Registre RGPD : le constituer et le tenir à jour en PME

Le registre RGPD, ou registre des activités de traitement, est le document prévu par l’article 30 du règlement européen. Il recense les traitements de données personnelles de votre organisme et en décrit les caractéristiques. Pour une PME, le plus long n’est pas la rédaction : c’est la collecte des informations auprès des services. Cette collecte peut être préparée par un appui cadré. Les décisions de fond (finalités, bases légales, durées, conformité) restent à votre DPO, à votre juriste ou à votre conseil.

Campus Consulting

campus-consulting.fr

Structurez la collecte documentaire RGPD

Campus Consulting organise des missions étudiantes préqualifiées pour structurer les informations et documents, avec validation conservée par votre responsable compétent.

Parler de mon projet

En bref

Le registre est prévu par l’article 30 du RGPD et sert aussi à piloter et à démontrer la conformité, pas seulement à cocher une obligation.
Sous 250 salariés, l’exemption n’est pas automatique : traitement non occasionnel, risque pour les personnes ou données sensibles, et le registre redevient obligatoire.
Une fiche correspond à une activité (recruter, payer, facturer), pas à un logiciel.
La collecte d’informations, la mise en forme et le suivi des réponses manquantes peuvent être préparés par un étudiant freelance, sous le cadre fixé par le DPO ou le juriste.
Le professionnel compétent détermine finalités, bases légales, durées de conservation, habilitations et conformité. Il valide le registre.

Table des matières

Le registre des activités de traitement : obligation, contenu, tenue

À quoi sert-il, concrètement

La CNIL le présente comme un document de recensement et d’analyse, qui doit refléter la réalité des traitements de données personnelles de l’organisme. Il permet d’identifier les parties prenantes, les catégories de données, les finalités, les destinataires, les durées de conservation et les mesures de sécurité. Au-delà de l’obligation légale, c’est un outil de pilotage.

Pour un dirigeant, l’intérêt est simple : savoir quelles données circulent, chez qui, pour quoi faire, et être en mesure de le montrer si l’autorité le demande. La check-list CNIL pour les TPE et PME rappelle que ce fichier peut être demandé par la CNIL.

Qui doit le tenir

Le règlement prévoit une exemption pour les organisations de moins de 250 personnes, mais elle est étroite. Selon le texte de l’article 30(5), elle ne joue pas si le traitement est susceptible de comporter un risque, s’il n’est pas occasionnel ou s’il porte sur des données sensibles ou relatives à des condamnations pénales.

Le portail entreprendre.service-public.gouv.fr détaille la même logique pour les entreprises de moins de 250 salariés : à partir de 250, le registre est obligatoire sans condition. Or une PME qui gère une paie, des recrutements et un fichier clients traite de façon régulière, non occasionnelle. Dans la pratique, la grande majorité des PME structurées tiennent donc un registre. En cas de doute sur votre situation, c’est à votre DPO ou à votre conseil de trancher.

Ce que contient le registre

D’après la CNIL, le registre du responsable de traitement comporte d’abord le nom et les coordonnées de l’organisme, le cas échéant de son représentant et de son DPO. Pour chaque activité, la fiche indique :

le responsable conjoint, le cas échéant ;
les finalités ;
les catégories de personnes concernées ;
les catégories de données personnelles ;
les catégories de destinataires ;
les transferts vers un pays tiers ;
les délais d’effacement ou critères de conservation ;
une description générale des mesures de sécurité techniques et organisationnelles.

Si vous agissez à la fois comme responsable de traitement et comme sous-traitant, la CNIL recommande de tenir deux registres distincts : l’un pour vos propres traitements, l’autre pour ceux que vous opérez pour le compte de vos clients.

Quelle forme lui donner

Le RGPD impose seulement une forme écrite. Le format est libre, papier ou électronique, rappelle la CNIL. Un tableur suffit. La CNIL met à disposition un modèle simplifié, relayé par francenum.gouv.fr, au format .ods, avec une fiche tutoriel, une liste de traitements, un modèle de fiche et une fiche d’exemple.

