Registre des traitements : ce que chaque colonne doit contenir

L'obligation vaut pour tous les organismes, publics comme privés, quelle que soit leur taille. L'article 30 §1 du règlement (UE) 2016/679, applicable depuis le 25 mai 2018, impose au responsable de traitement de tenir un registre des activités effectuées sous sa responsabilité. Le paragraphe 2 impose au sous-traitant de tenir le sien, distinct.

Vient ensuite le paragraphe 5, celui qu'on cite de mémoire et de travers. Sa rédaction exacte est la suivante : les obligations des paragraphes 1 et 2 ne s'appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés, « sauf si le traitement qu'elles effectuent est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte notamment sur les catégories particulières de données visées à l'article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10 ».

Un seul mot décide, et il est répété deux fois : « ou ». Les trois branches sont donc alternatives, et il suffit qu'une seule soit remplie pour que l'obligation revienne. Pour être dispensé d'inscrire un traitement, il faut écarter les trois ensemble : le traitement ne présente aucun risque, et il est occasionnel, et il ne porte ni sur des données sensibles ni sur des données pénales.

Appliquez-le à une entreprise ordinaire. La paie est mensuelle, le fichier clients tourne en permanence : ni l'une ni l'autre n'est occasionnelle. La gestion des candidatures, la vidéosurveillance, la prospection commerciale non plus. La CNIL le formule sans détour : la dérogation est limitée à des cas très particuliers, et elle recommande, en cas de doute, de faire figurer le traitement au registre.

Le second malentendu porte sur la portée de la dispense, qui ne s'apprécie pas au niveau de l'entreprise mais traitement par traitement. Une société de trente salariés n'est pas « exemptée de registre » : elle est dispensée d'y inscrire ses traitements occasionnels et sans risque, et doit y inscrire tous les autres. Le registre existe donc quand même — simplement plus court.

C'est la première chose que nous établissons quand une entreprise nous appelle sur ce sujet, avant même de regarder ses outils. Si vous hésitez sur votre situation, faire qualifier vos traitements et bâtir le registre qui en découle est le point de départ habituel.

L'article 30 §1 énumère sept rubriques, aux points a) à g). Elles se lisent comme les colonnes d'un tableau dont chaque ligne est un traitement : la paie, le recrutement, la gestion clients, la prospection, la vidéosurveillance.

a) Le nom et les coordonnées des responsables

La colonne la plus mécanique, et pourtant celle qui se remplit à moitié. Le texte demande le responsable de traitement, mais aussi, le cas échéant, le responsable conjoint, le représentant du responsable et le délégué à la protection des données. La responsabilité conjointe de l'article 26 est la mention la plus souvent oubliée : elle vise deux entités qui déterminent ensemble les finalités et les moyens — une société mère et sa filiale, par exemple.

b) Les finalités du traitement

Une finalité n'est pas un outil. « CRM » n'est pas une finalité ; « gestion de la relation commerciale et suivi des commandes » en est une. Si le libellé ne permet pas de dire ce qu'on cherche à obtenir, il décrit un moyen. Et un même outil porte souvent deux finalités distinctes, qui appellent deux lignes.

c) Les catégories de personnes concernées et de données

Deux informations dans une seule rubrique. Les personnes d'abord — clients, prospects, salariés, candidats. Les données ensuite, par catégorie et non pièce par pièce : identité, coordonnées, vie professionnelle, données de connexion. C'est ici qu'on repère les données sensibles de l'article 9, celles qui font tomber la dérogation du paragraphe 5.

d) Les catégories de destinataires

Le texte vise les destinataires « auxquels les données ont été ou seront communiquées, y compris les destinataires dans des pays tiers ». Deux points d'attention : les sous-traitants sont des destinataires — l'hébergeur, l'éditeur du logiciel de paie, le prestataire d'emailing y figurent —, et le futur compte autant que le présent, une communication prévue s'inscrivant avant d'avoir lieu.

e) Les transferts hors de l'Union

Le point e) demande l'identification du pays tiers ou de l'organisation internationale et, pour les transferts fondés sur le deuxième alinéa de l'article 49 §1, les documents attestant de garanties appropriées. Un outil américain grand public suffit à ouvrir cette colonne, et le mécanisme retenu — décision d'adéquation, clauses contractuelles types — s'y écrit noir sur blanc.

f) Les délais prévus pour l'effacement

La rubrique s'ouvre par « dans la mesure du possible », ce qui la rend plus souple, pas facultative. Le principe de limitation de la conservation, posé à l'article 5 §1 e), impose de fixer une durée pour chaque finalité ; le registre est l'endroit où elle s'écrit. Elle se déduit de la finalité et des obligations légales de conservation qui s'y attachent.

g) Une description générale des mesures de sécurité

Même formule d'ouverture, et même piège : une description généralen'est pas une description vide. Le renvoi est fait à l'article 32 §1 — chiffrement, contrôle des accès, sauvegardes, journalisation. Une colonne laissée blanche dit qu'aucune mesure n'a été identifiée.

