Registre des traitements CNIL : exemple RGPD rempli

Mis à jour le 27 octobre 2026.

Le modèle de registre des traitements CNIL donne les rubriques ; il ne dit ni ce qu'on écrit dans chaque case, ni quels traitements d'une organisation doivent y entrer. L'article 30, paragraphe 5, du RGPD dispense de registre les organisations comptant moins de 250 employés, sauf si le traitement est susceptible de comporter un risque pour les droits et libertés des personnes, s'il n'est pas occasionnel ou s'il porte sur les données visées à l'article 9, paragraphe 1, ou à l'article 10 ; cette page détaille ces conditions et montre une fiche remplie, rubrique par rubrique, pour la gestion de la paie. Chaque chiffre externe cité ici a été relevé à sa source.

Le registre des activités de traitement : ce qu'impose l'article 30 du RGPD

L'article 30 du RGPD impose au responsable du traitement et au sous-traitant de recenser chaque activité de traitement dans un registre tenu par écrit, forme électronique comprise : sept mentions au paragraphe 30.1, quatre au paragraphe 30.2, et mise à la disposition de l'autorité de contrôle sur demande.

Le considérant 82 du règlement donne la raison d'être du document : le responsable du traitement ou le sous-traitant tient des registres « afin de démontrer qu'il respecte le présent règlement ». Le registre est une pièce de preuve avant d'être un inventaire, et c'est à ce titre que la CNIL le réclame. Sa construction suppose de trancher, pour chaque traitement, les mentions que l'article 30 du règlement (UE) 2016/679 rend obligatoires :

• Licéité : la base légale de chaque traitement.
• Finalité : un objectif déterminé, explicite et légitime.
• Minimisation : des données limitées à ce que la finalité exige.
• Conservation : le texte ou le besoin probatoire qui fonde chaque durée.
• Sécurité : les mesures techniques et organisationnelles en place.

Qui doit tenir un registre : la dispense des moins de 250 employés ne couvre presque personne

Toute organisation qui traite des données personnelles tient un registre : l'article 30.5 écarte l'obligation pour une entreprise ou une organisation comptant moins de 250 employés, sauf si le traitement comporte un risque pour les droits et libertés, s'il n'est pas occasionnel, ou s'il porte sur les données de l'article 9.1 ou de l'article 10.

Les trois conditions de l'article 30.5 qui font tomber la dispense

Le texte écarte l'obligation « sauf si le traitement qu'elles effectuent » :

• Est susceptible de comporter un risque pour les droits et des libertés des personnes concernées ;
• N'est pas occasionnel — une paie mensuelle, un fichier clients ou un suivi de candidatures tenus dans la durée ne le sont pas ;
• Porte sur des données sensibles, celles de l'article 9.1, ou sur des données relatives aux condamnations pénales et aux infractions de l'article 10.

La dispense ne vaut que si les trois situations sont écartées, traitement par traitement. Le considérant 13 du RGPD en donne l'intention — « tenir compte de la situation particulière des micro, petites et moyennes entreprises » — sans créer d'exemption de principe pour les PME. Une structure qui emploie des salariés sort du champ dès la première paie, et le registre y reste le moyen le plus simple de démontrer à l'autorité de contrôle que les trois conditions sont réunies.

Responsable de traitement et sous-traitant : deux registres, deux listes de mentions

Un prestataire informatique, une agence qui gère une base de contacts, un éditeur de logiciel en ligne agissent pour le compte de leurs clients : ils tiennent un registre du sous-traitant, distinct de celui de leurs propres traitements. Lorsqu'un organisme cumule les deux qualités, la fiche pratique de la CNIL sur le registre des activités de traitement recommande de tenir deux registres : « un pour les traitements de données personnelles dont vous êtes vous-même responsable, un autre pour les traitements que vous opérez, en tant que sous-traitant, pour le compte de vos clients ».

Les mentions obligatoires du registre, article 30.1 et article 30.2

L'article 30 fixe onze mentions : sept au paragraphe 30.1 pour le responsable du traitement, quatre au paragraphe 30.2 pour le sous-traitant, chacune relevée ci-dessous dans la formulation du texte consolidé.

Les neuf champs d'une fiche de traitement et ce qu'on inscrit dans chacun

Une fiche de traitement exploitable porte neuf champs : les sept mentions de l'article 30.1, la base légale et les informations de gestion. Chacun se remplit en une ou deux phrases vérifiables.

• Finalité : l'objectif, énoncé sans abstraction — gérer la paie, suivre les candidatures.
• Base légale : absente de la liste de l'article 30, elle démontre la licéité ; la paie repose sur une obligation légale, une newsletter sur le consentement ; le choix se raisonne traitement par traitement, selon la méthode pour choisir la base légale de chaque traitement.
• Personnes concernées : salariés, candidats, clients, prospects, fournisseurs, publics vulnérables signalés.
• Données traitées : des familles de données, pas chaque champ d'un fichier.
• Destinataires : services internes habilités et tiers qui reçoivent les données.
• Sous-traitants : ceux qui traitent sur instruction, avec le contrat de l'article 28.
• Transferts hors Union : pays et garantie ; l'absence de transfert s'écrit également.
• Mesures de sécurité : habilitations, chiffrement, sauvegardes, journalisation, en description générale.
• Informations de gestion : dans notre modèle de fiche de traitement, le service responsable, les services impliqués et le rôle de l'organisation, mentions qui relèvent de notre méthode et non de l'article 30.

