Registre des traitements PME : outils, alternatives

Mis à jour le 27 octobre 2026.

Un dirigeant de PME qui cherche une alternative au registre poursuit deux objectifs : réduire une charge de tenue qu'il juge disproportionnée, et disposer d'une pièce à produire le jour où la CNIL écrit. Le second condamne le premier dès qu'on le traite en supprimant le document. Les conditions de la dispense et une fiche remplie rubrique par rubrique figurent dans l'exemple de registre rempli à partir du modèle de la CNIL. Cette page fait autre chose : elle met les quatre substituts réellement proposés — politique narrative, cartographie des flux, autoévaluation périodique, outil de pilotage — face aux mêmes critères, à savoir ce que chacun documente, ce qu'il laisse hors champ au regard des mentions de l'article 30.1, et sa valeur probante en cas de contrôle.

Le registre des traitements est-il obligatoire dans une PME ?

Oui dans la quasi-totalité des cas : l'article 30 du RGPD vise le responsable de traitement comme le sous-traitant, et la dispense des petites structures ne couvre que les traitements occasionnels.

L'article 30 du RGPD fixe sept mentions par traitement au paragraphe 1 et quatre au paragraphe 2 pour le sous-traitant. Le paragraphe 3 impose la forme écrite, y compris électronique ; le paragraphe 4 impose de mettre le registre à la disposition de l'autorité de contrôle sur demande.

Dérogation des moins de 250 salariés : ce que l'article 30.5 couvre réellement

L'article 30.5 écarte les obligations des paragraphes 1 et 2 pour « une entreprise ou une organisation comptant moins de 250 employés », puis les rétablit dans trois situations :

• Risque : le traitement est susceptible de comporter un risque pour les droits et des libertés des personnes concernées ;
• Caractère non occasionnel : le traitement n'est pas occasionnel ;
• Données sensibles : le traitement porte sur les catégories particulières de données de l'article 9.1, ou sur les données relatives aux condamnations pénales et aux infractions de l'article 10.

Le texte raisonne en nombre d'employés, pas en catégorie d'entreprise : la recommandation 2003/361/CE définit la PME par le cumul d'un effectif de moins de 250 personnes et d'un chiffre d'affaires annuel n'excédant pas 50 millions d'euros ou d'un total de bilan n'excédant pas 43 millions d'euros ; l'article 30.5 ignore ces seuils financiers. Le guide pratique RGPD de la CNIL et de Bpifrance illustre le traitement purement occasionnel par un fichier constitué pour une opération événementielle ponctuelle, comme l'inauguration d'une boutique. Une paie mensuelle, un fichier clients ou un suivi de candidatures tenus dans la durée n'entrent pas dans cette catégorie.

Simplification du RGPD pour les petites entreprises : l'état daté du projet européen

Au 27 octobre 2026, l'article 30 s'applique dans sa version consolidée : aucune modification n'allège l'obligation de registre.

Un projet de simplification est discuté au niveau européen. Tant qu'un texte modificatif n'est pas adopté et publié au Journal officiel de l'Union européenne, il ne produit aucun effet, et un contrôle porte sur le droit en vigueur au jour de la demande. Le considérant 13 du règlement rappelle l'intention initiale du législateur — « tenir compte de la situation particulière des micro, petites et moyennes entreprises » — sans créer d'exemption de principe.

Ce qui allège la tenue n'est pas le format du document, c'est la méthode. Notre méthode conduit l'inventaire en ateliers d'une à deux heures avec chaque responsable de service ; un registre hérité se reprend et se rationalise fiche par fiche, sans repartir de zéro. Autrement dit, une PME qui veut gagner du temps a intérêt à faire inventorier ses traitements service par service plutôt qu'à attendre un allègement. Quand il n'existe aucun registre, la mise en conformité passe avant le choix d'un outil comme avant celui d'un support documentaire de substitution.

Adapter le reporting sans renoncer à l'accountability : les questions à trancher avant de remplacer le registre

Avant de remplacer le registre, une PME doit vérifier qui, dans son organisation, assure les fonctions que ce document rend possibles.

