Registre RGPD : pourquoi l'article 30 vous oblige, même en TPE

Le registre, c'est quoi exactement

Le registre des activités de traitement est la cartographie de tout ce que votre entreprise fait avec des données personnelles. Chaque grande activité (la paie, le recrutement, la gestion des clients, la prospection, la vidéosurveillance, la newsletter) y figure sous forme de fiche décrivant pourquoi vous collectez ces données, lesquelles, sur qui, qui y a accès et combien de temps vous les gardez.

Ce document a deux fonctions. D'abord prouver votre conformité : le RGPD repose sur le principe de responsabilité, c'est à vous de démontrer que vous respectez les règles, et le registre est la pièce maîtresse de cette démonstration. Ensuite piloter : tenir le registre vous force à savoir précisément quelles données vous détenez, ce qui est la base de toute mise en conformité.

Le mythe de la dispense pour les moins de 250 salariés

On lit souvent que les entreprises de moins de 250 salariés sont dispensées de registre. C'est un raccourci trompeur. La dispense de l'article 30.5 ne vaut que pour les traitements occasionnels, qui ne portent pas sur des données sensibles et ne présentent pas de risque pour les personnes.

Or la paie, la gestion du personnel et le fichier clients sont des traitements réguliers, pas occasionnels. En pratique, presque aucune entreprise employant du personnel n'entre dans la dispense. La CNIL recommande d'ailleurs à tous les organismes de tenir un registre, et fournit un modèle de base. Pour une TPE ou une PME, la question n'est donc pas de savoir si le registre est obligatoire, mais comment le tenir simplement.

Ce que chaque fiche de traitement doit indiquer

Pour chaque activité, l'article 30 impose un contenu précis. Une fiche complète comporte au minimum :

Ce que vous risquez sans registre

Le registre est l'un des premiers documents qu'un agent de la CNIL demande lors d'un contrôle, et son absence signale immédiatement une non-conformité plus large. Les manquements au RGPD sont sanctionnés par des amendes administratives pouvant atteindre, pour les plus graves, 10 millions d'euros ou 2 pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Dans les faits, pour une PME, le risque immédiat n'est pas l'amende maximale mais la mise en demeure, le contrôle approfondi et l'atteinte à la réputation si une fuite de données survient sans que rien n'ait été documenté. Tenir le registre, c'est se donner les moyens de répondre sereinement.