Le document « Composition du document » de la CNIL décrit la structure type : une page d’informations communes (organisme, DPO, liste des activités), puis une fiche par activité, avec des exemples comme la gestion de la paie, des prospects, des fournisseurs ou la vente en ligne.

Préparer le registre avec un appui étudiant, sous validation

Partir des activités, pas des outils

L’erreur fréquente consiste à lister des logiciels. Le registre décrit des activités : « Gestion des candidatures » dit plus que le nom de l’outil de recrutement, car une même application peut servir plusieurs activités et une activité peut mobiliser plusieurs outils.

La CCI Paris Île-de-France recommande d’identifier d’abord l’ensemble des traitements, c’est-à-dire les activités principales qui nécessitent de collecter des données (recrutement, paie, formation, badges, statistiques de ventes, clients et prospects), en échangeant avec tous les collaborateurs susceptibles d’en traiter.

Le guide francenum.gouv.fr propose une démarche simple :

désigner un pilote du registre ;
choisir un modèle simple, tableur ou modèle CNIL ;
lister les grandes activités sans jargon juridique : vendre, livrer, facturer, payer les salariés, communiquer, recruter ;
renseigner, pour chaque activité, les colonnes inspirées du modèle CNIL.

Ses exemples typiques de TPE ou PME : le fichier clients (coordonnées, commandes, factures, avec l’outil de facturation et l’expert-comptable comme partenaires), la gestion des salariés (état civil, paie, contrat, avec le logiciel de paie) et le formulaire de contact ou la newsletter (avec l’outil d’e-mailing).

Ce qui se délègue, ce qui reste au professionnel

Une mission de préparation a un besoin, un périmètre, un livrable vérifiable et un responsable de validation. Pour un registre, le partage est net.

Étape	Préparation par l’étudiant, sous supervision	Décision et validation
Recensement	Entretiens avec les services, liste des activités à partir du cadre fixé	Choix du périmètre, arbitrage des activités à retenir
Collecte	Recueil des informations demandées par fiche, signalement des réponses manquantes	Interprétation des réponses
Mise en forme	Tableau sourcé, versions, questions à valider	Finalités, bases légales, durées de conservation
Sécurité et accès	Reprise des éléments factuels fournis par l’informatique	Habilitations, mesures de sécurité, conformité
Suivi	Relance des interlocuteurs, journal des modifications	Validation finale et signature

Campus Consulting n’est ni un cabinet juridique ni un cabinet d’avocats. L’étudiant collecte, classe et prépare des informations et des questions en amont. Il ne donne aucun conseil engageant Campus, n’accomplit aucun acte réservé, ne rédige aucune clause prête à signer et ne garantit aucune conformité. Il ne se substitue ni à votre DPO ni à votre conseil.

Un livrable que vous pouvez relire

Le livrable attendu est un tableau sourcé : pour chaque activité, les informations recueillies, leur origine (qui les a fournies, à quelle date), la version, et la liste des questions restées ouvertes. Cette traçabilité facilite la relecture par le DPO. Elle permet aussi de voir d’un coup d’œil les réponses manquantes, par exemple un service qui n’a pas indiqué ses destinataires.

Pour fixer le cadre avant de démarrer, précisez :

le modèle utilisé (celui de la CNIL ou le vôtre) et les colonnes à remplir ;
les services à interroger et le nom d’un interlocuteur par service ;
le calendrier de relecture et le nom de la personne qui valide ;
les sujets que l’étudiant ne traite pas : bases légales, durées, habilitations.

