Le registre des activités de traitement est un document écrit, prévu par l’article 30 du RGPD, dans lequel un organisme recense et décrit chacun des traitements de données personnelles qu’il met en œuvre.
Le registre est tenu par le responsable de traitement et, pour les opérations qu’il réalise pour le compte de ses clients, par le sous-traitant. Il se présente comme un ensemble de fiches, une par activité de traitement. Pour le responsable de traitement, chaque fiche comprend des informations détaillées sur le traitement effectué : finalités, catégories de personnes concernées et de données traitées, destinataires, transferts hors de l’Union européenne, délais d’effacement et description générale des mesures de sécurité. Le registre mentionne aussi les coordonnées de l’organisme et, le cas échéant, celles de son DPO. Le registre du sous-traitant recense ses clients, les catégories de traitements effectués pour chacun, ses propres sous-traitants et ses mesures de sécurité.
La forme est libre, papier ou électronique. Le registre est un document interne, mais il doit pouvoir être communiqué à la CNIL sur demande. L’obligation vise tous les organismes, publics ou privés. Ceux de moins de 250 salariés bénéficient d’une dérogation étroite : ils inscrivent au moins les traitements non occasionnels, ceux qui présentent un risque pour les personnes et ceux qui portent sur des données sensibles.
Le registre se distingue de la politique de confidentialité, qui informe les personnes concernées, et du contrat de sous-traitance, qui fixe les obligations d’un prestataire. En marketing, il couvre notamment la gestion de la relation client, la prospection, les jeux-concours, la mesure d’audience et les campagnes confiées à des prestataires.
Le registre est souvent rempli une fois, au moment d’un audit de conformité, puis oublié. C’est une erreur de lecture. Pour une direction marketing, c’est le seul document qui dit quelles données circulent, vers quels outils et quels prestataires, et pour combien de temps. Nous le considérons comme un outil de pilotage : il permet de répondre vite à une demande d’exercice de droits, de cadrer un nouveau prestataire ou de repérer des doublons d’outils.
Selon la page de la CNIL consacrée au registre, le règlement n’exige qu’une forme écrite. La CNIL propose un modèle simplifié au format tableur, conçu pour les petites structures et couvrant le socle de l’article 30. Elle conseille de l’enrichir. Elle précise que la dérogation des moins de 250 salariés ne vise que des cas très particuliers, occasionnels et sans risque. En cas de doute, le traitement est inscrit. Un organisme à la fois responsable de traitement et sous-traitant tient, selon sa recommandation, deux registres distincts. Les organismes publics communiquent leur registre à toute personne qui le demande, après occultation des informations sensibles.
Quelques repères de pilotage, que nous proposons sans qu’ils soient des normes :
Advalians défend vos intérêts de maître d’ouvrage sur vos projets CRM, site ou intranet : besoin formalisé, prestataires choisis sur des critères explicites, budget tenu.
Advalians, cabinet de conseil indépendant en marketing et communication, vous aide à clarifier vos choix et à décider.
Le registre est un document interne qui décrit chaque traitement pour piloter la conformité. La politique de confidentialité est un document public qui informe les personnes concernées de l’usage de leurs données et de leurs droits. Les deux doivent concorder : une finalité annoncée au public sans fiche au registre signale un traitement non documenté.
En pratique, partez du registre pour rédiger ou réviser la politique de confidentialité. Vérifiez ensuite, finalité par finalité, que les durées de conservation et les destinataires annoncés sont identiques dans les deux documents.
Commencez par lister les finalités, pas les outils : prospection, fidélisation, jeux-concours, événements, mesure d’audience, publicité en ligne. Pour chacune, réunissez le responsable métier et la personne chargée de la conformité. Renseignez les catégories de personnes et de données, les destinataires, les transferts hors de l’Union européenne, les durées de conservation et les mesures de sécurité.
Rattachez ensuite chaque prestataire à sa fiche et vérifiez qu’un contrat de sous-traitance existe. Le modèle simplifié de la CNIL suffit pour démarrer. Prévoyez une revue au moins à chaque nouvel outil ou nouvelle campagne.
Comparez-le à la réalité de vos outils. Dressez la liste des logiciels et des prestataires marketing payés sur les douze derniers mois, puis vérifiez que chacun apparaît dans au moins une fiche. Contrôlez aussi la date de dernière modification de chaque fiche et la présence d’une durée de conservation chiffrée.
Un bon test consiste à simuler une demande d’accès d’un client. Si l’équipe ne retrouve pas, à partir du registre, tous les outils où figurent ses données, le registre est incomplet. Ce test peut être répété chaque semestre.
Non, dans la plupart des cas. La dérogation prévue pour ces organismes est étroite : ils doivent inscrire les traitements non occasionnels, ceux qui présentent un risque pour les droits et libertés des personnes et ceux qui portent sur des données sensibles. Selon la CNIL, la dérogation ne vise que des cas très particuliers.
Or la gestion des clients, la prospection et la paie sont des traitements récurrents. Elles doivent donc figurer au registre. En cas de doute sur un traitement, inscrivez-le : une fiche de plus coûte moins qu’une lacune constatée lors d’un contrôle.
Un tableur suffit tant que le nombre de traitements reste limité et qu’une seule personne le tient. Le règlement n’impose qu’une forme écrite, et la CNIL met à disposition un modèle au format tableur.
Passez à un outil dédié lorsque plusieurs équipes contribuent, que vous êtes aussi sous-traitant pour des clients ou que vous devez suivre les analyses de risque et les contrats associés. Le critère de choix est la capacité à garder un historique des modifications et à attribuer chaque fiche à un propriétaire identifié.
Modèles, grilles et guides prêts à l’emploi pour vos projets marketing et communication.
