Registre RGPD interne : structurer et sécuriser les activités de traitement

Lecture rapide

La CNIL propose un modèle de registre pour aider les organismes à recenser leurs traitements de données personnelles en tant que responsables de traitement. Centralisé et mis à jour, ce registre permet de satisfaire à l’obligation prévue par le RGPD. Il comprend une page recensant les coordonnées de l’organisme, du délégué à la protection des données et la liste des activités, puis une fiche détaillée à créer pour chaque activité.

Analyse juridique

Registre RGPD interne : structurer et sécuriser les activités de traitement

1. L’exemple de registre proposé par la CNIL vise à faciliter la tenue du registre des activités de traitement imposée par le RGPD aux responsables de traitement. Destiné en particulier aux petites structures, ce modèle de registre de base permet de recenser les traitements de données personnelles mis en œuvre par un organisme en tant que responsable de traitement. Centralisé et régulièrement mis à jour, il constitue un outil pour répondre à l’obligation de tenir un registre et pour préparer l’analyse de la conformité des traitements à la réglementation.

2. La composition du document est structurée en deux niveaux. La page 2 du registre recense les informations communes à toutes les activités de traitement : coordonnées de l’organisme (ou de son représentant dans l’UE s’il n’est pas établi dans l’Union), coordonnées du délégué à la protection des données (DPO) le cas échéant, et liste des activités impliquant le traitement de données personnelles. Pour chaque activité recensée (par exemple gestion de la paie, gestion des prospects, gestion des fournisseurs, vente en ligne, sécurisation des locaux), une fiche de registre spécifique doit être créée et tenue à jour.

3. Le modèle de fiche de registre (pages 3 à 6) est à copier pour chaque activité listée. Il commence par l’identification de l’activité de traitement (nom de l’activité), la date de création et la date de dernière mise à jour de la fiche, l’éventuel responsable conjoint du traitement et le nom du logiciel ou de l’application utilisé. Cette structuration permet de documenter précisément chaque traitement et de suivre son évolution dans le temps.

4. La fiche décrit ensuite les objectifs poursuivis (finalités) de l’activité de traitement. Il est demandé de décrire clairement l’objet du traitement et ses fonctionnalités. L’exemple donné pour une activité de « formation des personnels » mentionne le suivi des demandes de formation, des périodes de formation effectuées, l’organisation des sessions et l’évaluation des connaissances. Cette description permet de vérifier la proportionnalité du traitement au regard de ses finalités.

5. La fiche recense les catégories de personnes concernées (salariés, usagers, clients, prospects, bénéficiaires, etc.) et les catégories de données collectées. Plusieurs rubriques sont proposées : état-civil, identité, données d’identification, images (nom, prénom, adresse, photographie, date et lieu de naissance), vie personnelle (habitudes de vie, situation familiale), vie professionnelle (CV, situation professionnelle, scolarité, formation, diplômes), informations d’ordre économique et financier (revenus, situation financière, données bancaires), données de connexion (adresses IP, logs, identifiants de terminaux, informations d’horodatage), données de localisation (déplacements, données GPS, GSM), données Internet (cookies, traceurs, données de navigation, mesures d’audience), ainsi qu’une rubrique « autres catégories de données » à préciser.

6. Une attention particulière est portée aux données sensibles au sens du RGPD : données révélant l’origine prétendument raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques et biométriques, les données de santé, la vie sexuelle ou l’orientation sexuelle, les données relatives aux condamnations pénales ou infractions, ainsi que le numéro d’identification national unique (NIR). La fiche demande de préciser si de telles données sont traitées et, le cas échéant, lesquelles, afin de vérifier la vigilance particulière requise par le RGPD.

7. La rubrique sur les durées de conservation invite à indiquer combien de temps les informations sont conservées (en jours, mois, années) ou, si une durée chiffrée n’est pas possible, les critères utilisés pour déterminer le délai d’effacement (par exemple, trois ans à compter de la fin de la relation contractuelle). Lorsque les différentes catégories de données ne sont pas soumises aux mêmes durées, ces durées doivent apparaître distinctement dans le registre. Cette exigence reflète le principe de limitation de la conservation prévu par le RGPD.

8. La fiche identifie les catégories de destinataires des données. Sont distingués les destinataires internes (entités ou services, catégories de personnes habilitées, direction informatique, etc.), les organismes externes (filiales, partenaires) et les sous-traitants (hébergeurs, prestataires de maintenance informatique, etc.). Cette cartographie des destinataires permet de vérifier que les accès aux données sont limités aux personnes et organismes ayant un besoin légitime d’en connaître.

9. La question des transferts de données hors UE est également abordée : la fiche demande si des données personnelles sont transmises hors de l’Union européenne et, le cas échéant, vers quels pays. Elle rappelle que, dans certaines situations (transfert vers un pays tiers non couvert par une décision d’adéquation et sans garanties appropriées au sens des articles 46 et 47 du RGPD), des garanties spécifiques doivent être prévues et documentées dans le registre, en référence à l’article 49 du RGPD. Cette exigence renvoie aux règles encadrant les transferts internationaux de données.

10. La dernière partie de la fiche est consacrée aux mesures de sécurité organisationnelles et techniques mises en place pour préserver la confidentialité, l’intégrité et la disponibilité des données. Plusieurs catégories de mesures sont proposées : contrôle d’accès des utilisateurs (décrire les mesures), mesures de traçabilité (nature des traces, données enregistrées, durée de conservation), protection des logiciels (antivirus, mises à jour, correctifs de sécurité, tests), sauvegarde des données (modalités), chiffrement des données (par exemple, site accessible en https, utilisation de TLS), contrôle des sous-traitants (modalités), et « autres mesures » à détailler. Le niveau de sécurité doit être adapté aux risques soulevés par le traitement.

11. La structure proposée – informations générales sur l’organisme, liste des activités, fiches détaillées par activité – permet de structurer le registre RGPD interne et de disposer d’une vision claire des activités de traitement. En documentant les finalités, les catégories de personnes concernées, les données collectées, les durées de conservation, les destinataires, les transferts hors UE et les mesures de sécurité, l’organisme se dote d’un outil opérationnel pour sécuriser ses traitements, démontrer sa conformité au RGPD et piloter ses activités de traitement dans une logique de responsabilisation.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.