registre RGPD obligatoire moins de 250 salariés
La fameuse « dispense des 250 salariés » existe dans le texte — mais ses trois conditions cumulatives la rendent quasi inapplicable. Le point factuel, sans exagération ni angélisme.
Oui, dans la quasi-totalité des cas. La dispense prévue par l'article 30.5 du RGPD pour les organismes de moins de 250 salariés exige que les traitements soient occasionnels, sans risque pour les droits et sans données sensibles — des conditions cumulatives qui excluent presque toute activité réelle (clients, paie, newsletter).
C'est l'une des idées reçues les plus tenaces du RGPD : « en dessous de 250 salariés, pas besoin de registre ». L'article 30, paragraphe 5, prévoit effectivement une dispense pour les organismes de moins de 250 salariés. Mais elle est assortie de trois conditions cumulatives : les traitements doivent être occasionnels, ne pas présenter de risque pour les droits et libertés des personnes, et ne pas porter sur des données sensibles ou des données relatives à des condamnations pénales.
Or un traitement « occasionnel » s'entend comme non régulier. La gestion d'un fichier clients, la paie des salariés, une newsletter mensuelle ou un simple formulaire de contact alimenté en continu sont des traitements réguliers : dès le premier, la condition tombe et le registre redevient obligatoire. En pratique, seule une organisation sans aucune activité récurrente pourrait en bénéficier.
La CNIL elle-même recommande à toutes les organisations, quelle que soit leur taille, de tenir un registre. Au-delà de l'obligation, c'est l'outil de base de la conformité : impossible de rédiger une politique de confidentialité sérieuse, ou de répondre à une demande de droit d'accès, sans savoir quels traitements vous menez.
Mis à jour le 6 septembre 2026.
Un traitement n'est occasionnel que s'il n'est pas régulier. Gérer ses clients, ses prospects ou ses salariés est par définition régulier : la dispense tombe dès le premier traitement courant de votre activité. Le seuil de 250 salariés ne protège donc presque personne.
Même un traitement rare peut exclure la dispense s'il présente un risque : profilage, géolocalisation, surveillance, données de paiement. Le seul doute raisonnable sur ce critère suffit à recommander la tenue du registre.
Santé (professions de soin, sport, bien-être), opinions, convictions, appartenance syndicale : dès qu'un traitement porte sur des données de l'article 9, la dispense ne s'applique pas, quel que soit l'effectif.
Condamnations pénales, infractions, mesures de sûreté : un organisme qui traiterait de telles données ne peut pas non plus bénéficier de la dispense de l'article 30.5.
La CNIL recommande le registre à toutes les organisations et publie un modèle gratuit. Son message est constant : la dispense est une exception étroite, pas la règle pour les petites structures.
L'article 30.2 impose aussi aux sous-traitants (agence web, prestataire informatique) de tenir le registre des traitements réalisés pour le compte de leurs clients — une obligation distincte, souvent ignorée.
Le manquement à l'obligation de registre (art. 30) relève du premier plafond de sanctions du RGPD (art. 83.4) : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Lors de ses contrôles — y compris de TPE et d'associations — la CNIL vérifie l'existence du registre. Son absence débouche le plus souvent sur une mise en demeure, qui peut être rendue publique, avant toute amende.
La dispense prévue pour les organismes de moins de 250 salariés ne joue pas dès que les traitements ne sont pas occasionnels : la gestion de la clientèle, la paie ou une newsletter suffisent à rendre le registre obligatoire.
Oui si elle gère régulièrement des adhérents, des donateurs ou des inscriptions : ce sont des traitements non occasionnels. La taille de l'organisme ne change rien dès lors que l'activité est régulière.
Oui. Un freelance qui gère ses clients, ses prospects ou sa newsletter traite des données de façon régulière : la dispense ne joue pas. Bonne nouvelle : pour une activité simple, le registre tient sur quelques lignes.
Le manquement à l'article 30 relève de l'article 83.4 du RGPD : amende jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. En pratique, la CNIL commence le plus souvent par une mise en demeure — mais l'absence de registre aggrave l'appréciation des autres manquements constatés.
Non. La tenue du registre incombe au responsable de traitement ; la désignation d'un délégué à la protection des données n'est obligatoire que dans les cas de l'article 37 (autorités publiques, traitements à grande échelle). Une TPE peut parfaitement tenir son registre elle-même.
Le pack MonKit Registre (12 €) génère votre registre des traitements pré-rempli selon votre secteur : traitements types, bases légales et durées de conservation déjà renseignés, livré en PDF, DOCX et CSV compatible Excel. Paiement unique, pas d'abonnement.