L'article 5.2 du RGPD impose au responsable du traitement d'être « en mesure de démontrer » le respect des principes, et l'article 24 de mettre en œuvre des mesures techniques et organisationnelles réexaminées et actualisées si nécessaire. Le registre n'est pas la seule façon de démontrer ; il est la seule qui soit exigée par un texte. Quatre questions se tranchent avant tout arbitrage documentaire :

• Information des personnes : d'où sortent les finalités, les bases légales et les durées annoncées dans vos mentions des articles 13 et 14, si aucune fiche ne les porte ?
• Exercice des droits : comment retrouver, sous les articles 12 à 22, tous les traitements contenant les données d'une personne qui exerce son droit d'accès ou d'effacement ?
• Traitements à risque élevé : qui identifie les traitements relevant de l'article 35, sachant que la délibération n° 2019-118 du 12 septembre 2019 ne liste que douze types d'opérations pour lesquelles la CNIL n'estime pas une analyse d'impact nécessaire ?
• Mise à jour : quel circuit fait remonter un nouvel outil, un nouveau sous-traitant ou un nouveau flux hors Union européenne vers la documentation ?

Une organisation qui répond à ces quatre questions sans fiche de traitement reconstitue, de fait, un registre sous un autre nom.

Alternatives au registre des traitements : ce que chacune documente, ce qu'elle laisse hors champ

Les quatre alternatives documentent la conformité à des degrés différents ; aucune ne couvre les sept mentions de l'article 30.1.

Notre grille d'évaluation, celle de la CNIL, cote en cinq niveaux l'activité « Recenser et tenir à jour la liste des traitements » :

1. « Les services sont capables d'identifier les traitements de données personnelles qu'ils mettent en œuvre » ;
2. « Les traitements de données personnelles sont identifiés et/ou signalés de manière centralisée » ;
3. « Un registre des activités de traitement, conforme au RGPD, est tenu » ;
4. « La complétude et la qualité du registre sont régulièrement vérifiées » ;
5. « Le registre sert d'instrument de pilotage des actions relatives aux traitements de données personnelles ».

Une liste ou une cartographie sans registre conforme s'arrête au niveau 2 sur 5.

En pratique, chacune a son cas d'usage, à condition d'être adossée au registre. La politique de confidentialité et les mentions d'information se rédigent à partir du registre : la finalité, la base légale et la durée annoncées aux personnes sont celles de la fiche du traitement. Si vous ignorez où sont vos fichiers et quels prestataires y accèdent, commencez par la cartographie. L'autoévaluation, telle que nous la conduisons à l'audit, cote huit activités de la CNIL en cinq niveaux, à trois moments : avant la mission, à l'issue de l'audit et à terme. Si plusieurs services contribuent et que les outils changent souvent, prenez un outil de pilotage.

La politique de protection des données narrative : lisible en interne, incomplète au regard de l'article 30.1

Une politique narrative informe, elle ne documente pas : les articles 13 et 14 du RGPD régissent l'information des personnes, l'article 30 la documentation interne des traitements. Ces deux obligations ne se remplacent pas l'une l'autre. Les mentions d'information et la politique de confidentialité se rédigent d'ailleurs à partir du registre : la finalité, la base légale et la durée annoncées aux personnes sont celles de la fiche du traitement. Un texte d'information sans registre derrière n'a rien sur quoi s'appuyer. Le document narratif présente un second angle mort : il ne fait pas remonter les traitements candidats à une analyse d'impact au sens de l'article 35, parce qu'il décrit des pratiques d'ensemble et non des opérations identifiées une par une.

La cartographie des traitements : les flux de données, sans les finalités ni les durées de conservation

La cartographie des traitements ne remplace pas le registre de l'article 30 : elle décrit les flux, les supports et les applications, sans porter les finalités, les catégories de destinataires, les délais prévus pour l'effacement ni les transferts hors Union européenne avec l'identification du pays. La description des supports et des flux relève d'abord de la démarche sécurité : le guide de la sécurité des données personnelles de la CNIL y consacre sa fiche 20, « Analyse de risques ». Chez nous, la cartographie se produit à partir du registre stabilisé ; en dessous de cinq traitements, ou avec un seul service, elle n'apporte rien de plus que le registre. La méthode de recensement est détaillée dans notre parcours en six étapes pour cartographier les données.

