Documentation RGPD article 30 Registre des traitements RGPD : création, mise à jour et conformité à l’article 30

Le registre des activités de traitement recense les traitements de données personnelles réalisés par une organisation. Prévu par l’article 30 du RGPD, il donne une vision structurée des finalités, des personnes concernées, des destinataires, des durées, des transferts éventuels et des mesures de sécurité. Voir qu’est-ce qu’un registre RGPD.

Pour le registre d’un responsable de traitement, l’article 30 exige notamment : le responsable et ses coordonnées, les finalités, les catégories de personnes concernées et de données, les destinataires, les transferts internationaux éventuels, les délais d’effacement lorsque possible, et une description générale des mesures de sécurité lorsque possible. La base légale n’est pas une mention obligatoire de l’article 30 ; la CNIL recommande toutefois d’enrichir le registre. Voir le socle article 30.

Oui. L’article 30 du RGPD impose la tenue d’un registre. Une exemption très limitée existe pour certaines organisations de moins de 250 salariés ; elle ne signifie pas que les PME sont dispensées. La CNIL indique que la tenue du registre concerne la plupart des organismes traitant régulièrement des données personnelles. Le registre doit pouvoir être présenté à la CNIL. Voir qui doit tenir un registre.

Pas systématiquement. L’exception prévue à l’article 30 §5 est limitée et disparaît notamment lorsque les traitements ne sont pas occasionnels ou présentent certaines caractéristiques de risque ou de sensibilité. Voir qui doit tenir un registre RGPD.

Oui, la CNIL propose notamment un modèle simplifié au format ODS. Elle indique qu’il permet de répondre au socle de l’article 30 et recommande de l’enrichir pour piloter la conformité. Voir le modèle CNIL.

Oui. Le RGPD impose une forme écrite, y compris électronique ; il n’impose pas un logiciel spécifique. Excel et ODS conviennent pour faire vivre le registre. Nous livrons un registre éditable dans ces formats.

Le registre est un document structuré répondant notamment aux exigences de l’article 30. La cartographie offre une vision plus large des flux, applications, personnes, destinataires, prestataires, systèmes et localisation des données. La cartographie permet souvent de construire et fiabiliser le registre. Voir registre et cartographie.

La CNIL indique qu’une personne peut être spécifiquement chargée de sa tenue et que, lorsqu’un DPO existe, il peut notamment en assurer le suivi dans le cadre de ses missions. Voir notre DPO externalisé.

Il n’existe pas d’obligation de « une fois par an ». Le registre doit surtout refléter les traitements réellement effectués et évoluer lorsque ceux-ci changent (nouveau logiciel, nouvelle finalité, nouveau sous-traitant, transfert hors UE, système IA…). Voir le registre doit vivre et la mise à jour & maintenance.

Oui, lorsqu’un système d’IA met en œuvre un traitement de données personnelles relevant du RGPD. Les activités concernées doivent être intégrées à la cartographie et documentées comme les autres traitements. La CNIL souligne également que certains modèles d’IA peuvent eux-mêmes relever du RGPD lorsqu’ils comportent ou mémorisent des données personnelles. Voir les traitements IA dans le registre et notre accompagnement conformité IA & AI Act.

Le responsable de traitement tient un registre des traitements réalisés sous sa responsabilité. Le sous-traitant tient un registre des catégories d’activités réalisées pour ses clients. Si une même organisation joue les deux rôles, la CNIL recommande de distinguer clairement les deux catégories et, en pratique, de tenir deux registres. Voir responsable ou sous-traitant.

Non : la logique de cartographie repose sur les traitements et leurs finalités, pas sur une simple liste d’outils. Salesforce, Brevo ou Google Drive sont des outils ; la gestion de la prospection, de la clientèle, des candidatures ou de la paie sont des activités de traitement. Voir un traitement n’est pas un logiciel.

Non. C’est un élément important de documentation et de pilotage, mais les obligations RGPD dépassent largement la seule tenue du registre. La CNIL le rappelle explicitement. Voir notre mise en conformité RGPD et l’audit RGPD.

Le tarif dépend notamment du nombre d’entités, de services et de traitements, de la maturité de la documentation, des sous-traitants, des traitements sensibles, des transferts internationaux, du volume d’entretiens, d’un registre existant ou d’une création complète, du besoin de cartographie et de maintenance. Fourchettes indicatives : création 900 – 1 800 € HT, registre complet + diagnostic 1 500 – 2 800 € HT, mise à jour & maintenance 600 – 1 200 € HT / an. Voir les tarifs.