Votre entreprise collecte des données clients, gère des fichiers RH ou utilise des outils de prospection ? Vous êtes probablement concerné par l'obligation de tenir un registre des traitements, et son absence peut vous coûter cher.
L'article 30 du RGPD impose à presque toutes les organisations de documenter leurs activités de traitement de données personnelles. Pourtant, en 2026, près de 40 % des PME françaises n'ont toujours pas mis en place ce registre, selon le dernier rapport de la CNIL. Pourquoi cette obligation est-elle si souvent négligée ? Parce qu'elle semble complexe, chronophage, et réservée aux grandes entreprises. Spoiler : ce n'est pas le cas.
Dans cet article, nous démystifions le registre des traitements : qui est vraiment obligé de le tenir, ce qu'il doit contenir ligne par ligne, et surtout, comment le créer sans y passer des semaines. Nous vous proposons également des modèles prêts à l'emploi par secteur d'activité, pour que vous puissiez vous mettre en conformité dès aujourd'hui.
1. Qui est obligé de tenir un registre des traitements ?
Contrairement à une idée reçue, le registre des traitements ne concerne pas uniquement les grandes entreprises. L'article 30 du RGPD distingue deux cas de figure :
Entreprises de plus de 250 salariés
- Obligation automatique : Dès lors que vous employez plus de 250 personnes, vous devez tenir un registre des traitements, sans exception.
- Exemples : Grandes entreprises, administrations, hôpitaux, universités.
Entreprises de moins de 250 salariés
- Obligation conditionnelle : Vous devez tenir un registre si vos traitements :
- - Présentent un risque pour les droits et libertés des personnes (ex. : profilage, surveillance systématique) ;
- - Sont non occasionnels (ex. : gestion de la paie, prospection commerciale) ;
- - Concernent des données sensibles (ex. : santé, opinions politiques, données biométriques).
- Exemples : TPE, startups, associations, cabinets médicaux, agences web.
Bon à savoir : Même si vous n'êtes pas obligé de tenir un registre, la CNIL recommande vivement de le faire. Cela vous permet de prouver votre conformité en cas de contrôle et de mieux maîtriser vos traitements de données.
2. Que doit contenir un registre des traitements ?
Le registre des traitements n'est pas un simple inventaire : c'est un document structuré qui doit répondre à des exigences précises. Voici ce que la CNIL et l'article 30 du RGPD imposent pour chaque traitement répertorié :
| Élément obligatoire | Description | Exemple |
|---|---|---|
| Finalité du traitement | Objectif poursuivi par le traitement (ex. : gestion des clients, prospection commerciale). | « Gestion des commandes et livraisons » |
| Catégories de données | Types de données personnelles collectées (ex. : identité, coordonnées, données bancaires). | « Nom, prénom, adresse e-mail, numéro de téléphone » |
| Catégories de personnes concernées | Groupes de personnes dont les données sont traitées (ex. : clients, prospects, salariés). | « Clients particuliers » |
| Catégories de destinataires | Personnes ou organisations auxquelles les données sont communiquées (ex. : sous-traitants, partenaires). | « Prestataire logistique, service comptable » |
| Durée de conservation | Durée pendant laquelle les données sont conservées, ou critères utilisés pour la déterminer. | « 3 ans après la dernière commande » |
| Mesures de sécurité | Mesures techniques et organisationnelles mises en place pour protéger les données. | « Chiffrement des données, accès restreint, sauvegardes quotidiennes » |
| Transferts hors UE | Pays vers lesquels les données sont transférées, et garanties associées (ex. : clauses contractuelles types). | « États-Unis (via Privacy Shield 2.0) » |
| Base légale | Fondement juridique du traitement (ex. : consentement, contrat, intérêt légitime). | « Exécution d'un contrat » |
Pour les sous-traitants, le registre doit également inclure :
- Les coordonnées du responsable de traitement : Nom et contact de l'organisation pour laquelle le sous-traitant agit.
- Les catégories de traitements effectués : Description des activités réalisées pour le compte du responsable de traitement.
- Les transferts hors UE : Pays de destination et garanties associées, le cas échéant.
Attention : Le registre doit être actualisé régulièrement. Une version obsolète peut être considérée comme une absence de registre par la CNIL.
3. Modèles de registre des traitements par activité
Pour vous aider à démarrer, voici des exemples concrets de registres adaptés à différents secteurs d'activité. Ces modèles sont inspirés des recommandations de la CNIL et peuvent être adaptés à votre situation.
