La réponse courte : si votre entreprise a des clients ou des salariés, elle tient un registre des traitements, même à trois personnes. L'exemption prévue pour les structures de moins de 250 salariés existe, mais elle est bien plus étroite que le résumé qu'on en fait. Voici le texte, le test en trois questions, et une méthode pour s'en acquitter en une après-midi, sans cabinet.
Avertissement : cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Pour une situation particulière, consultez un professionnel du droit ou votre délégué à la protection des données.
L'article 30 du RGPD impose au responsable du traitement de tenir un registre des activités de traitement. Son paragraphe 5 prévoit que cette obligation « ne s'applique pas à une entreprise ou à une organisation comptant moins de 250 employés, sauf si le traitement qu'elle effectue est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte notamment sur les catégories particulières de données visées à l'article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions ».
Trois exceptions, dont une seule suffit à faire tomber l'exemption :
Le mot qui change tout est « occasionnel ». Un fichier clients, une facturation, une paie, une newsletter, un formulaire de contact traité chaque semaine : aucun de ces traitements n'est occasionnel. Les autorités européennes de protection des données l'ont dit dès 2018 (prise de position du groupe de l'article 29 sur les dérogations à l'obligation de tenir un registre, 19 avril 2018) : l'exemption s'apprécie traitement par traitement. Une petite entreprise documente ses traitements réguliers et peut laisser de côté ceux qui sont réellement ponctuels.
| Question | Si oui |
|---|---|
| 1. Avez-vous au moins un traitement régulier ? Clients, salariés, prospects, fournisseurs, visiteurs du site avec mesure d'audience. | Registre pour ces traitements. C'est le cas de presque toutes les entreprises. |
| 2. Traitez-vous des données sensibles ou relatives à des condamnations ? Données de santé (cabinet, salle de sport, pharmacie), opinions, données biométriques, casier judiciaire d'un candidat. | Registre, et une attention particulière à la base légale de ces traitements. |
| 3. Un traitement présente-t-il un risque particulier ? Profilage, géolocalisation, surveillance des salariés, données de mineurs, grande échelle. | Registre, et probablement une analyse d'impact (article 35) en plus. |
En pratique, l'exemption sert à ne pas documenter l'anecdotique : la liste des participants à un événement unique, par exemple. Elle ne dispense pas l'entreprise en tant que telle.
Le paragraphe 1 de l'article 30 fixe le contenu, pour chaque activité de traitement :
Le registre se tient par écrit, y compris sous forme électronique (paragraphe 3), et se communique à la CNIL sur demande (paragraphe 4). Il ne se publie pas : c'est un document interne.
Le registre se construit par finalité. Pour une TPE ou une PME de services ou de commerce, la liste tient souvent en sept lignes :
La CNIL met à disposition un modèle de registre simplifié au format tableur, conçu pour les petites structures. Une ligne par activité, les sept colonnes ci-dessus. Il n'est pas nécessaire d'acheter un logiciel.
Hébergeur, outil d'emailing, CRM, solution de paiement, cabinet comptable, outil de mesure d'audience, service de prise de rendez-vous. Ce que votre site charge est un bon point de départ : les services tiers appelés par vos pages sont, presque toujours, des destinataires de données à inscrire au registre.
Une durée par activité, en vous appuyant sur les repères publiés par la CNIL et sur les obligations légales de conservation. Deux exemples courants : les données de prospects se conservent en général trois ans après le dernier contact ; les pièces comptables et factures se conservent dix ans au titre du Code de commerce. Vérifiez chaque durée par rapport à votre secteur.
Indiquez la date de la dernière mise à jour et le nom de la personne qui tient le registre. Ajoutez une ligne à chaque nouvel outil ou nouvelle activité. Un registre de 2019 jamais rouvert vaut à peine mieux qu'une absence de registre.
Le travail décrit ci-dessus produit un inventaire : activités, données, destinataires, durées. Cet inventaire alimente le registre, document interne, et la politique de confidentialité, document public exigé par les articles 13 et 14 du RGPD. Faire l'un sans l'autre revient à faire deux fois le même travail. Nous recommandons de partir du registre, puis d'en dériver la politique.
La vérification gratuite Sitetals examine votre page d'accueil et liste les services tiers qu'elle charge, ainsi que la présence d'une politique de confidentialité accessible. C'est un point de départ utile pour la colonne « destinataires » de votre registre. Elle ne remplace pas l'inventaire interne décrit ci-dessus.
À lire également :
Sources : Règlement (UE) 2016/679, articles 9, 10, 13, 14, 30 et 35 · CNIL, « Le registre des activités de traitement » et modèle de registre simplifié · Groupe de travail « article 29 », prise de position sur les dérogations à l'obligation de tenir un registre (19 avril 2018) · Méthodologie Sitetals.
Rédaction Sitetals