Registre des traitements : modèle gratuit pour TPE

Vous avez entendu parler du registre des traitements sans être sûr d'en avoir besoin ni de ce qu'il doit contenir ? Voici l'essentiel, avec un exemple concret et un moyen de générer le vôtre en quelques minutes.

Le registre des traitements, c'est obligatoire pour vous ?

Dans la grande majorité des cas, oui — dès que votre entreprise collecte des données personnelles (nom, email, téléphone d'un client ou d'un prospect, par exemple), vous êtes considéré comme "responsable de traitement" au sens du RGPD.

Le règlement prévoit une exemption pour les structures de moins de 250 salariés, mais elle est plus étroite qu'il n'y paraît : elle ne s'applique que si le traitement est occasionnel, ne présente pas de risque pour les droits des personnes, et ne concerne pas de données sensibles (santé, origine, etc.). En pratique, la CNIL recommande à la quasi-totalité des TPE de tenir un registre, ne serait-ce que pour se couvrir en cas de contrôle ou de plainte d'un client.

Ce que doit contenir un registre des traitements

L'article 30 du RGPD fixe six éléments minimums pour chaque traitement de données que vous effectuez :

1. La finalité — pourquoi vous collectez cette donnée (ex. gestion commerciale, facturation, prospection)
2. Les catégories de données — quels types d'informations sont concernés (identité, coordonnées, données bancaires...)
3. Les personnes concernées — clients, prospects, salariés, fournisseurs...
4. La durée de conservation — combien de temps vous gardez la donnée avant suppression
5. Les mesures de sécurité — comment la donnée est protégée (accès restreint, mot de passe, hébergement...)
6. Les destinataires — qui d'autre a accès à la donnée (comptable, prestataire d'hébergement, outil d'emailing...)

Un exemple concret

Voici à quoi ressemble une ligne de registre pour une TPE de services qui gère une liste de clients :

Une entreprise a généralement plusieurs lignes de ce type : une pour les clients, une pour les prospects, une pour les salariés s'il y en a, etc.

Les erreurs les plus fréquentes chez les TPE

• Ne pas en avoir du tout — de loin le cas le plus répandu, souvent par simple méconnaissance de l'obligation
• Un registre fait une fois, puis jamais mis à jour — un nouveau logiciel, un nouveau salarié ou un nouveau prestataire doit s'y refléter
• Oublier les sous-traitants — l'hébergeur du site, l'outil d'emailing ou le CRM utilisé sont aussi des destinataires à documenter
• Confondre registre et politique de confidentialité — ce sont deux documents différents et complémentaires, pas interchangeables

Cet article a une visée informative et ne constitue pas un conseil juridique. Les documents générés par ConformiTPE sont une aide à la mise en conformité et ne remplacent pas l'avis d'un avocat.