Guide pratique — RGPD et registre des traitements
Oui, pour la quasi-totalité des entreprises — y compris les TPE et les indépendants. La dispense pour les petites structures ne vaut que pour les traitements occasionnels, et un simple formulaire de contact est un traitement régulier. Qui est concerné, que doit contenir le registre, où trouver un modèle, et ce que risquent ceux qui s'en passent.
Le registre des traitements est obligatoire en vertu de l'article 30 du RGPD. Obligatoire sans condition pour les organisations de 250 salariés et plus ; pour les plus petites, la dispense ne s'applique que si les traitements sont occasionnels, sans risque et sans données sensibles — un cas théorique rarement rencontré, car un formulaire de contact, une newsletter ou un fichier clients sont des traitements réguliers. Le registre est un document interne, non publié, qui doit pouvoir être présenté à la CNIL. Son absence est sanctionnable jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires.
Le registre des activités de traitement est la cartographie de tout ce que votre entreprise fait des données personnelles. Imposé par l'article 30 du RGPD (règlement européen 2016/679), il liste, traitement par traitement, pourquoi vous collectez des données, lesquelles, qui y a accès, combien de temps vous les gardez et comment vous les protégez.
C'est le document fondateur de l'« accountability » — le principe de responsabilité du RGPD : vous devez être capable de démontrer votre conformité, pas seulement la déclarer. Le registre est la première pièce de cette démonstration. Il est tenu par écrit, y compris sous forme électronique (un tableur ou un document structuré suffit), et il doit être tenu à jour au fil de l'évolution de vos traitements.
Point important, souvent mal compris : le registre est un document interne. Il ne se publie pas sur votre site. Mais il doit pouvoir être communiqué à la CNIL dès qu'elle le demande — et c'est justement l'un des premiers documents réclamés lors d'un contrôle.
La règle de l'article 30 est simple : toute organisation qui traite des données personnelles doit tenir un registre. Il existe une seule dispense, prévue au paragraphe 5, pour les organisations de moins de 250 salariés — et elle est beaucoup plus étroite qu'on ne le croit. Elle ne s'applique que si vos traitements remplissent toutes ces conditions :
Or, dès qu'une condition tombe, le registre redevient obligatoire. Et en pratique, la première suffit à éliminer presque toutes les TPE : un formulaire de contact alimente un traitement régulier des demandes, une newsletter repose sur une liste d'abonnés utilisée en continu, un fichier clients, des commandes ou une prise de rendez-vous en ligne sont des traitements permanents par nature. La CNIL elle-même indique que les traitements de gestion courants — clients, prospects, ressources humaines — ne sont pas occasionnels.
Conclusion pratique : la dispense « moins de 250 salariés » ne protège en réalité presque personne. Une micro-entreprise avec un site vitrine et un formulaire de contact est concernée. Un artisan qui gère ses devis et factures dans un tableur l'est aussi. Pour savoir ce que votre site collecte réellement — formulaires, traceurs, contenus tiers — le plus simple est de le passer au scan gratuit : il dresse l'inventaire qui sert de base au registre.
L'article 30.1 du RGPD fixe la liste des informations obligatoires. Pour chaque traitement (gestion des contacts, newsletter, commandes, paie, mesure d'audience…), le registre doit indiquer :
Si vous faites appel à des sous-traitants (hébergeur web, outil de newsletter, CRM), ceux-ci doivent tenir de leur côté leur propre registre des traitements effectués pour le compte de leurs clients (article 30.2) — c'est leur obligation, pas la vôtre, mais le vôtre doit les identifier comme destinataires.
L'absence de registre — ou un registre incomplet ou non tenu à jour — est un manquement aux obligations du responsable de traitement. L'article 83.4 du RGPD le range dans le premier niveau de sanctions : une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (le montant le plus élevé). Le plafond supérieur de 20 millions d'euros ou 4 % du chiffre d'affaires est réservé aux manquements les plus graves (principes de base, droits des personnes, transferts internationaux).
Ces plafonds visent en pratique les grandes entreprises. Pour une TPE, le déroulé réaliste est : une plainte d'un client ou d'un visiteur (la saisine de la CNIL est gratuite), un contrôle, et un rappel à l'ordre ou une mise en demeure publique — la CNIL nomme l'entreprise dans ses communiqués. Le registre est presque toujours le premier document demandé, car il permet au contrôleur d'orienter la suite du contrôle. Ne pas pouvoir le produire est un mauvais départ : c'est le signe d'une méconnaissance générale des obligations, et cela incite à regarder le reste de plus près.
