registre des traitements RGPD modèle
Le contenu exact exigé par l'article 30 du RGPD, les limites du modèle tableur de la CNIL — et la version pré-remplie selon votre secteur, prête en 15 minutes.
Le registre des traitements (article 30 du RGPD) décrit pour chaque traitement de données personnelles : finalité, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité. La CNIL publie un modèle Excel gratuit ; le pack MonKit Registre (12 €) le remplit pour vous selon votre secteur d'activité, en 15 minutes.
« Registre des traitements », « registre des activités de traitement » : derrière ces expressions se cache une obligation précise de l'article 30 du RGPD. Tout responsable de traitement doit documenter par écrit les traitements de données personnelles qu'il met en œuvre — fichier clients, paie, newsletter, formulaire de contact du site web. Ce document n'est pas publié : il doit pouvoir être présenté à la CNIL en cas de contrôle.
Un bon modèle de registre se présente comme un tableau : une ligne par traitement, des colonnes pour la finalité, les catégories de données, les personnes concernées, les destinataires, les éventuels transferts hors Union européenne, la durée de conservation et les mesures de sécurité. La CNIL propose un modèle Excel gratuit (via francenum.gouv.fr), complet mais réputé austère : chaque colonne suppose de connaître le vocabulaire du règlement.
Deux écueils reviennent chez les TPE : partir d'une page blanche et oublier la moitié des traitements, ou recopier un modèle trouvé en ligne sans l'adapter. Le pack MonKit Registre tranche le problème autrement : les traitements types de votre secteur sont déjà listés, avec bases légales et durées de conservation usuelles — vous vérifiez et complétez en 15 minutes au lieu de rédiger pendant des heures.
Mis à jour le 6 septembre 2026.
Pourquoi traitez-vous ces données ? Gestion des commandes, prospection, paie, fidélisation… L'article 30 impose une finalité par traitement, formulée clairement. C'est la colonne qui conditionne toutes les autres : elle détermine la base légale, les données réellement nécessaires et la durée de conservation.
Le registre décrit des catégories, pas les données elles-mêmes : « identité et coordonnées des clients », « données de connexion des visiteurs ». Les données sensibles (santé, opinions, convictions) doivent être identifiées comme telles — elles relèvent du régime renforcé de l'article 9.
Qui accède aux données : services internes, expert-comptable, hébergeur, éditeur SaaS. Chaque destinataire externe doit être listé, et les transferts hors Union européenne mentionnés avec leur encadrement juridique.
Chaque traitement a une durée de conservation définie : durée légale (10 ans pour les factures), durée recommandée par la CNIL (3 ans après le dernier contact pour la prospection) ou durée que vous justifiez. « Indéfinie » n'est pas une durée acceptable.
Le registre décrit les garanties générales : contrôle d'accès, mots de passe, chiffrement, sauvegardes. Une description de niveau général suffit — inutile de documenter votre architecture technique dans le détail.
Le registre est un document vivant : chaque nouveau traitement (nouvel outil, nouvelle campagne) doit y être ajouté. Un registre figé depuis des années vaut presque autant qu'une absence de registre lors d'un contrôle.
Le manquement à l'obligation de registre (art. 30) relève du premier plafond de sanctions du RGPD (art. 83.4) : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Lors de ses contrôles — y compris de TPE et d'associations — la CNIL vérifie l'existence du registre. Son absence débouche le plus souvent sur une mise en demeure, qui peut être rendue publique, avant toute amende.
La dispense prévue pour les organismes de moins de 250 salariés ne joue pas dès que les traitements ne sont pas occasionnels : la gestion de la clientèle, la paie ou une newsletter suffisent à rendre le registre obligatoire.
Non. Le registre est un document interne que vous tenez à disposition. Il n'est ni publié ni transmis, sauf si la CNIL le demande lors d'un contrôle — auquel cas vous devez pouvoir le produire sans délai.
Le registre (art. 30) est interne : il documente vos traitements pour vous et pour la CNIL. La politique de confidentialité (art. 13) est publique : elle informe les personnes concernées. Les deux se complètent, et le registre sert de socle pour rédiger la politique.
Juridiquement oui, s'il est correctement rempli. En pratique, sa prise en main est longue : il faut traduire son activité dans le vocabulaire du RGPD sans rien oublier. Les versions pré-remplies par secteur d'activité font gagner l'essentiel du temps.
Le RGPD exige une forme écrite, « y compris sous forme électronique ». Excel, CSV, PDF ou logiciel dédié sont acceptables, tant que le document est complet, à jour et présentable à la CNIL.
Le pack MonKit Registre (12 €) génère votre registre des traitements pré-rempli selon votre secteur : traitements types, bases légales et durées de conservation déjà renseignés, livré en PDF, DOCX et CSV compatible Excel. Paiement unique, pas d'abonnement.