3.1. Modèle pour un site e-commerce
| Finalité | Catégories de données | Personnes concernées | Durée de conservation |
|---|---|---|---|
| Gestion des commandes | Nom, prénom, adresse, e-mail, téléphone, données bancaires | Clients | 5 ans (obligation fiscale) |
| Prospection commerciale | Nom, prénom, e-mail, historique des achats | Clients et prospects | 3 ans après le dernier contact |
| Gestion des livraisons | Nom, prénom, adresse, numéro de téléphone | Clients | 1 an après la livraison |
| Analyse des comportements d'achat | Historique des commandes, données de navigation (cookies) | Clients et visiteurs | 13 mois (durée de vie des cookies) |
Pour aller plus loin sur la prospection commerciale, consultez notre article : Prospection B2B et RGPD : email, LinkedIn, téléphone, le tableau de ce qui est légal en 2026.
3.2. Modèle pour un service RH
| Finalité | Catégories de données | Personnes concernées | Durée de conservation |
|---|---|---|---|
| Gestion de la paie | Nom, prénom, numéro de Sécurité sociale, coordonnées bancaires, bulletins de paie | Salariés | 5 ans (obligation légale) |
| Recrutement | CV, lettres de motivation, coordonnées, résultats des entretiens | Candidats | 2 ans (sauf accord du candidat) |
| Gestion des formations | Nom, prénom, historique des formations, évaluations | Salariés | Durée du contrat + 5 ans |
| Gestion des absences | Nom, prénom, motifs d'absence, certificats médicaux | Salariés | 3 ans après la fin du contrat |
La CNIL renforce ses contrôles sur les pratiques de recrutement en 2026. Pour en savoir plus, lisez notre article : Recrutement et RGPD : la CNIL passe à l'action en 2026, êtes-vous prêt ?.
3.3. Modèle pour un cabinet médical
| Finalité | Catégories de données | Personnes concernées | Durée de conservation |
|---|---|---|---|
| Gestion des dossiers patients | Nom, prénom, date de naissance, antécédents médicaux, résultats d'examens | Patients | 20 ans après la dernière consultation |
| Facturation et remboursements | Nom, prénom, numéro de Sécurité sociale, coordonnées bancaires | Patients | 10 ans (obligation légale) |
| Prise de rendez-vous | Nom, prénom, numéro de téléphone, motif de consultation | Patients | 1 an après le dernier rendez-vous |
| Suivi des vaccinations | Nom, prénom, historique vaccinal | Patients | 30 ans (obligation légale) |
3.4. Modèle pour une association
| Finalité | Catégories de données | Personnes concernées | Durée de conservation |
|---|---|---|---|
| Gestion des adhérents | Nom, prénom, adresse, e-mail, cotisations | Adhérents | 5 ans après la fin de l'adhésion |
| Organisation d'événements | Nom, prénom, coordonnées, inscriptions | Participants | 1 an après l'événement |
| Communication interne | Nom, prénom, e-mail, rôle dans l'association | Bénévoles et salariés | Durée du mandat + 1 an |
| Collecte de dons | Nom, prénom, coordonnées bancaires | Donateurs | 5 ans (obligation fiscale) |
4. Comment créer et tenir à jour son registre des traitements ?
Créer un registre des traitements peut sembler fastidieux, mais avec une méthode claire et les bons outils, cela devient beaucoup plus simple. Voici les étapes à suivre :
4.1. Identifier tous vos traitements de données
Commencez par lister toutes les activités de votre organisation qui impliquent un traitement de données personnelles. Pour cela :
- Auditez vos processus : Passez en revue chaque service (RH, marketing, comptabilité, etc.) et identifiez les traitements de données qu'ils effectuent.
- Interrogez vos outils : CRM, logiciels de paie, outils de prospection, sites web… Tous ces outils traitent des données personnelles.
- Consultez vos sous-traitants : Si vous externalisez certains traitements (ex. : hébergement, envoi d'e-mails), demandez-leur quelles données ils traitent pour votre compte.
4.2. Structurer le registre
Une fois vos traitements identifiés, organisez-les dans un tableau ou un outil dédié. Voici un exemple de structure :
| Traitement | Finalité | Catégories de données | Base légale | Durée de conservation |
|---|---|---|---|---|
| Gestion des clients | Suivi des commandes | Nom, prénom, adresse, e-mail | Exécution d'un contrat | 5 ans |
| Prospection commerciale | Envoi de newsletters | Nom, prénom, e-mail | Consentement | 3 ans |
4.3. Utiliser un outil pour simplifier la tâche
Tenir un registre à jour manuellement peut rapidement devenir ingérable, surtout si vos traitements évoluent fréquemment. Heureusement, des outils comme RGPDKit permettent de :
- Générer automatiquement votre registre : En répondant à quelques questions, l'outil crée un registre conforme à l'article 30 du RGPD.