Références : règlement (UE) 2016/679, articles 30 et 83.4 ; site de la CNIL (cnil.fr), fiche pratique « Le registre des activités de traitement ».
Un registre de TPE tient souvent sur une page, avec une ligne par traitement. Exemple pour un artisan avec un site vitrine :
Pour aller plus loin, la CNIL met à disposition un modèle de registre gratuit (fiche pratique et tableur téléchargeable), ainsi qu'une foire aux questions dédiée aux TPE et PME. C'est la référence officielle : si vous partez d'un modèle, partez de celui-là.
Attention à la limite classique du modèle vierge : il faut le remplir avec vos traitements réels, pas des exemples génériques. Un registre qui mentionne des outils que vous n'utilisez pas — ou qui oublie votre formulaire de contact — est un registre inexact, donc non conforme. L'inventaire préalable de ce que votre site collecte est l'étape qui fait la différence.
La démarche tient en trois étapes :
C'est exactement ce que livre le kit MonKitLégal : notre scan gratuit dresse l'inventaire des traitements de votre site, puis le kit à 9 € génère un registre des traitements pré-rempli — votre entreprise est identifiée automatiquement via la base SIRENE (dénomination, SIRET, adresse), et les traitements détectés par le scan sont déjà décrits avec leurs finalités et durées types. Mentions légales, politique de confidentialité, CGU/CGV et bandeau cookies conforme CNIL sont inclus dans le même prix : le socle complet, pas un seul document.
Oui, dans la très grande majorité des cas. La dispense prévue par l'article 30.5 du RGPD pour les organisations de moins de 250 salariés ne s'applique que si les traitements sont occasionnels, sans risque pour les droits et libertés et sans données sensibles. Or un formulaire de contact, une newsletter, un fichier clients ou des commandes en ligne sont des traitements réguliers par nature : ils ne sont pas occasionnels. Un indépendant avec un simple site vitrine et un formulaire de contact est donc concerné.
Non. Le registre est un document interne : il ne se publie pas. Il doit être tenu à jour et pouvoir être présenté à la CNIL en cas de contrôle, qui peut le demander à tout moment. C'est ce qui le distingue de la politique de confidentialité, qui elle est publique et doit être accessible depuis toutes les pages du site. Les deux documents sont complémentaires : le registre cartographie vos traitements pour vous et l'autorité de contrôle, la politique de confidentialité informe vos visiteurs.
Le RGPD exige seulement que le registre soit tenu par écrit, y compris sous forme électronique : un tableur ou un document structuré convient parfaitement pour une TPE. La CNIL met d'ailleurs gratuitement à disposition un modèle de registre téléchargeable sur son site. L'essentiel est qu'il contienne pour chaque traitement les informations de l'article 30.1 : finalités, catégories de personnes et de données, destinataires, transferts hors UE, durées de conservation et mesures de sécurité — et qu'il soit réellement tenu à jour.
Ce sont deux documents différents et complémentaires. La politique de confidentialité est publique : elle informe vos visiteurs et clients de ce que vous faites de leurs données (articles 12 et 13 du RGPD). Le registre des traitements (article 30) est interne : il cartographie tous vos traitements — finalités, données, destinataires, durées, sécurité — et doit pouvoir être présenté à la CNIL. En pratique, les deux se recoupent : la politique de confidentialité est en quelque sorte la version publique du registre, limitée aux traitements qui concernent les personnes extérieures.
L'absence de registre est un manquement à l'article 30 du RGPD, sanctionnable par une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (article 83.4). Pour une TPE, le scénario réaliste est un contrôle de la CNIL à la suite d'une plainte, avec un rappel à l'ordre ou une mise en demeure — le registre est l'un des premiers documents demandés lors d'un contrôle, car c'est lui qui permet à la CNIL d'orienter la suite. Son absence est aussi interprétée comme le signe d'une méconnaissance générale des obligations, ce qui n'arrange pas la suite du dossier.
Le scan gratuit liste ce que votre site collecte en 2 minutes — la base du registre. Le kit à 9 € génère ensuite le registre pré-rempli via la base SIRENE — avec mentions légales, politique de confidentialité, CGU/CGV et bandeau cookies inclus.
Analyser mon site gratuitement