Les points de vigilance à transmettre au DPO

L’étudiant n’évalue pas ces points, mais il peut les faire remonter dans la liste de questions :

Les usages informels. Listes de tableur, fichiers partagés, outils adoptés par un service sans passer par l’informatique. Les articles spécialisés comme opt-on.eu recommandent de les inclure dans la cartographie.
Les prestataires. Paie, CRM, e-mailing, hébergement : chaque sous-traitant mentionné est une information à documenter, avec la question d’un éventuel transfert hors de l’Union européenne, que le DPO qualifiera.
Les documents partagés avec des entités étrangères. Lorsque des éléments du registre ou des annexes techniques sont traduits pour un groupe ou un prestataire, la sécurité des traductions techniques sous RGPD fait partie des sujets à anticiper avec votre DPO.
Les nouveaux projets. Un registre vivant se met à jour à chaque déploiement d’un nouveau projet numérique, insiste francenum.gouv.fr.

Garder le registre vivant

Un registre rempli une fois puis oublié ne reflète plus la réalité. Un rythme de revue (annuel pour toutes les fiches, plus fréquent pour les activités qui changent) est à fixer avec votre DPO. Une mission récurrente et légère peut préparer chaque revue : relancer les responsables de service, relever les changements d’outils ou de prestataires, mettre à jour le journal des versions. La décision de modifier une fiche ou une durée reste au professionnel.

L’automatisation ne remplace pas ce travail : selon donneespersonnelles.fr, un registre alimenté par des données inexactes devient obsolète aussi vite qu’un document mal suivi, et il faut toujours qualifier les traitements et valider leurs caractéristiques.

Notre offre pour ce besoin

Nous organisons des missions étudiantes pré-qualifiées, avec sélection et suivi, pour les TPE, PME, startups et équipes opérationnelles. Côté RH et juridique, elles couvrent le suivi des candidatures, les documents et les recherches sous validation. Une mission de collecte pour registre RGPD s’inscrit dans ce cadre : un besoin, un périmètre, un livrable et un responsable de validation côté entreprise. Le suivi administratif, la RC Pro et la facturation sont gérés, et un chef de projet dédié peut piloter la prestation en option.

Vous pouvez découvrir les profils en soutien RGPD ou consulter nos missions RH et juridique pour cadrer votre demande.

Notre point de vue

Chez Campus Consulting, nous voyons le registre comme un bon exemple de mission déléguable : le besoin est clair, le livrable se vérifie et la validation est évidente. Ce qui coûte du temps à un dirigeant de PME, ce n’est pas l’article 30, c’est la tournée des services pour recueillir des informations, les mettre dans un même format et relancer ceux qui n’ont pas répondu.

C’est précisément ce travail préparatoire que nous proposons de confier à un étudiant sélectionné et suivi. Il apprend à structurer une information réglementée, à conduire des entretiens et à tenir un tableau de bout en bout. Vous gardez ce qui engage votre responsabilité : les décisions de votre DPO ou de votre conseil.

Nous tenons à cette frontière. Un étudiant n’est pas un avocat, et nous ne le présentons jamais comme tel. Un cadrage précis (modèle, interlocuteurs, calendrier, validateur) rend la mission utile pour l’entreprise et formatrice pour lui.

Maximilien

FAQ

Mon entreprise de moins de 250 salariés doit-elle tenir un registre ?

Probablement, si elle traite des données de façon régulière. L’exemption pour les petites structures ne s’applique pas lorsque le traitement est non occasionnel, susceptible de comporter un risque, ou porte sur des données sensibles, selon service-public. Votre DPO ou votre conseil confirme votre situation.

Faut-il un fichier par logiciel ou par activité ?

Par activité. La CNIL décrit une fiche de registre par activité, comme la gestion de la paie ou des fournisseurs, d’après son document de composition. Un même outil peut apparaître dans plusieurs fiches.

Quel format choisir, papier ou tableur ?

Le format est libre : le RGPD impose seulement un écrit, papier ou électronique, indique la CNIL. Un tableur ou le modèle simplifié de la CNIL convient à la plupart des PME.

Un étudiant peut-il remplir le registre à ma place ?

Il peut préparer la collecte : recueillir les informations demandées, les classer, signaler les réponses manquantes et tenir le tableau à jour. Il ne détermine ni les finalités, ni les bases légales, ni les durées de conservation. Le DPO ou le juriste décide et valide.