- Mettre à jour facilement : Ajoutez ou modifiez des traitements en quelques clics, sans tout recommencer.
- Exporter en format PDF ou Excel : Pour le présenter à la CNIL en cas de contrôle.
- Bénéficier de modèles prêts à l'emploi : Adaptés à votre secteur d'activité.
Générez votre registre des traitements en quelques minutes
RGPDKit vous guide pas à pas pour créer un registre conforme à l'article 30 du RGPD, adapté à votre activité.
4.4. Mettre à jour régulièrement
Le registre des traitements n'est pas un document figé. Vous devez le mettre à jour :
- À chaque nouveau traitement : Dès que vous lancez une nouvelle activité impliquant des données personnelles (ex. : mise en place d'un chatbot, lancement d'une campagne de prospection).
- Lors de modifications : Si un traitement existant évolue (ex. : changement de sous-traitant, nouvelle finalité).
- Au moins une fois par an : Pour vérifier que toutes les informations sont toujours à jour.
5. Quelles sont les sanctions en cas d'absence de registre ?
L'absence de registre des traitements est l'un des manquements les plus fréquemment sanctionnés par la CNIL. Voici ce que vous risquez :
Amende maximale en cas d'absence de registre des traitements (article 83.4.a du RGPD).
En pratique, les sanctions varient selon la gravité du manquement et la taille de l'organisation. Voici quelques exemples concrets :
| Organisation | Manquement | Sanction | Date |
|---|---|---|---|
| Optical Center | Absence de registre des traitements | 250 000 € | 2018 |
| Sergic | Registre incomplet et non mis à jour | 400 000 € | 2019 |
| Carrefour France | Registre non conforme et absence de coopération avec la CNIL | 2,25 M€ | 2020 |
| Amazon Europe | Absence de registre pour certains traitements | 35 M€ | 2021 |
Pour un tableau complet des amendes RGPD par type de manquement, consultez notre article : Amendes RGPD : le tableau par type de manquement (sanctions CNIL réelles).
Attention : La CNIL peut également imposer des mesures correctives, comme l'obligation de mettre en conformité votre registre sous un délai donné, sous peine de sanctions supplémentaires.
Questions fréquentes
Un auto-entrepreneur doit-il tenir un registre des traitements ?
Oui, si ses traitements présentent un risque pour les droits des personnes, sont non occasionnels, ou concernent des données sensibles. Par exemple, un auto-entrepreneur qui gère un site e-commerce ou une base de clients doit tenir un registre.
Le registre des traitements doit-il être public ?
Non, le registre n'a pas à être rendu public. Cependant, il doit être présenté à la CNIL en cas de contrôle. Certaines informations, comme les finalités des traitements, doivent figurer dans votre politique de confidentialité.
Comment présenter son registre à la CNIL en cas de contrôle ?
La CNIL peut vous demander de lui présenter votre registre lors d'un contrôle. Vous devez pouvoir le fournir sous format papier ou numérique (PDF, Excel, etc.). Assurez-vous qu'il est à jour et complet.
Que faire si je découvre que mon registre est incomplet ?
Si vous constatez que votre registre est incomplet ou obsolète, mettez-le à jour sans délai. Documentez les modifications apportées et, si possible, informez la CNIL de votre démarche corrective. Cela peut atténuer les sanctions en cas de contrôle.
Un registre des traitements peut-il être tenu sous format papier ?
Oui, le RGPD n'impose pas de format spécifique. Cependant, un format numérique (Excel, PDF, outil dédié) est fortement recommandé pour faciliter les mises à jour et la présentation à la CNIL.
Dois-je inclure les traitements effectués par mes sous-traitants dans mon registre ?
Non, vous n'avez pas à inclure les traitements effectués par vos sous-traitants dans votre registre. En revanche, vous devez vérifier qu'ils tiennent leur propre registre (article 30.2 du RGPD) et lister leurs coordonnées dans votre registre.
Quelle est la différence entre un registre des traitements et un registre des activités de traitement ?
Il s'agit de la même chose. Le RGPD utilise le terme « registre des activités de traitement » (article 30), mais on parle couramment de « registre des traitements » pour simplifier.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.
Rédaction assistée par IA. Cet article a été préparé avec l’aide d’outils d’intelligence artificielle, à partir de sources juridiques publiques (textes officiels, délibérations de la CNIL), puis relu avant publication. Les références citées peuvent être vérifiées directement auprès des sources indiquées. Il ne constitue pas un conseil juridique personnalisé.