Registre des traitements : ce que la CNIL regarde vraiment

Quand la CNIL ouvre un contrôle, elle ne commence pas par votre politique de confidentialité : elle demande votre registre des traitements. C'est la pièce qui dit ce que vous faites des données, et tout le reste s'y rattache. C'est aussi celle qui manque le plus souvent, ou qui existe dans une version figée, remplie un après-midi et jamais rouverte.

Ce que l'article 30 impose, ligne par ligne

Le registre du responsable de traitement doit mentionner, pour chaque traitement : les coordonnées du responsable et, le cas échéant, du délégué à la protection des données ; les finalités poursuivies ; les catégories de personnes concernées et de données ; les catégories de destinataires, y compris dans les pays tiers ; les transferts hors Union européenne avec leurs garanties ; les délais d'effacement prévus ; et une description générale des mesures de sécurité.

Deux de ces rubriques sont presque toujours bâclées. Les délais d'effacement d'abord : écrire « conservation selon la durée légale » ne veut rien dire, il faut une durée par finalité. Les destinataires ensuite : vos prestataires techniques en sont, et les oublier crée une incohérence immédiate avec votre liste de sous-traitants.

La dispense des moins de 250 salariés est un piège

Beaucoup de dirigeants retiennent qu'en dessous de 250 salariés, le registre n'est pas obligatoire. Le texte dit autre chose : la dispense tombe dès que le traitement n'est pas occasionnel, ou qu'il risque de porter atteinte aux droits des personnes, ou qu'il porte sur des données sensibles ou des condamnations.

Or un fichier clients, une paie, une newsletter ou des candidatures sont par nature des traitements réguliers. En pratique, la quasi-totalité des entreprises retombe donc dans l'obligation, et la CNIL le rappelle sans ambiguïté. Se croire dispensé est l'erreur la plus fréquente que nous voyons.

Un registre juste est un registre daté

Un registre n'a de valeur que s'il décrit ce que vous faites aujourd'hui. Un document produit il y a deux ans, sans trace de mise à jour, prouve surtout que personne ne s'en occupe. À l'inverse, un registre dont chaque entrée porte une date de dernière révision montre un suivi — et c'est ce suivi que l'article 5.2 appelle la responsabilité : vous devez être en mesure de démontrer, pas seulement d'affirmer.

La bonne question n'est pas « ai-je un registre ? » mais « puis-je montrer quand il a été mis à jour pour la dernière fois, et pourquoi ? ».

Par où commencer concrètement

• Listez vos traitements en partant de vos outils réels : CRM, comptabilité, paie, formulaire de contact, newsletter, recrutement, vidéosurveillance.
• Pour chacun, écrivez la finalité en une phrase compréhensible par quelqu'un d'extérieur, puis la base légale qui la justifie.
• Fixez une durée de conservation par finalité, pas une durée globale.
• Notez les destinataires, y compris vos prestataires, et repérez ceux établis hors UE.
• Datez chaque fiche, et prévoyez qui la relit et à quelle fréquence.

Ce travail prend une demi-journée pour une petite structure. Ce qui coûte cher, ce n'est pas de le faire : c'est de devoir le reconstituer sous pression, le jour où on vous le demande.