RoPA PilotArticle 30 RGPD
L'article 30 est l'article qui crée l'obligation de registre. Voici son texte, ce que recouvrent réellement ses sept points, pourquoi l'exception des moins de 250 salariés ne protège presque personne, et ce que l'on risque en cas de manquement.
Mis à jour le 2026-07-10 · Lecture 5 min
Au sommaire
Le texte de l'article 30 §1
- a) le nom et les coordonnées du responsable du traitement, le cas échéant du responsable conjoint, du représentant et du délégué à la protection des données ;
- b) les finalités du traitement ;
- c) une description des catégories de personnes concernées et des catégories de données à caractère personnel ;
- d) les catégories de destinataires auxquels les données ont été ou seront communiquées, y compris les destinataires dans des pays tiers ;
- e) le cas échéant, les transferts vers un pays tiers ou une organisation internationale, avec l'identification de ce pays et, pour les transferts fondés sur l'article 49 §1 second alinéa, les garanties appropriées ;
- f) dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données ;
- g) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.
L'obligation, et sa fausse exception
L'article 30 §5 dispense les organisations de moins de 250 salariés — sauf si le traitement « est susceptible de comporter un risque pour les droits et les libertés des personnes concernées », s'il « n'est pas occasionnel », ou s'il porte sur des catégories particulières de données (article 9) ou des données relatives à des condamnations pénales (article 10).
Ces trois conditions sont alternatives, pas cumulatives : il suffit d'en remplir une pour que l'obligation s'applique. Gérer la paie de deux salariés est un traitement régulier. Envoyer une newsletter est un traitement régulier. La dispense ne concerne, en pratique, que des traitements ponctuels et anodins. Le cas des PME est traité en détail.
Article 30 §2 : le registre du sous-traitant
Le paragraphe 2 crée une obligation distincte pour les sous-traitants : tenir le registre des catégories de traitements effectués pour le compte de chaque responsable. Il exige le nom et les coordonnées de chaque client responsable de traitement, les catégories de traitements réalisées, les transferts hors UE et, dans la mesure du possible, la description des mesures de sécurité. Une agence, un éditeur SaaS ou un cabinet comptable tiennent donc deux registres.
Paragraphes 3 et 4 : forme écrite et communication
Le §3 impose la forme écrite, « y compris la forme électronique ». Le §4 impose de mettre le registre à disposition de l'autorité de contrôle sur demande. Il n'existe pas de dépôt préalable : le registre n'est ni transmis, ni validé par la CNIL. Il doit simplement exister, être exact et être produit sans délai.
Sanctions : article 83 §4
| Manquement | Plafond (art. 83) | Concerne le registre ? |
|---|---|---|
| Art. 83 §4 : obligations des responsables et sous-traitants, dont l'article 30 | 10 000 000 € ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu | Oui — un registre absent ou inexploitable relève de ce plafond |
| Art. 83 §5 : principes, base légale, droits des personnes, transferts (chap. V) | 20 000 000 € ou 4 % du chiffre d'affaires annuel mondial | Indirectement — un transfert hors UE non encadré relève du chapitre V |
Traduire l'article 30 en fiche exploitable
Le texte est abstrait ; une fiche remplie ne l'est pas. Voir un registre exemple complet : trois traitements d'une PME, avec finalité, base légale, catégories, destinataires, transferts datés, durées justifiées et mesures de sécurité.
RoPA Pilot part du point (d) — les destinataires — parce que c'est là que le travail manuel est le plus lourd : identifier chaque sous-traitant SaaS, son éditeur réel, son pays d'hébergement et son mécanisme de transfert. L'extension le fait à partir du domaine de l'onglet, en local.
À lire ensuite
Votre registre article 30, construit depuis la réalité
L'extension est gratuite : détection illimitée, fiches illimitées, exports CSV et JSON illimités.