Une obligation qui concerne la plupart des organismes

La constitution et le maintien d’un registre est une obligation prévue à l’article 30 du RGPD. Elle s’applique à tous les organismes qui traitent des données personnelles de façon régulière dans le cadre de leurs activités.

Le registre des traitements doit permettre d’identifier précisément :

• les parties prenantes qui interviennent dans le traitement des données ;
• les catégories de données traitées,
• à quoi servent ces données ;
• qui y accède et à qui elles sont communiquées ;
• combien de temps elles sont conservées ;
• comment elles sont sécurisées.

Pour les sous-traitants qui gèrent des données personnelles pour le compte d’un autre organisme, le règlement prévoit également la tenue d’un registre. Celui-ci doit comprendre notamment la liste des activités réalisées pour le compte de leurs clients

Un outil essentiel de la conformité

Au-delà du respect de l’obligation légale, la tenue du registre permet de recenser, comprendre et maîtriser son patrimoine de données personnelles. Sa constitution et sa tenue sont l’occasion de se poser les bonnes questions et de limiter les risques au regard du RGPD. Il s’agit donc d’une étape essentielle pour respecter les obligations du RGPD, qui permettra de déduire un plan d’action de mise en conformité aux règles de protection des données.

Enrichi d’informations complémentaires, il peut constituer un véritable outil de pilotage de la conformité au RGPD.

Des modèles pour faciliter la tenue du registre

Pour faciliter la tenue de ce registre, la CNIL propose un modèle de registre de base (formats RTF et PDF), destiné à répondre aux besoins les plus courants en matière de traitements de données, en particulier des petites structures (TPE/PME, associations, petites collectivités, etc.). Il fera l’objet d’améliorations sur la forme dans les prochaines semaines, afin notamment de prendre en compte les retours d’expériences des usagers et des réseaux professionnels qui l’utiliseront.

Une page d’information détaillée sur le registre accompagne la publication de ce modèle.