Lecture rapide

La CNIL propose un modèle de registre pour aider les organismes à recenser leurs traitements de données personnelles en tant que responsables de traitement. Le document centralisé, régulièrement mis à jour, permet de satisfaire à l’obligation de registre prévue par le RGPD. Il comprend une page recensant les informations générales de l’organisme et la liste des activités, puis une fiche détaillée à créer et tenir pour chaque activité impliquant un traitement de données.

Analyse juridique

1. Le registre des activités de traitement : un outil central de conformité RGPD

1. L’« exemple de registre » proposé par la CNIL est présenté comme un « modèle de registre de base destiné à répondre aux besoins les plus courants en matière de traitements de données, en particulier des petites structures ». Ce document vise à recenser les traitements de données personnelles mis en œuvre dans un organisme « en tant que responsable de traitement » et à répondre à l’obligation de tenir un registre prévue par le RGPD.

2. Centralisé et régulièrement mis à jour, ce registre permet de disposer d’une vision d’ensemble des activités de traitement et de préparer « l’analyse des traitements de données personnelles à la réglementation ». Il constitue ainsi un instrument clé pour structurer la conformité et documenter les activités de traitement.

2. Composition générale du registre : informations communes et fiches par activité

3. Le document est structuré en deux niveaux. D’abord, une page recense les informations communes à toutes les activités de traitement : coordonnées de l’organisme (ou de son représentant sur le territoire européen si l’organisme n’est pas établi dans l’UE), coordonnées du délégué à la protection des données (DPO) le cas échéant, et « liste des activités de votre organisme impliquant le traitement de données personnelles ».

4. Ensuite, pour chaque activité recensée, l’organisme doit « créer et tenir à jour une fiche de registre ». Les pages suivantes constituent un modèle de fiche de registre à copier/coller « autant de fois qu’il y a d’activité listée ». Cette approche permet de détailler, activité par activité, les objectifs poursuivis, les catégories de personnes concernées, les catégories de données collectées, les durées de conservation, les destinataires, les transferts hors UE et les mesures de sécurité.

3. Page d’identification de l’organisme et liste des activités

5. La première partie du registre, intitulée « REGISTRE DES ACTIVITÉS DE TRAITEMENT », prévoit la mention du nom de l’organisme et des coordonnées du responsable de l’organisme (responsable de traitement ou son représentant si le responsable est situé en dehors de l’UE) : nom, prénom, adresse, code postal, ville, téléphone, adresse de messagerie.

6. Elle prévoit également les coordonnées du délégué à la protection des données (si un DPO a été désigné) : nom, prénom, société (si DPO externe), adresse, code postal, ville, téléphone, adresse de messagerie. Cette identification du DPO reflète le rôle central de ce dernier dans le pilotage de la conformité.

7. La section « Activités de l’organisme impliquant le traitement de données personnelles » invite à lister les activités pour lesquelles des données personnelles sont traitées. Des exemples sont fournis : « Gestion de la paie », « Gestion des prospects », « Gestion des fournisseurs », « Vente en ligne », « Sécurisation des locaux ». Chaque activité listée donnera lieu à une fiche de registre spécifique.

4. Fiche de registre par activité : structurer l’information

8. La « fiche de registre de l’activité » commence par le nom de l’activité, la date de création de la fiche et la date de dernière mise à jour. Elle prévoit aussi la mention d’un éventuel « responsable conjoint du traitement » lorsque la responsabilité est partagée avec un autre organisme, ainsi que le nom du logiciel ou de l’application utilisé, si pertinent.

9. La rubrique « Objectifs poursuivis » demande de décrire clairement l’objet du traitement et ses fonctionnalités. Un exemple est donné pour une activité « formation des personnels » : suivi des demandes de formation, organisation des sessions, évaluation des connaissances. Cette description permet de vérifier la finalité du traitement au regard des exigences de licéité et de proportionnalité.

