Registre des activités de traitement (art. 30 RGPD) : qui doit le tenir et que doit-il contenir En vigueur

Faits essentiels

Fondement et objet

Le registre est prévu par l'article 30 du RGPD. Document de recensement et d'analyse, il doit refléter la réalité des traitements de données personnelles et permet d'identifier :

• les parties prenantes (représentant, sous-traitants, responsables conjoints, etc.) ;
• les catégories de données traitées ;
• à quoi servent ces données, qui y accède et à qui elles sont communiquées ;
• combien de temps elles sont conservées ;
• comment elles sont sécurisées.

Qui est concerné ?

L'obligation de tenir un registre concerne tous les organismes, publics comme privés et quelle que soit leur taille, dès lors qu'ils traitent des données personnelles.

Dérogation pour les organismes de moins de 250 salariés

Les entreprises de moins de 250 salariés bénéficient d'une dérogation, mais elles doivent inscrire au registre :

• les traitements non occasionnels (gestion de la paie, gestion des clients/prospects et des fournisseurs, etc.) ;
• les traitements susceptibles de comporter un risque pour les droits et libertés des personnes (géolocalisation, vidéosurveillance, etc.) ;
• les traitements portant sur des données sensibles (données de santé, infractions, etc.).

En pratique, la CNIL indique que cette dérogation est limitée à des cas très particuliers de traitements mis en œuvre de manière occasionnelle et non routinière, et recommande, en cas de doute, d'intégrer le traitement au registre.

Contenu du registre du responsable de traitement

Le registre comporte le nom et les coordonnées de l'organisme, le cas échéant de son représentant et de son délégué à la protection des données. Pour chaque activité de traitement, la fiche doit comporter au moins :

1. le cas échéant, le nom et les coordonnées du responsable conjoint ;
2. les finalités du traitement ;
3. les catégories de personnes concernées (client, prospect, employé, etc.) ;
4. les catégories de données personnelles ;
5. les catégories de destinataires, y compris les sous-traitants ;
6. les transferts vers un pays tiers ou une organisation internationale et, dans certains cas particuliers, les garanties prévues ;
7. les délais prévus pour l'effacement des différentes catégories de données (durée de conservation) ou, à défaut, les critères permettant de la déterminer ;
8. dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.

Contenu du registre du sous-traitant

Les organismes qui traitent des données pour le compte d'un autre organisme doivent tenir un registre de leurs activités de sous-traitance. Pour chaque catégorie d'activité effectuée pour le compte de clients, il contient au minimum :

1. le nom et les coordonnées de chaque client responsable de traitement et, le cas échéant, de son représentant ;
2. le nom et les coordonnées des sous-traitants ultérieurs auxquels le sous-traitant fait lui-même appel ;
3. les catégories de traitements effectués pour le compte de chaque client ;
4. les transferts de données vers un pays tiers ou une organisation internationale ;
5. dans la mesure du possible, une description générale des mesures de sécurité.

> Un organisme agissant à la fois comme responsable de traitement et comme sous-traitant doit clairement distinguer les deux catégories d'activités. La CNIL recommande de tenir deux registres.

Forme, mise à jour et communication

• Forme : le RGPD impose uniquement une forme écrite. Le format est libre, papier ou électronique. La CNIL propose un modèle de registre simplifié au format ODS.
• Tenue : le registre est tenu par le responsable de traitement ou le sous-traitant eux-mêmes. Une personne peut en être spécifiquement chargée ; lorsqu'un DPO a été désigné, il peut en être chargé.
• Mise à jour : toute modification des conditions de mise en œuvre d'un traitement inscrit (nouvelle donnée collectée, allongement de la durée de conservation, nouveau destinataire, etc.) doit être portée au registre.
• Communication : le registre doit pouvoir être communiqué à la CNIL lorsqu'elle le demande. Les organismes du secteur public sont tenus de le communiquer à toute personne qui en fait la demande (document administratif), après occultation des informations couvertes par des secrets protégés, notamment la sécurité des systèmes d'information. Les organismes privés non chargés d'une mission de service public n'y sont pas tenus.

Sources

• EUR-Lex – Règlement (UE) 2016/679 (RGPD), article 30 « Registre des activités de traitement »: https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679 A
• CNIL – RGPD, chapitre IV « Responsable du traitement et sous-traitant » (art. 30): https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article30 B
• CNIL – Le registre des activités de traitement: https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement B
• CNIL – Modèle de registre simplifié (ODS): https://www.cnil.fr/sites/default/files/atoms/files/registre-traitement-simplifie.ods B
• CNIL – Guide du sous-traitant (PDF): https://www.cnil.fr/sites/cnil/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf B