Registre des traitements RGPD

Le registre des activités de traitement est l'inventaire obligatoire de vos usages de données personnelles. Voici précisément qui doit le tenir, ce qu'il doit contenir, ce que l'on risque sans lui — et comment le maintenir à jour sans y passer ses journées.

Mis à jour le 2026-07-10 · Lecture 5 min

Qu'est-ce que le registre des traitements ?

Le registre des activités de traitement est l'inventaire écrit de tout ce que votre organisation fait des données personnelles : à quelles fins, sur quelles catégories de personnes, avec quelles données, vers quels destinataires, pendant combien de temps, avec quelles garanties. Il est imposé par l'article 30 du RGPD et constitue la première pièce demandée lors d'un contrôle de la CNIL.

Ce n'est pas un document de communication : c'est un outil de pilotage. Bien tenu, il répond en trente secondes à des questions coûteuses — « qui héberge nos données RH ? », « ce prestataire américain a-t-il signé des clauses contractuelles types ? », « depuis quand conservons-nous ces CV ? ».

Qui doit tenir un registre ?

Toute organisation qui traite des données personnelles, quelle que soit sa taille, dès lors que le traitement n'est pas occasionnel. L'exemption des organismes de moins de 250 salariés (article 30 §5) est étroite : elle tombe si le traitement est régulier, s'il peut comporter un risque pour les droits et libertés, ou s'il porte sur des données sensibles. Une entreprise qui a des salariés a une paie ; qui a des clients a un fichier client. Les deux sont réguliers. En pratique, la quasi-totalité des PME doit tenir un registre.

Les sous-traitants ont leur propre obligation, distincte : voir le registre du sous-traitant (article 30 §2).

Que doit contenir chaque fiche ? Les 7 mentions obligatoires

1. a) le nom et les coordonnées du responsable du traitement, le cas échéant du responsable conjoint, du représentant et du délégué à la protection des données ;
2. b) les finalités du traitement ;
3. c) une description des catégories de personnes concernées et des catégories de données à caractère personnel ;
4. d) les catégories de destinataires auxquels les données ont été ou seront communiquées, y compris les destinataires dans des pays tiers ;
5. e) le cas échéant, les transferts vers un pays tiers ou une organisation internationale, avec l'identification de ce pays et, pour les transferts fondés sur l'article 49 §1 second alinéa, les garanties appropriées ;
6. f) dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données ;
7. g) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.

Sous quelle forme le tenir ?

L'article 30 §3 impose l'écrit, « y compris sous forme électronique ». Aucun format officiel n'est prescrit : un tableur, un PDF ou une base de données conviennent, tant que le document est complet, daté, et communicable à l'autorité de contrôle sur demande (article 30 §4). Ce qui compte est la capacité à démontrer qu'il reflète la réalité au moment du contrôle.

Vous pouvez partir d'un modèle de registre Excel, ou générer directement votre document avec notre générateur gratuit.

Que risque-t-on sans registre ?

Au-delà du plafond théorique, l'effet pratique est immédiat : un organisme qui ne produit pas son registre perd le bénéfice du dialogue avec l'autorité. Le contrôle bascule d'une logique d'accompagnement vers une logique de constat.

Comment le tenir à jour sans y passer ses journées

La difficulté n'est pas d'écrire le registre : c'est de le maintenir. Les outils changent, les équipes adoptent un nouveau service sans prévenir, un éditeur perd sa certification. Trois pratiques rendent le maintien tenable :

• Partir de l'usage réel plutôt que de la mémoire : la liste des SaaS effectivement ouverts dans le navigateur est une source plus fiable qu'un atelier annuel.
• Dater chaque vérification de transfert. Une certification DPF valide en janvier peut être retirée en juin.
• Horodater les modifications du registre : c'est la preuve de la tenue à jour, exigée en creux par l'article 5 §2.

C'est ce que fait RoPA Pilot : l'extension reconnaît les SaaS à leur nom de domaine — sans jamais lire vos pages — et transforme chaque outil détecté en fiche pré-remplie, avec le sous-traitant, le pays d'hébergement, le mécanisme de transfert et le lien DPA.

À lire ensuite