5. Catégories de personnes concernées et de données collectées

10. La fiche invite à lister les catégories de personnes concernées (salariés, usagers, clients, prospects, bénéficiaires, etc.). Cette identification est essentielle pour apprécier les impacts potentiels sur les droits et libertés des personnes.

11. La section « Catégories de données collectées » propose une liste à cocher : état-civil, identité, données d’identification, images (nom, prénom, adresse, photographie, date et lieu de naissance) ; vie personnelle (habitudes de vie, situation familiale) ; vie professionnelle (CV, situation professionnelle, scolarité, formation, diplômes) ; informations d’ordre économique et financier (revenus, situation financière, données bancaires) ; données de connexion (adresses IP, logs, identifiants des terminaux, informations d’horodatage) ; données de localisation (déplacements, données GPS, GSM) ; Internet (cookies, traceurs, données de navigation, mesures d’audience) ; et « autres catégories de données » à préciser.

6. Données sensibles, durées de conservation et destinataires

12. Le registre attire l’attention sur les données sensibles, dont la collecte est « strictement encadrée par le RGPD » : données révélant l’origine prétendument raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques et biométriques, données concernant la santé, la vie sexuelle ou l’orientation sexuelle, données relatives aux condamnations pénales ou aux infractions, ainsi que le numéro d’identification national unique (NIR). La fiche demande d’indiquer si de telles données sont traitées et, le cas échéant, lesquelles.

13. La rubrique « Durées de conservation des catégories de données » demande de préciser combien de temps les informations sont conservées (jours, mois, ans) ou, à défaut, les critères utilisés pour déterminer le délai d’effacement (par exemple, trois ans à compter de la fin de la relation contractuelle). Le registre rappelle que, si les catégories de données ne sont pas soumises aux mêmes durées, ces différentes durées doivent apparaître.

14. La section « Catégories de destinataires des données » distingue les destinataires internes (entités ou services, catégories de personnes habilitées, direction informatique), les organismes externes (filiales, partenaires) et les sous-traitants (hébergeurs, prestataires de maintenance informatique, etc.). Cette cartographie des destinataires contribue à la transparence et à la maîtrise des flux de données.

7. Transferts hors UE et mesures de sécurité

15. La fiche interroge l’existence de transferts de données hors UE et, le cas échéant, les pays concernés. Elle rappelle que, dans certaines situations (transfert vers un pays tiers non couvert par une décision d’adéquation et sans garanties au sens des articles 46 et 47 du RGPD), des garanties spécifiques doivent être prévues et documentées dans le registre (article 49 du RGPD).

16. La rubrique « Mesures de sécurité » invite à cocher et décrire les mesures de sécurité organisationnelles et techniques prévues pour préserver la confidentialité des données. Parmi les exemples de garanties de base : contrôle d’accès des utilisateurs (description des mesures), mesures de traçabilité (journalisation des accès, données enregistrées, durée de conservation), protection des logiciels (antivirus, mises à jour, correctifs de sécurité, tests), sauvegarde des données (modalités), chiffrement des données (site en https, utilisation de TLS), contrôle des sous-traitants (modalités) et « autres mesures » à préciser.

8. Un support opérationnel pour documenter les activités de traitement

17. En proposant un modèle de registre et un modèle de fiche de registre par activité, la CNIL fournit un support opérationnel pour que les organismes, notamment les petites structures, puissent documenter leurs activités de traitement de manière structurée. Le registre permet de centraliser les informations clés (finalités, données, personnes concernées, durées, destinataires, transferts, sécurité) et de démontrer, en cas de contrôle, le respect des exigences du RGPD.

18. Cet « exemple de registre » s’inscrit dans une démarche plus large de structuration de la conformité : il facilite la cartographie des traitements, la mise à jour régulière des informations, l’identification des données sensibles, la maîtrise des durées de conservation et la formalisation des mesures de sécurité. Il constitue ainsi un outil essentiel pour répondre à l’obligation de tenir un registre des activités de traitement et pour renforcer la gouvernance des données personnelles au sein des organismes.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.