{
    "slug": "registre-des-activites-de-traitement-rgpd",
    "titre": "Registre des activités de traitement (art. 30 RGPD) : qui doit le tenir et que doit-il contenir",
    "domaine": "protection-donnees",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Le registre des activités de traitement prévu par l\u0027article 30 du RGPD concerne tous les organismes, quelle que soit leur taille. Contenu obligatoire du registre du responsable de traitement et de celui du sous-traitant, dérogation limitée pour les moins de 250 salariés.",
    "resume_court": "Le registre des activités de traitement est prévu par l\u0027article 30 du RGPD. L\u0027obligation de le tenir concerne tous les organismes, publics comme privés, quelle que soit leur taille, dès lors qu\u0027ils traitent des données personnelles. Les entreprises de moins de 250 salariés bénéficient d\u0027une dérogation, mais celle-ci est très limitée : elles doivent inscrire au registre les traitements non occasionnels, ceux susceptibles de comporter un risque pour les droits et libertés, et ceux portant sur des données sensibles ou relatives aux condamnations et infractions. Le registre doit être écrit (papier ou électronique), tenu à jour et communiqué à la CNIL sur demande. Un organisme agissant à la fois comme responsable de traitement et comme sous-traitant doit distinguer clairement les deux catégories d\u0027activités.",
    "faits": [
        {
            "point": "Fondement juridique",
            "valeur": "Article 30 du RGPD (règlement (UE) 2016/679)",
            "autorite": "A",
            "source": "RGPD art. 30"
        },
        {
            "point": "Champ d\u0027application",
            "valeur": "tous les organismes, publics comme privés, quelle que soit leur taille",
            "autorite": "B",
            "source": "CNIL – Le registre des activités de traitement"
        },
        {
            "point": "Seuil de la dérogation",
            "valeur": "moins de 250 salariés",
            "autorite": "A",
            "source": "RGPD art. 30.5"
        },
        {
            "point": "Traitements à inscrire malgré la dérogation",
            "valeur": "traitements non occasionnels, traitements à risque pour les droits et libertés, traitements portant sur des données sensibles ou relatives aux condamnations et infractions",
            "autorite": "B",
            "source": "CNIL – Le registre des activités de traitement"
        },
        {
            "point": "Nombre minimal de mentions – registre du responsable de traitement",
            "valeur": "8 éléments par activité de traitement",
            "autorite": "B",
            "source": "CNIL – Le registre des activités de traitement"
        },
        {
            "point": "Nombre minimal de mentions – registre du sous-traitant",
            "valeur": "5 éléments par catégorie d\u0027activité",
            "autorite": "B",
            "source": "CNIL – Le registre des activités de traitement"
        },
        {
            "point": "Forme exigée",
            "valeur": "forme écrite (papier ou électronique), format libre",
            "autorite": "A",
            "source": "RGPD art. 30.3"
        },
        {
            "point": "Communication au public – secteur public",
            "valeur": "obligatoire sur demande (document administratif), après occultation des secrets protégés",
            "autorite": "B",
            "source": "CNIL – Le registre des activités de traitement"
        }
    ],
    "sources": [
        {
            "titre": "EUR-Lex – Règlement (UE) 2016/679 (RGPD), article 30 « Registre des activités de traitement »",
            "url": "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679",
            "autorite": "A"
        },
        {
            "titre": "CNIL – RGPD, chapitre IV « Responsable du traitement et sous-traitant » (art. 30)",
            "url": "https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article30",
            "autorite": "B"
        },
        {
            "titre": "CNIL – Le registre des activités de traitement",
            "url": "https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement",
            "autorite": "B"
        },
        {
            "titre": "CNIL – Modèle de registre simplifié (ODS)",
            "url": "https://www.cnil.fr/sites/default/files/atoms/files/registre-traitement-simplifie.ods",
            "autorite": "B"
        },
        {
            "titre": "CNIL – Guide du sous-traitant (PDF)",
            "url": "https://www.cnil.fr/sites/cnil/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf",
            "autorite": "B"
        }
    ],
    "faq": [
        {
            "question": "Une TPE de 5 salariés doit-elle tenir un registre ?",
            "reponse": "Oui en pratique. L\u0027obligation vise tous les organismes quelle que soit leur taille. La dérogation prévue pour les moins de 250 salariés ne dispense que des traitements occasionnels et non routiniers ne présentant aucun risque : la gestion de la paie, des clients, des prospects ou des fournisseurs doit être inscrite au registre."
        },
        {
            "question": "Faut-il un ou deux registres ?",
            "reponse": "Deux, si l\u0027organisme agit à la fois comme responsable de traitement et comme sous-traitant. Le registre doit alors clairement distinguer les deux catégories d\u0027activités ; la CNIL recommande de tenir deux registres séparés."
        },
        {
            "question": "Sous quelle forme le registre doit-il être tenu ?",
            "reponse": "Le RGPD impose seulement une forme écrite. Le format est libre : papier ou électronique. La CNIL met à disposition un modèle simplifié au format ODS."
        },
        {
            "question": "Le registre doit-il être rendu public ?",
            "reponse": "Il doit pouvoir être communiqué à la CNIL sur demande. Les organismes publics sont tenus de le communiquer à toute personne qui en fait la demande, après occultation des informations couvertes par des secrets protégés. Les organismes privés non chargés d\u0027une mission de service public ne sont pas tenus de le communiquer."
        },
        {
            "question": "Qui doit tenir le registre au sein de l\u0027organisme ?",
            "reponse": "Le responsable de traitement ou le sous-traitant eux-mêmes. Une personne peut en être spécifiquement chargée ; lorsqu\u0027un délégué à la protection des données (DPO) a été désigné, il peut être chargé de sa tenue."
        }
    ],
    "wikidata": [
        {
            "qid": "Q1172506",
            "label": "RGPD"
        }
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-08-15",
    "derniere_verification": "2026-08-15",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.fr/fait/registre-des-activites-de-traitement-rgpd"
}