L'autoévaluation RGPD périodique : une photographie datée, pas un inventaire tenu à jour

Une autoévaluation mesure le registre sans en tenir lieu : un niveau ne progresse que sur un acquis déjà en place, et une mesure inscrite au plan d'action justifie la cible visée, le niveau coté restant celui de la situation constatée. Telle que nous la conduisons à l'audit, elle cote huit activités de la CNIL sur cinq niveaux, à trois moments : avant la mission, à l'issue de l'audit, et à terme. Son produit est un écart daté entre la situation et la cible ; l'inventaire des traitements, lui, se tient ailleurs. Entre deux revues, un nouveau logiciel, un nouveau sous-traitant ou une nouvelle finalité ne laissent aucune trace. Un auto-diagnostic de conformité RGPD pour TPE et PME sert donc à cadrer un plan d'action, jamais à répondre à une demande de communication de l'autorité de contrôle.

Les outils de pilotage : ils allègent la tenue à jour du registre, ils ne la suppriment pas

Un outil ne change rien à l'obligation : il porte le registre, il ne s'y substitue pas, et il ne décide ni des finalités ni des durées de conservation à votre place. Ce qu'il apporte est de l'ordre de la tenue : centralisation des fiches, historique des modifications, rattachement des demandes de droits et des analyses d'impact aux traitements concernés. Pour une PME, trois traits départagent les solutions : l'hébergement dans l'Union européenne, les formats ouverts à l'export, la réversibilité complète. Le point de départ gratuit existe, avec le modèle de registre et le modèle simplifié en tableur réunis dans nos outils RGPD en libre accès. Sur nos missions, le registre, les demandes de droits et les analyses d'impact se pilotent dans IZIRO, dont les licences sont refacturées séparément.

Valeur probante : ce qu'une PME doit pouvoir produire pour démontrer sa conformité

Un registre écrit, y compris sous forme électronique : l'article 30.3 l'exige, et l'article 30.4 impose de le mettre à la disposition de l'autorité de contrôle sur demande.

La fiche de la CNIL sur le registre des activités de traitement, datée du 13 avril 2018, rappelle que le format est libre, papier ou électronique, et propose un modèle de registre de base au format ODS pour les petites structures. L'autorité française publie donc un modèle simplifié ; l'obligation de l'article 30 demeure entière. L'article 5.2 du RGPD impose d'être en mesure de démontrer le respect des principes : une politique de confidentialité, une cartographie ou un rapport d'audit complètent ce dossier de preuve sans remplacer le registre, les autres pièces attendues étant réunies dans notre liste des documents à présenter en cas de contrôle, et les traitements susceptibles d'engendrer un risque élevé appelant l'étude prévue à l'article 35 du RGPD, décrite dans notre page sur l'analyse d'impact relative à la protection des données.

Où ce verdict ne tient pas : une organisation de moins de 250 employés dont tous les traitements sont réellement occasionnels, sans risque pour les droits et libertés et sans données des articles 9 et 10 — une association qui constitue un fichier pour un événement unique, par exemple — relève de la dérogation de l'article 30.5 et n'a pas à tenir de registre pour ces traitements. Ce cas se vérifie traitement par traitement, et il disparaît dès la première paie. Il changerait aussi de périmètre si un texte modificatif européen était publié.

Ce qu'une PME doit pouvoir produire tient en une phrase : un inventaire écrit, exact à la date du contrôle, qui porte les finalités, les catégories de personnes et de données, les destinataires, les transferts, les durées et les mesures de sécurité. Le reste de la documentation s'en déduit. Si ce document n'existe pas ou date d'un projet ancien, c'est l'inventaire service par service qu'il faut reprendre : notre accompagnement de mise en conformité RGPD commence par l'atelier de démarrage, puis ce recensement en ateliers d'une à deux heures avec chaque responsable de service, un registre hérité se reprenant fiche par fiche.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus