J’emploie moins de 250 salariés. Quels sont les traitements que je dois déclarer ?

En pratique, ces traitements restent très nombreux. L’inscription au registre est en effet requise dans tous les cas suivants :si le traitement est susceptible de comporter un risque pour les droits et des libertés des personnes concernées. Ce peut être le cas, par exemple, d’un système de vidéosurveillance ;si le traitement n’est pas occasionnel. Ce sera en pratique le cas de très nombreux traitements réalisés par la collectivité : gestion de la paie, des fournisseurs, liste des enfants scolarisés, etc. ;si certaines catégories de données sont concernées. En pratique, il s’agit ici des données dites « sensibles », qui incluent notamment les données de santé ;si le traitement comporte des données personnelles relatives à des condamnations pénales ou à d’autres infractions.En pratique donc, la souplesse est relative. Elle pourra concerner la liste des personnes ayant réservé un emplacement pour une brocante, par exemple, à condition que le traitement ne soit pas conservé au-delà du délai strictement utile, ou encore les données d’une campagne de communication lancée à l’occasion de l’ouverture d’un nouveau service ou du déménagement d’un établissement public.

Si par hasard la personne publique agissait en qualité de sous-traitante d’une entité tierce, faut-il tenir un seul registre ou deux ?

Les textes ne sont pas précis sur le sujet.Si vous choisissez de tenir un seul registre, celui-ci devra inclure une entrée ou vous indiquerez si vous agissez en tant que responsable de traitement ou sous-traitant.En pratique toutefois, pour des questions de lisibilité et eu égard au fait que les informations demandées sont pour partie différentes, la Cnil recommande de tenir deux registres distincts.

Quel est le risque encouru en l’absence de registre des traitements ?

Difficile de donner des indications très précises, mais l’obligation de tenue des registres de traitement fait partie de celles que la Cnil peut contrôler. Et le régulateur a déjà été amené à prononcer des sanctions à plusieurs reprises sur ce sujet.Il avait ainsi condamné en 2021 une structure ne disposant que d’un seul salarié à une amende de 3 000 € pour manquement à l’obligation de tenir un registre des traitements, malgré une mise en demeure préalable. D’autres manquements au RGPD avaient également été constatés dans ce cadre.Plus récemment, dans son communiqué du 8 octobre 2024, la Cnil a fait savoir qu’elle avait sanctionné deux sociétés de moins de 250 employés pour absence de registre des activités de traitement, les traitements en cause n’étant pas occasionnels. Le régulateur n’a pas rendu public le montant des amendes prononcées.

Quel est le risque si mon registre existe, mais est mal tenu ou incomplet ?

Le prononcé d’une amende est toujours possible dans ce cas de figure, car un registre non tenu à jour ou incomplet peut être considéré comme une absence de registre. Néanmoins, le régulateur français ne prononcera jamais de sanction financière sans avoir préalablement invité le responsable de traitement à se mettre en conformité, en lui imposant un délai pour ce faire.L’idéal toutefois est de ne pas se mettre en défaut et de réviser périodiquement son registre.

La création ou les modifications du registre des traitements doivent-ils être notifiés à la Cnil ?

Non. Le RGPD précise que ce registre doit être mis à la disposition de l’autorité de régulation (la Cnil en France) sur demande. Tout refus de le communiquer pourrait être qualifié d’entrave au contrôle.En revanche, il n’a pas à être notifié sur une base volontaire, ni lors de sa création, ni par la suite. Il s’agit davantage d’un outil d’autogestion que d’une aide au contrôle.

Le registre des traitements est-il un document communicable sur demande ?

Ce document est un document administratif communicable au sens du Code des relations entre le public et l’administration (CRPA). Il devra donc être transmis à toute personne qui en fait la demande.Il devra toutefois être occulté de toute information dont la divulgation pourrait porter atteinte aux secrets protégés par la loi, et notamment à la sécurité des systèmes d’information.

Fichepratique

Sommaire

1. Déterminer quand la création d’un registre des traitements est nécessaire
2. Créer et bien paramétrer le registre des traitements
3. Assurer la mise à jour du registre des traitements
4. S’assurer que les cocontractants et prestataires de la personne publique tiennent également un registre des traitements
5. Schéma

Notre conseil
Évitez les erreurs
FAQ
Aller plus loin

Outils et modèles (2)

Fiche associée (1)

NTIC

Créer et maintenir un registre des traitements de données

Réservé aux abonnés

Demande de devis Essai gratuit

Mis à jour le 5 janv. 2025 par Hélène Chalmeton | Coordonné par Hélène Chalmeton | Référence : 14414

L'essentiel par l'éditeur

Le registre des traitements de données est obligatoire pour toutes les personnes publiques, même avec moins de 250 employés. Il doit inclure des informations précises sur les traitements, les responsables et les mesures de sécurité. La Cnil propose un modèle adaptable pour faciliter sa mise en place. Un registre mal tenu peut entraîner des sanctions. Il est essentiel de le mettre à jour régulièrement et de s'assurer que les sous-traitants respectent également cette obligation.

Quand est-il obligatoire de créer un registre des traitements de données ?
Quelles informations doivent figurer dans un registre des traitements ?
Quels sont les risques en cas d'absence ou de mauvaise tenue du registre des traitements ?

Le règlement général sur la protection des données (RGPD) a créé de très nombreuses obligations à la charge des personnes publiques, pour la protection des données personnelles. Parmi celles-ci, figure l’obligation de tenir un registre des traitements de données.

Elle s’impose à la plus grande majorité des personnes publiques, et ce registre contient un nombre important d’informations, permettant un suivi rapproché des traitements. Sa mise en place nécessite donc un important effort initial, et assez souvent des échanges entre la personne chargée de l’instaurer et les services opérationnels. Le tenir à jour sera ensuite une gageure.

Toutefois, bien conçu et correctement exploité, cet outil permettra le pilotage de votre politique des données, et sera le premier document requis par la Commission nationale de l’informatique et des libertés (Cnil) en cas de contrôle.

Déterminer quand la création d’un registre des traitements est nécessaire

L’obligation de tenir un registre des traitements est très large. Elle concerne toutes les personnes publiques.

La seule souplesse accordée est celle des catégories de traitement à référencer, mais sur le principe la tenue d’un registre est toujours obligatoire.

Contenu réservé aux abonnés

Si vous êtes abonné, cliquez pour poursuivre la lecture

Il vous reste 88% à découvrir

Poursuivez la lecture
en profitant d'un essai gratuit (offre sans engagement)

Accédez à une base complète de fiches pratiques et d’outils & méthode
Bénéficiez d’un ensemble de solutions méthodologiques opérationnelles et juridiques
Notre IA juridique au service de votre pratique