Durées de conservation : une durée par catégorie, base active puis archivage

L'article 30.1.f exige « dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données ». Une durée unique par fiche ne tient donc pas : une même finalité porte souvent une durée d'usage courant et une durée d'archivage intermédiaire, fondée sur une obligation légale ou sur la valeur probatoire des pièces. Chaque durée s'écrit avec son point de départ — dernier contact, fin de contrat, clôture d'exercice — et, à défaut de valeur fixe, avec le critère qui la détermine. Les durées par catégorie et le texte qui les fonde sont réunis dans le tableau des durées de conservation des données. Notre règle vaut aussi en mission : aucune durée n'est inscrite au registre sans avoir été retrouvée dans un texte, un référentiel ou une délibération nommés et datés.

Exemple de registre des traitements rempli : la fiche « gestion de la paie »

La fiche « gestion de la paie » se remplit rubrique par rubrique : finalité, base légale, personnes concernées, catégories de données, destinataires, sous-traitants de l'article 28, durées, transferts et mesures de sécurité — le prestataire de paie y figure en sous-traitant, l'URSSAF en destinataire.

Modèle de registre CNIL et fiche de traitement à télécharger

La CNIL publie un modèle de registre simplifié en tableur, au format ouvert : une page récapitule les informations communes à l'organisme et chaque activité recensée reçoit sa propre fiche. Ce modèle fournit les rubriques, pas la liste des traitements de votre activité. Le modèle de l'autorité et sa version simplifiée sont réunis dans notre médiathèque d'outils gratuits de mise en conformité. Notre trame distingue en plus les sous-traitants des destinataires, décline les mesures de sécurité en trois volets (techniques, organisationnelles, accès physique) et mentionne les décisions automatisées : notre modèle de fiche de traitement, rubrique par rubrique.

Conduire l'inventaire des traitements service par service

Sur nos missions, l'inventaire se conduit en ateliers d'une à deux heures par responsable de service, regroupés sur une même journée quand c'est possible : chaque traitement y reçoit sa finalité, sa base légale, sa durée en base active, son archivage intermédiaire et son fondement, puis s'inscrit dans sa fiche.

1. Recenser les traitements : processus métiers, logiciels, formulaires de collecte, échanges avec des tiers.
2. Collecter en atelier : une trame commune interroge chaque service et formalise ses réponses sur place.
3. Structurer : une fiche par traitement, classée par finalité ou par service.
4. Faire valider : notre méthode conduit l'inventaire en ateliers d'une à deux heures avec chaque responsable de service, qui revoit les fiches des traitements de son périmètre.
5. Tenir à jour : un nouveau traitement entre au registre dès sa mise en œuvre.

Qui décrit les traitements : métiers, DSI, juridique, direction

L'inventaire se fait avec ceux qui mettent les traitements en œuvre. Les responsables métiers décrivent ce qu'ils gèrent au quotidien et valident leurs fiches. La DSI recense les applications, les flux et les prestataires : la cartographie applicative attendue par le guide d'hygiène informatique de l'ANSSI et l'inventaire exigé par l'article 30 se nourrissent l'un l'autre. Le service juridique examine les bases légales. La direction arbitre et porte la conformité, qui reste celle de l'organisation au titre de l'article 24 du RGPD. Le délégué à la protection des données informe, conseille et contrôle (article 39) sans recevoir d'instruction sur l'exercice de ses missions (article 38). Vous pouvez faire établir l'inventaire des traitements service par service, ou confier la tenue du registre à un délégué externe.

Les cinq points de vigilance : ce que l’inventaire oublie

Cinq sujets font les inventaires incomplets : les données sensibles, les transferts hors de l’Union, les sous-traitants, les durées non maîtrisées et les traitements que personne ne déclare.

• Données sensibles : les catégories particulières de l’article 9 (santé, données biométriques, opinions politiques, convictions religieuses…) et les données relatives aux infractions de l’article 10 se signalent dans la fiche, avec leur condition de licéité et des mesures de protection renforcées.
• Transferts hors de l’Union : un prestataire dont les serveurs sont situés hors de l’Union fait un transfert, qui s’inscrit avec la garantie qui l’encadre.
• Sous-traitants : chaque tiers qui traite des données pour l’organisation (hébergement, maintenance, envoi d’e-mails, paie externalisée) figure au registre, et son contrat répond à l’article 28 du RGPD.
• Durées non maîtrisées : des données gardées « au cas où », comme les CV de candidats non retenus, signalent une règle de purge ou d’archivage à écrire.
• Traitements oubliés : un fichier de contacts tenu dans une messagerie, un tableur gardé par un salarié, une liste d’inscrits à un événement sont des traitements, à inscrire comme les autres.

