Registre de traitement RGPD : modèle et guide de rédaction

Depuis l’entrée en vigueur du RGPD en 2018, toute entreprise qui traite des données personnelles doit tenir un registre des activités de traitement. Pourtant, selon une enquête de la CNIL, 60 % des PME françaises n’ont toujours pas de registre conforme en 2025. Ce document est pourtant le pilier central de la conformité RGPD. Voici un guide pratique pour le rédiger correctement.

L’obligation de tenir un registre de traitement

L’article 30 du RGPD impose à tout responsable de traitement de tenir un registre des activités de traitement effectuées sous sa responsabilité. Cette obligation s’applique à toutes les entreprises, quelle que soit leur taille.

Qui est concerné

Toute organisation qui traite des données personnelles est concernée :

• Entreprises de toute taille (TPE, PME, ETI, grands groupes)
• Associations et fondations
• Collectivités territoriales
• Professions libérales
• Sous-traitants qui traitent des données pour le compte d’un responsable de traitement

La dérogation pour les entreprises de moins de 250 salariés

Les entreprises de moins de 250 salariés bénéficient d’une dérogation partielle : elles n’ont l’obligation de recenser que les traitements non occasionnels, les traitements susceptibles de comporter un risque pour les droits et libertés des personnes, et les traitements portant sur des données sensibles ou des condamnations pénales.

En pratique, cette dérogation est très limitée car la gestion de la paie, des clients, de la comptabilité et du recrutement sont des traitements non occasionnels. La quasi-totalité des PME doit donc tenir un registre.

Le contenu obligatoire du registre

L’article 30 du RGPD énumère les informations obligatoires pour chaque traitement enregistré dans le registre.

Pour le responsable de traitement

Chaque fiche de traitement doit contenir :

• Le nom et les coordonnées du responsable de traitement (et le cas échéant du DPO)
• Les finalités du traitement : pourquoi les données sont collectées et traitées
• Les catégories de personnes concernées : clients, salariés, prospects, fournisseurs
• Les catégories de données personnelles traitées : identité, coordonnées, données bancaires, données de santé
• Les catégories de destinataires : services internes, sous-traitants, organismes publics
• Les transferts de données hors UE : pays de destination et garanties mises en place
• Les délais de conservation : durée de conservation prévue pour chaque catégorie de données
• Les mesures de sécurité : description des mesures techniques et organisationnelles

Pour le sous-traitant

Le sous-traitant doit tenir un registre complémentaire mentionnant le nom de chaque responsable de traitement pour le compte duquel il agit, les catégories de traitements effectués, les transferts hors UE et les mesures de sécurité.

Méthode de rédaction pas à pas

La rédaction du registre de traitement suit une méthodologie en cinq étapes.

Étape 1 : Cartographier les traitements

Recensez tous les traitements de données personnelles de votre entreprise. Interrogez chaque service : RH, commercial, comptabilité, marketing, IT, direction. Chaque collecte de données personnelles constitue potentiellement un traitement à enregistrer.

Étape 2 : Remplir une fiche par traitement

Pour chaque traitement identifié, rédigez une fiche complète contenant toutes les informations obligatoires listées ci-dessus. Soyez précis et concret : évitez les formulations vagues comme « à des fins commerciales ».

Étape 3 : Identifier la base légale

Chaque traitement doit reposer sur l’une des six bases légales prévues par le RGPD :

• Consentement : la personne a donné son accord explicite
• Contrat : le traitement est nécessaire à l’exécution d’un contrat
• Obligation légale : le traitement est imposé par la loi
• Intérêt vital : le traitement est nécessaire pour protéger la vie d’une personne
• Mission d’intérêt public : le traitement est réalisé dans l’intérêt public
• Intérêt légitime : le traitement est nécessaire aux intérêts légitimes du responsable

Étape 4 : Définir les durées de conservation

Pour chaque catégorie de données, définissez une durée de conservation justifiée. Appuyez-vous sur les obligations légales (5 ans pour les pièces comptables, 5 ans après le départ pour les dossiers du personnel) et les référentiels de la CNIL.

Étape 5 : Décrire les mesures de sécurité

Listez les mesures techniques (chiffrement, sauvegardes, contrôle d’accès, pare-feu) et organisationnelles (politique de mots de passe, sensibilisation des salariés, procédures de gestion des incidents) mises en place pour protéger les données.

Les traitements courants en PME

Voici les traitements de données personnelles les plus fréquents dans une PME :

• Gestion de la paie et des RH : données d’identité, coordonnées, numéro de sécurité sociale, données bancaires, situations familiales
• Gestion commerciale et CRM : données clients, historique d’achats, correspondances, réclamations
• Prospection commerciale : fichiers de prospects, campagnes emailing, formulaires de contact
• Comptabilité : données de facturation, coordonnées bancaires des clients et fournisseurs
• Vidéosurveillance : images des caméras de sécurité
• Gestion des accès : badges, contrôle d’accès, journaux de connexion
• Site web : cookies, formulaires de contact, newsletter, comptes utilisateurs
• Recrutement : CV, lettres de motivation, notes d’entretien

Outils et modèles disponibles

Plusieurs outils et modèles gratuits facilitent la rédaction du registre de traitement.

Le modèle de la CNIL

La CNIL propose un modèle de registre gratuit au format Excel, téléchargeables sur cnil.fr. Ce modèle contient les champs obligatoires et des exemples de fiches pré-remplies. C’est le point de départ recommandé pour toute PME.

Les logiciels de conformité RGPD

Pour les entreprises qui souhaitent aller plus loin, des logiciels de conformité RGPD proposent des fonctionnalités avancées : registre dynamique, cartographie des flux de données, gestion des demandes de droits, suivi des sous-traitants. Parmi les solutions adaptées aux PME : Witik, Data Legal Drive, Captain DPO, Dastra.

Tenir le registre à jour

Le registre n’est pas un document statique. Il doit être mis à jour à chaque nouveau traitement, modification d’un traitement existant ou suppression d’un traitement. Désignez un responsable de la mise à jour (le DPO ou un référent RGPD) et prévoyez une revue annuelle complète.

Questions fréquentes