L'article 30 §2 impose un registre d'une autre nature : non pas des traitements, mais des catégories d'activités de traitement effectuées pour le compte de chaque responsable. La différence n'est pas rédactionnelle — le sous-traitant ne déterminant pas les finalités, il n'a pas à les inscrire : il inscrit ce qu'il fait, et pour qui.

Quatre rubriques : les coordonnées du sous-traitant et de chaque responsable pour le compte duquel il agit, ainsi que celles des représentants et du délégué ; les catégories de traitements par responsable ; les transferts hors Union et les documents de garanties ; et, dans la mesure du possible, les mesures de sécurité de l'article 32 §1.

La plupart des entreprises tiennent les deux registres : une agence, un éditeur de logiciel, un cabinet comptable sont responsables pour leur propre paie et sous-traitants pour les données que leurs clients leur confient. Les deux documents cohabitent et ne se recopient pas. Le contrat qui encadre cette sous-traitance, lui, relève de l'article 28 §3 et se traite à part.

Le modèle de registre de base diffusé par la CNIL, au format tableur et destiné aux petites structures, contient plus de colonnes que l'article 30 n'en exige. Ce n'est pas une erreur : l'autorité recommande explicitement d'enrichir le registre. Encore faut-il savoir ce qui relève du règlement et ce qui relève du conseil.

La colonne la plus importante est la base légale. Cherchez-la dans l'article 30 : elle n'y est pas. Les sept rubriques ne demandent nulle part sur quel fondement de l'article 6 repose le traitement — consentement, contrat, obligation légale, intérêt légitime. Elle figure pourtant dans tous les modèles sérieux, et pour une raison solide : l'article 5 §2 impose d'être en mesure de démontrer sa conformité, et un traitement dont personne ne sait sur quelle base il repose ne se démontre pas.

Suivent, dans le même registre de recommandation, la mention de l'information délivrée au titre des articles 13 et 14, le rattachement du traitement à un service interne, et la référence du contrat de sous-traitance. Aucune n'est imposée ; toutes servent le jour où il faut répondre à la CNIL en quelques jours plutôt qu'en quelques semaines.

Un modèle se lit donc pour ce qu'il est : un outil, pas le texte. C'est aussi la raison pour laquelle nous ne diffusons pas le nôtre — un registre se construit sur des traitements réels, et un fichier pré-rempli donne surtout l'illusion d'avoir traité la question.

Ce n'est pas une déclaration. Rien ne s'envoie à la CNIL : l'article 30 §4 impose seulement de mettre le registre à sa disposition sur demande. Le régime de déclaration préalable a disparu le 25 mai 2018.

Ce n'est pas un formulaire imposé. L'article 30 §3 exige une forme écrite, « y compris la forme électronique ». Un tableur convient, un outil dédié aussi ; ce qui n'est pas admis, c'est l'absence de trace.

Ce n'est pas un document qu'on remplit une fois. Devant être disponible sur demande, il doit décrire les traitements réels au jour de la demande — pas à la date de sa dernière relecture. Le déclencheur de mise à jour n'est pas le calendrier mais l'événement : nouvel outil, nouveau prestataire, nouvelle finalité, transfert hors Union.

Enfin, ce n'est pas un document sans enjeu. L'absence de registre relève de l'article 83 §4 a), qui plafonne l'amende administrative à 10 millions d'euros ou, pour une entreprise, à 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond n'est pas la sanction attendue pour une PME. Ce qui compte en pratique est plus prosaïque : un registre absent au premier jour d'un contrôle oriente tout ce qui suit.

Un point de calendrier, parce qu'il circule beaucoup et qu'il est souvent présenté comme acquis. La Commission européenne a proposé, le 19 novembre 2025, dans le paquet dit « Digital Omnibus » (COM(2025) 837), de modifier l'article 30 §5 : seuil relevé de 250 à 750 personnes, suppression du critère du caractère occasionnel, obligation recentrée sur les traitements susceptibles d'engendrer un risque élevé au sens de l'article 35.

Cette proposition n'est pas adoptée. Au 6 août 2026, date de publication de cet article, elle demeure en négociation entre le Parlement et le Conseil, et le droit applicable reste inchangé. Une entreprise de 400 salariés qui suspendrait son registre au motif d'un texte en discussion se placerait aujourd'hui en manquement.

Nous construisons le registre à partir d'entretiens avec les responsables métier plutôt qu'à partir des procédures écrites. L'écart entre les deux est ce qu'un contrôle révèle : les traitements réels sont presque toujours plus nombreux que ceux que l'organisation croit opérer.

Sur ce type de dossier, la difficulté ne se déplace presque jamais sur le remplissage des colonnes, mais sur la qualification de chaque partie et sur la transmission du registre à ceux qui devront le tenir ensuite. Un registre que personne ne sait mettre à jour est périmé en six mois.

Le cabinet applique cette exigence à son propre site, dont le relevé d'origine des visites et le recueil du consentement sont décrits dans sa politique de confidentialité. Nos missions sont facturées au forfait, et le montant est annoncé et accepté avant le démarrage. Si votre registre est à construire ou à reprendre, un premier échange suffit à en mesurer la charge.