Règlement (UE) 2016/679, article 30

Le registre des activités de traitement

Le registre est la première pièce que l'autorité de contrôle demande, et la seule dont le contenu soit fixé mot pour mot par le règlement (UE) 2016/679. Son article 30 énumère les mentions qu'il comporte, et il en prévoit deux versions distinctes : celle du responsable du traitement, au paragraphe 1, et celle du sous-traitant, au paragraphe 2, dont le contenu n'est pas le même.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Ce que l'article 30 impose au responsable du traitement

Le paragraphe 1 énumère limitativement les mentions du registre tenu par le responsable : le nom et les coordonnées du responsable et, le cas échéant, du responsable conjoint, du représentant et du délégué à la protection des données ; les finalités du traitement ; une description des catégories de personnes concernées et des catégories de données ; les catégories de destinataires, y compris dans les pays tiers ; le cas échéant, les transferts vers un pays tiers avec l'identification de celui-ci et, dans le cas du second alinéa de l'article 49.1, les garanties appropriées ; dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données ; et, dans la mesure du possible, une description générale des mesures de sécurité de l'article 32.1.

Deux de ces mentions sont assorties de la réserve « dans la mesure du possible », et c'est précisément sur elles que se concentrent les registres incomplets. Cette réserve vise l'hypothèse où l'information n'est objectivement pas déterminable au moment de la rédaction ; elle ne dispense pas de la rechercher, et une case laissée vide sans motif est traitée comme une absence, pas comme un usage de la réserve.

Le registre du sous-traitant est un autre document

Le paragraphe 2 de l'article 30 impose au sous-traitant, et le cas échéant à son représentant, de tenir un registre des catégories d'activités de traitement effectuées pour le compte de chaque responsable. Son contenu diffère : le nom et les coordonnées de chaque responsable pour le compte duquel il agit, les catégories de traitements effectués, les transferts vers des pays tiers avec leurs garanties, et la description générale des mesures de sécurité.

On y remarque une absence : le sous-traitant n'inscrit pas les finalités, puisqu'il ne les détermine pas, et il n'a pas à inscrire les durées de conservation, qui relèvent des instructions du responsable. En revanche, il inscrit les transferts, y compris ceux qui résultent de la localisation de ses propres sous-traitants ultérieurs — ce qui est, pour un prestataire technique, la mention la plus utile du document.

Une organisation qui est responsable pour certains traitements et sous-traitante pour d'autres tient les deux registres. Les fondre en un seul document produit un tableau dont aucune ligne ne comporte les mentions exactes que le texte exige.

La dispense de moins de 250 salariés ne joue presque jamais

Le paragraphe 5 de l'article 30 prévoit que les obligations des paragraphes 1 et 2 ne s'appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés. Cette dispense est immédiatement refermée par trois exceptions que le même paragraphe énonce : elle tombe si le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées, s'il n'est pas occasionnel, ou s'il porte sur des données de l'article 9 ou sur des données relatives aux condamnations et infractions visées à l'article 10.

La deuxième exception est celle qui vide la dispense de son contenu. La paie, la gestion de la clientèle, la facturation et la prospection ne sont pas des traitements occasionnels : ce sont des traitements permanents. Une organisation de moins de 250 salariés qui exerce une activité régulière tient donc un registre, et la seule portée réelle du paragraphe 5 est de limiter ce registre aux traitements qui tombent sous l'une des trois exceptions — c'est-à-dire, en pratique, à presque tous.

Ce qui fait la différence entre un registre vivant et un tableau mort

Un registre se périme par le haut : ce sont les nouveaux traitements qui manquent, rarement les anciens qui sont faux. Le circuit de mise à jour compte donc davantage que la qualité initiale du document. Trois déclencheurs suffisent à le tenir : la souscription d'un nouvel outil, l'ouverture d'une nouvelle finalité d'usage sur des données existantes, et le changement de prestataire.

La durée de conservation est la mention qui demande le plus de travail, parce qu'elle ne se décide pas en une fois : elle se détermine finalité par finalité, en distinguant la base active, l'archivage intermédiaire et la suppression. Et elle n'a de valeur que si une purge correspondante existe réellement. Un registre qui annonce trois ans sur un traitement dont aucune donnée n'a jamais été effacée documente l'écart au lieu de le corriger.

Questions fréquentes

Le registre doit-il être transmis à la CNIL ?

Non. L'article 30.4 du règlement (UE) 2016/679 impose de le mettre à la disposition de l'autorité de contrôle sur demande. Il n'y a ni dépôt, ni déclaration préalable : le régime déclaratif antérieur a été remplacé par une logique de responsabilité, dont le registre est la pièce maîtresse.

Une entreprise de moins de 250 salariés doit-elle tenir un registre ?

En pratique, oui. La dispense de l'article 30.5 tombe dès que le traitement n'est pas occasionnel, ce qui est le cas de la paie, de la gestion de clientèle et de la facturation. Elle tombe également en cas de risque pour les droits des personnes ou de traitement de données des articles 9 ou 10. Il ne reste presque rien du champ de la dispense.

Quelle est la différence entre un registre et une cartographie des traitements ?

Le registre est un document dont le contenu est fixé par l'article 30 et qui est opposable à l'autorité de contrôle. La cartographie est un travail préalable, plus large, qui recense les flux, les systèmes et les prestataires pour alimenter le registre et, le cas échéant, les analyses d'impact. La cartographie sert à construire le registre ; elle ne le remplace pas.

Un modèle de registre téléchargé suffit-il ?

Un modèle fournit la structure, jamais le contenu. Les finalités, les catégories de données, les destinataires et les durées sont propres à chaque organisation, et ce sont exactement ces champs qu'un contrôle examine. Un registre dont les lignes reproduisent un modèle sans correspondre aux traitements réels établit l'absence de recensement plutôt que son existence.

Ce que ce régime déclenche ailleurs

Le registre identifie les traitements ; c'est en le lisant que l'on repère ceux qui, au regard de l'article 35.3, appellent une analyse d'impact.

Conduire une analyse d'impact

Les catégories de destinataires inscrites au registre doivent correspondre aux prestataires réellement contractualisés : c'est le recoupement le plus simple à opérer en contrôle.

Encadrer ses sous-traitants

Les trois cas de l'article 35.3, les quatre éléments que l'analyse doit contenir, le rôle du délégué, et l'hypothèse où l'autorité de contrôle doit être consultée avant la mise en œuvre.

Analyse d'impact

Distinguer le responsable du sous-traitant, les huit clauses obligatoires du paragraphe 3, le régime des sous-traitants ultérieurs et le droit d'audit.

Sous-traitance

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.