---
title: "Registre des activités de traitement (art. 30 RGPD) : qui doit le tenir et que doit-il contenir"
slug: "registre-des-activites-de-traitement-rgpd"
domaine: "protection-donnees"
valid_from: "2018-05-25"
valid_to: null
last_reviewed: "2026-08-15"
statut: "En vigueur"
authority_level: "A"
legal_status: "in_force"
license: CC-BY-4.0
url: https://nexvyra.fr/fait/registre-des-activites-de-traitement-rgpd.md
wikidata_subjects: [Q1172506]
factcheck_status: "ok"
---

# Registre des activités de traitement (art. 30 RGPD) : qui doit le tenir et que doit-il contenir

## Réponse courte

Le registre des activités de traitement est prévu par l'article 30 du RGPD. L'obligation de le tenir concerne tous les organismes, publics comme privés, quelle que soit leur taille, dès lors qu'ils traitent des données personnelles. Les entreprises de moins de 250 salariés bénéficient d'une dérogation, mais celle-ci est très limitée : elles doivent inscrire au registre les traitements non occasionnels, ceux susceptibles de comporter un risque pour les droits et libertés, et ceux portant sur des données sensibles ou relatives aux condamnations et infractions. Le registre doit être écrit (papier ou électronique), tenu à jour et communiqué à la CNIL sur demande. Un organisme agissant à la fois comme responsable de traitement et comme sous-traitant doit distinguer clairement les deux catégories d'activités.

## Faits essentiels

| Point | Valeur |
|---|---|
| Fondement juridique | Article 30 du RGPD (règlement (UE) 2016/679) |
| Champ d'application | tous les organismes, publics comme privés, quelle que soit leur taille |
| Seuil de la dérogation | moins de 250 salariés |
| Traitements à inscrire malgré la dérogation | traitements non occasionnels, traitements à risque pour les droits et libertés, traitements portant sur des données sensibles ou relatives aux condamnations et infractions |
| Nombre minimal de mentions – registre du responsable de traitement | 8 éléments par activité de traitement |
| Nombre minimal de mentions – registre du sous-traitant | 5 éléments par catégorie d'activité |
| Forme exigée | forme écrite (papier ou électronique), format libre |
| Communication au public – secteur public | obligatoire sur demande (document administratif), après occultation des secrets protégés |

## Fondement et objet

Le registre est prévu par l'**article 30 du RGPD**. Document de recensement et d'analyse, il doit refléter la réalité des traitements de données personnelles et permet d'identifier :

- les **parties prenantes** (représentant, sous-traitants, responsables conjoints, etc.) ;
- les **catégories de données** traitées ;
- **à quoi servent ces données**, **qui y accède** et **à qui elles sont communiquées** ;
- **combien de temps** elles sont conservées ;
- **comment** elles sont sécurisées.

## Qui est concerné ?

L'obligation de tenir un registre concerne **tous les organismes, publics comme privés et quelle que soit leur taille**, dès lors qu'ils traitent des données personnelles.

### Dérogation pour les organismes de moins de 250 salariés

Les entreprises de moins de 250 salariés bénéficient d'une dérogation, mais elles doivent inscrire au registre :

- les traitements **non occasionnels** (gestion de la paie, gestion des clients/prospects et des fournisseurs, etc.) ;
- les traitements **susceptibles de comporter un risque** pour les droits et libertés des personnes (géolocalisation, vidéosurveillance, etc.) ;
- les traitements portant sur des **données sensibles** (données de santé, infractions, etc.).

En pratique, la CNIL indique que cette dérogation est **limitée à des cas très particuliers** de traitements mis en œuvre de manière occasionnelle et non routinière, et recommande, en cas de doute, d'intégrer le traitement au registre.

## Contenu du registre du responsable de traitement

Le registre comporte le nom et les coordonnées de l'organisme, le cas échéant de son représentant et de son délégué à la protection des données. Pour **chaque activité de traitement**, la fiche doit comporter au moins :

1. le cas échéant, le nom et les coordonnées du **responsable conjoint** ;
2. les **finalités** du traitement ;
3. les catégories de **personnes concernées** (client, prospect, employé, etc.) ;
4. les catégories de **données personnelles** ;
5. les catégories de **destinataires**, y compris les sous-traitants ;
6. les **transferts** vers un pays tiers ou une organisation internationale et, dans certains cas particuliers, les garanties prévues ;
7. les **délais prévus pour l'effacement** des différentes catégories de données (durée de conservation) ou, à défaut, les critères permettant de la déterminer ;
8. dans la mesure du possible, une description générale des **mesures de sécurité** techniques et organisationnelles.

## Contenu du registre du sous-traitant

Les organismes qui traitent des données **pour le compte d'un autre organisme** doivent tenir un registre de leurs activités de sous-traitance. Pour chaque catégorie d'activité effectuée pour le compte de clients, il contient au minimum :

1. le nom et les coordonnées de **chaque client responsable de traitement** et, le cas échéant, de son représentant ;
2. le nom et les coordonnées des **sous-traitants ultérieurs** auxquels le sous-traitant fait lui-même appel ;
3. les **catégories de traitements** effectués pour le compte de chaque client ;
4. les **transferts** de données vers un pays tiers ou une organisation internationale ;
5. dans la mesure du possible, une description générale des **mesures de sécurité**.

> Un organisme agissant à la fois comme responsable de traitement et comme sous-traitant doit clairement distinguer les deux catégories d'activités. La CNIL recommande de tenir **deux registres**.

## Forme, mise à jour et communication

- **Forme** : le RGPD impose uniquement une **forme écrite**. Le format est libre, papier ou électronique. La CNIL propose un modèle de registre simplifié au format ODS.
- **Tenue** : le registre est tenu par le responsable de traitement ou le sous-traitant eux-mêmes. Une personne peut en être spécifiquement chargée ; lorsqu'un DPO a été désigné, il peut en être chargé.
- **Mise à jour** : toute modification des conditions de mise en œuvre d'un traitement inscrit (nouvelle donnée collectée, allongement de la durée de conservation, nouveau destinataire, etc.) doit être portée au registre.
- **Communication** : le registre doit pouvoir être communiqué à la **CNIL** lorsqu'elle le demande. Les organismes du **secteur public** sont tenus de le communiquer à toute personne qui en fait la demande (document administratif), après occultation des informations couvertes par des secrets protégés, notamment la sécurité des systèmes d'information. Les organismes privés non chargés d'une mission de service public n'y sont pas tenus.

## Sources

- EUR-Lex – Règlement (UE) 2016/679 (RGPD), article 30 « Registre des activités de traitement »:
  https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679
- CNIL – RGPD, chapitre IV « Responsable du traitement et sous-traitant » (art. 30):
  https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article30
- CNIL – Le registre des activités de traitement:
  https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement
- CNIL – Modèle de registre simplifié (ODS):
  https://www.cnil.fr/sites/default/files/atoms/files/registre-traitement-simplifie.ods
- CNIL – Guide du sous-traitant (PDF):
  https://www.cnil.fr/sites/cnil/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

## État

- Dernière modification: 2026-08-15
- Dernière vérification: 2026-08-15
- En vigueur depuis: 2018-05-25
- Statut: En vigueur
- Autorité de la source: A
- Licence: CC BY 4.0