Le registre des activités de traitement est la pièce centrale de la conformité RGPD : c'est lui que la CNIL demande en premier en cas de contrôle. Beaucoup de PME pensent en être dispensées. En pratique, c'est rarement le cas.
Avertissement : contenu informatif, non constitutif de conseil juridique. Pour un traitement sensible ou un doute sur votre situation, consultez la CNIL ou un professionnel du droit.
Qui doit tenir un registre ?
L'article 30 du RGPD prévoit une dispense pour les organismes de moins de 250 salariés, mais elle est très étroite. Elle tombe dès que le traitement :
- n'est pas occasionnel ;
- est susceptible de comporter un risque pour les droits et libertés des personnes ;
- porte sur des données sensibles (santé, opinions…) ou sur des condamnations pénales.
Or la paie, la gestion du personnel ou le fichier clients sont des traitements réguliers. Une PME qui a des salariés ou des clients doit donc, en pratique, tenir un registre au moins pour ces traitements. La CNIL rappelle d'ailleurs que le registre concerne tous les organismes, quelle que soit leur taille.
📋 Offert à l'inscription : la checklist RGPD PME en 10 points (PDF), puis un sujet juridique décrypté chaque semaine.
Recevoir la checklist →Que contient une fiche de traitement ?
Le registre se compose d'une fiche par traitement (par exemple « paie », « gestion des clients », « recrutement »). Chaque fiche indique, selon l'article 30 :
| Rubrique | Exemple pour un fichier clients |
|---|---|
| Responsable du traitement et ses coordonnées | Votre société, l'adresse et le contact RGPD |
| Finalités | Gestion des commandes, facturation, suivi de la relation client |
| Catégories de personnes concernées | Clients, contacts chez les clients |
| Catégories de données | Identité, coordonnées, historique de commandes |
| Destinataires | Service commercial, comptabilité, prestataire de facturation |
| Transferts hors Union européenne | Le cas échéant, avec les garanties prévues |
| Délais d'effacement | À définir pour chaque catégorie de données |
| Mesures de sécurité | Description générale : accès restreints, sauvegardes… |
Utiliser le modèle de la CNIL
La CNIL propose un modèle de registre simplifié au format tableur, conçu pour les TPE et PME. Il couvre le socle exigé par l'article 30. Ses anciennes versions RTF et PDF ne sont plus mises à jour : téléchargez la version actuelle sur cnil.fr.
Le format du registre est libre (papier ou électronique). Une entreprise privée n'a pas à le publier, mais doit pouvoir le présenter à la CNIL.
Si vous êtes aussi sous-traitant
Si vous traitez des données pour le compte de vos clients (par exemple comme prestataire de paie, d'hébergement ou de marketing), vous devez tenir un second registre qui recense ces activités réalisées pour leur compte.
Où l'IA peut vous aider, et où elle ne suffit pas
- Utile : transformer la description d'une activité (« nous envoyons une newsletter à nos clients ») en un premier brouillon de fiche, lister les questions à poser à chaque service, harmoniser la rédaction des fiches.
- Insuffisant : fixer les durées de conservation applicables, qualifier un traitement sensible ou un transfert hors UE. Relisez toujours avec les fiches de la CNIL.
Pour démarrer, suivez notre checklist RGPD pour PME en 10 points : le registre en est le point 7. Lisez aussi les 5 obligations RGPD que beaucoup de PME ignorent.
Questions fréquentes
Une PME de 10 salariés doit-elle tenir un registre ?
En pratique oui, au moins pour ses traitements réguliers comme la paie ou le fichier clients, car la dispense de l'article 30 ne couvre que les traitements occasionnels, sans risque et sans données sensibles.
Le registre doit-il être envoyé à la CNIL ?
Non. Il est tenu en interne et présenté à la CNIL sur demande, notamment lors d'un contrôle.
Existe-t-il un modèle officiel ?
Oui, la CNIL propose un modèle de registre simplifié au format tableur, à télécharger sur cnil.fr.
L'IA juridique expliquée chaque semaine
RH, RGPD, conformité — sans jargon.
Recevoir la checklist RGPD offerte →