vous présentez à l'autorité de contrôle sur demande. Ce que vous dites aux personnes figure dans votre politique de confidentialité.
À quelle fréquence le mettre à jour ?
À chaque fois qu'un traitement commence, change ou prend fin, et au moins une fois par an lors d'une revue complète. Notez la date de la dernière revue pour chaque activité.