Les traitements que l'inventaire fait remonter de non déclaré

L'inventaire fait remonter ce que les outils officiels ne contiennent pas : fichiers tenus à part sur un poste ou un partage réseau, listes d'inscrits à un événement, envois de masse depuis une messagerie professionnelle, formulaires papier, dispositifs de vidéoprotection et de contrôle d'accès, annuaires de prestataires. Chacun est un traitement au sens du règlement et appelle sa fiche. En atelier, la question posée est : de quelles personnes gardez-vous une trace, et où. Les traitements portant sur des données de l'article 9 ou de l'article 10 se signalent dès cette étape : ils conditionnent la nécessité d'une analyse d'impact relative à la protection des données. Pour visualiser les flux avant de rédiger les fiches, voir la cartographie des données et des flux internes.

Mise à jour du registre des traitements : quels événements déclenchent une révision

Un nouveau traitement entre au registre de l'article 30 dès sa mise en œuvre, et une révision se déclenche à chaque changement de finalité, d'outil, de prestataire ou de durée, à chaque nouveau transfert hors Union, puis à l'échéance de revue que l'organisation s'est fixée.

• Nouveau traitement : nouvelle application, nouveau formulaire, nouvelle campagne ; la fiche se crée avant la première collecte.
• Changement de finalité : un fichier constitué pour un contrat et réutilisé en prospection devient un autre traitement.
• Changement d'outil ou de prestataire : la date du changement s'inscrit dans l'historique de la fiche.
• Nouveau transfert hors Union : pays de destination et garantie encadrant le transfert.
• Révision d'une durée : toute durée modifiée se réécrit au registre et dans l'information donnée aux personnes.
• Arrêt d'un traitement : la fiche se clôt avec sa date d'arrêt et le sort des données, elle ne s'efface pas.

Sur la reprise d'un registre existant, chaque fiche reprise se vérifie et ce qui manque se signale par écrit. Sur nos missions, le registre se tient dans IZIRO, avec les violations de données et les demandes de droits, licences refacturées séparément. Le registre n'est qu'une pièce d'un dossier plus large — analyses d'impact, encadrement des transferts hors Union, mentions d'information, contrats de sous-traitance, procédure de violation : voir la documentation à réunir pour démontrer sa conformité au RGPD.

Exploiter le registre au quotidien

Un registre tenu à jour sert à décider : il désigne les actions prioritaires, les traitements qui appellent une analyse d’impact et les données à retrouver quand une personne exerce ses droits, et il se met à la disposition de la CNIL sur demande (article 30.4).

• Prioriser les actions : supprimer des données obsolètes, sécuriser un traitement, mettre un contrat de sous-traitance en conformité avec l’article 28.
• Repérer les traitements qui appellent une analyse d’impact relative à la protection des données (AIPD).
• Répondre aux demandes d’exercice des droits (accès, rectification, opposition) en sachant où se trouvent les données.
• Démontrer la conformité lors d’un contrôle de la CNIL.

Communication du registre à la CNIL et sanctions de l'article 83 du RGPD

Le responsable du traitement ou le sous-traitant « mettent le registre à la disposition de l'autorité de contrôle sur demande » : un manquement à l'article 30 relève de l'article 83.4, qui plafonne l'amende à 10 000 000 EUR ou, dans le cas d'une entreprise, à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.

Le registre est la première pièce demandée lors d'un contrôle sur pièces : il donne à l'autorité la liste de ce qu'elle peut ensuite vérifier. Le montant n'est pas automatique : le règlement commande de tenir compte « de la nature, de la gravité et de la durée de la violation et de ses conséquences, ainsi que des mesures prises pour garantir le respect des obligations », méthode détaillée dans les lignes directrices 04/2022 du CEPD sur le calcul des amendes administratives, version 2.1 du 24 mai 2023. La Cour de justice de l'Union européenne a jugé, dans l'arrêt Deutsche Wohnen SE du 5 décembre 2023 (affaire C-807/21), qu'une amende ne peut être imposée que s'il est établi que le responsable du traitement a commis la violation « délibérément ou par négligence ». C'est là que pèse un registre tenu, daté et validé : il est la trace qui s'oppose à la qualification de négligence.

Où ce verdict ne tient pas : un registre complet ne vaut pas conformité. Il décrit des traitements sans les rendre licites ni proportionnés — une fiche parfaitement remplie peut documenter une collecte sans base légale. Et la dispense de l'article 30.5, étroite mais réelle, protège la structure de moins de 250 employés dont aucun traitement n'est régulier, risqué ou sensible.

Risques et conséquences : au-delà de l’amende

Ne pas disposer d’un registre conforme peut entraîner :

• une remise en cause de la crédibilité de l’organisme en matière de protection des données ;
• l’impossibilité de justifier de la licéité des traitements en cas de litige ou de plainte d’une personne concernée ;
• une dégradation de la relation avec les partenaires, soucieux de la conformité des sous-traitants ou des co-responsables.

Sans registre, il devient difficile d’identifier les risques, de les documenter ou de mettre en œuvre des mesures correctives.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus