Votre registre RGPD article 30, construit tout seul

Oui, dans la quasi-totalité des cas. L'article 30 §5 prévoit une dispense pour les organismes de moins de 250 salariés, mais elle tombe dès que le traitement n'est pas occasionnel, qu'il est susceptible de comporter un risque pour les personnes, ou qu'il porte sur des données sensibles ou des condamnations pénales. Or la paie, la gestion des clients et le recrutement sont des traitements réguliers : la CNIL considère que la quasi-totalité des TPE/PME doit tenir un registre, au moins simplifié.

L'absence de registre relève de l'article 83 §4 du RGPD : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En pratique, l'autorité de contrôle demande d'abord le registre lors d'un contrôle : ne pas pouvoir le produire transforme un contrôle de routine en procédure de sanction, et prive l'organisme de la preuve de sa conformité (accountability, article 5 §2).

Le registre du responsable (article 30 §1) décrit vos traitements : finalités, catégories de données et de personnes, destinataires, transferts, durées, sécurité. Le registre du sous-traitant (article 30 §2) décrit les traitements réalisés pour le compte de vos clients : il liste les clients, les catégories de traitements réalisés pour chacun, les transferts et les mesures de sécurité. Une agence ou une SaaS qui héberge des données de clients tient les deux registres.

Sept mentions, listées à l'article 30 §1 : identité et coordonnées du responsable (et du DPO), finalités, catégories de personnes concernées et de données, catégories de destinataires, transferts hors UE et garanties associées, délais d'effacement, description générale des mesures de sécurité. Une fiche sans durée de conservation ou sans destinataires est incomplète.

Non. RoPA Pilot supprime la partie mécanique du travail — inventorier les outils, retrouver l'éditeur, le pays d'hébergement, le mécanisme de transfert et le DPA — et produit un registre présentable. Les arbitrages (base légale, minimisation, durée de conservation réelle, analyse d'impact) restent une décision humaine. C'est une aide à la conformité, pas un conseil juridique.

Trois situations. Le fournisseur est certifié EU-US Data Privacy Framework : le transfert est licite tant que la certification est active — vérifiez-la sur dataprivacyframework.gov et datez la vérification. Il ne l'est pas : il faut des clauses contractuelles types signées et, en principe, une analyse d'impact du transfert. Le mécanisme est inconnu : demandez-le par écrit à l'éditeur avant de l'inscrire au registre. RoPA Pilot indique le mécanisme le plus probable pour chaque SaaS détecté et signale les cas « à vérifier ».