Le registre des traitements RGPD : mode d'emploi

Une PME tech sollicitée par un grand compte reçoit un audit de conformité. Premier document réclamé : le registre des traitements. Le dirigeant pense en être dispensé, persuadé que le seuil de 250 salariés le protège. Cette croyance, très répandue, repose sur une lecture incomplète de l'article 30 du RGPD. La dérogation existe, mais elle tombe presque toujours.

L'essentiel en 30 secondes. Le registre des traitements de l'article 30 documente vos usages de données. La dérogation prévue pour les moins de 250 salariés est largement neutralisée par ses exceptions. En pratique, presque toutes les entreprises doivent tenir un registre, pièce maîtresse de leur conformité.

Une obligation centrale de l'article 30

L'article 30 du RGPD impose de documenter chaque traitement dans un registre. Ce document recense vos activités et démontre votre maîtrise des données que vous manipulez. Il constitue le socle de la responsabilité que le règlement met à votre charge, et le premier réflexe d'un auditeur ou de la CNIL.

Le règlement distingue deux registres. Le registre du responsable de traitement couvre les traitements dont vous définissez les finalités et les moyens. Le registre du sous-traitant recense les traitements que vous opérez pour le compte de vos clients. Une PME SaaS tient fréquemment les deux, selon qu'elle gère ses propres données ou celles de ses utilisateurs.

Cette double casquette désoriente parfois les éditeurs de logiciels. Vous êtes responsable pour vos salariés, vos prospects et votre comptabilité. Vous êtes sous-traitant pour les données que vos clients vous confient via votre plateforme. Distinguer ces deux rôles conditionne le contenu de chaque registre et la rédaction de vos contrats. Vos clients vous réclameront d'ailleurs la preuve de votre registre de sous-traitant lors de leur propre mise en conformité.

Le mythe du seuil de 250 salariés

L'article 30 prévoit une dérogation pour les organismes de moins de 250 salariés. Beaucoup s'y arrêtent et concluent à une dispense. La suite du texte vide pourtant cette dérogation de sa substance.

La dispense tombe dès que le traitement n'est pas occasionnel, dès qu'il présente un risque pour les droits des personnes, ou dès qu'il porte sur des données sensibles. Or les traitements d'une entreprise tech sont par nature récurrents : gestion des clients, des salariés, des prospects, exploitation d'une application. Ces traitements sortent du champ de la dérogation. En pratique, presque toutes les entreprises doivent donc tenir un registre, quelle que soit leur taille.

Cette lecture stricte n'est pas un excès de prudence. La CNIL considère le registre comme le premier indicateur de votre sérieux, et son absence pèse parmi les critères aggravants en cas de manquement. Plus encore, vos clients grands comptes le réclament systématiquement avant de contractualiser. Se retrancher derrière le seuil de 250 salariés expose donc à un double risque, réglementaire et commercial, sans réel bénéfice.

Le contenu exigé

Le registre du responsable de traitement comporte des mentions précises. Vous y indiquez les finalités de chaque traitement, les catégories de personnes concernées et les catégories de données traitées. Vous identifiez les destinataires des données et les éventuels transferts hors de l'Union européenne.

La précision des finalités conditionne la solidité de l'ensemble. Une finalité vague, du type « gestion commerciale », masque souvent plusieurs traitements distincts aux durées et aux bases légales différentes. Décrire chaque finalité avec exactitude force à clarifier ce que vous faites réellement des données. Cet exercice révèle les zones grises et oriente les corrections à apporter avant qu'un tiers ne les détecte.

Le registre précise aussi les durées de conservation envisagées et une description générale des mesures de sécurité. Ces durées méritent une attention particulière, car leur absence figure parmi les manquements les plus fréquemment relevés. Le registre du sous-traitant suit une logique voisine, adaptée à votre rôle d'exécutant pour le compte d'autrui.

Les transferts hors de l'Union européenne appellent une rigueur supplémentaire. Si vous hébergez des