Le registre des activités de traitement recense les fichiers de données personnelles d’une entreprise : à quoi ils servent, qui y figure, qui y accède, combien de temps les données sont gardées, comment elles sont protégées. L’article 30 du RGPD l’impose. Les entreprises de moins de 250 salariés bénéficient d’une dérogation, mais elle est étroite : elles inscrivent malgré tout les traitements non occasionnels, ceux qui présentent un risque pour les droits et libertés des personnes, et ceux qui portent sur des données sensibles. Un fichier tenu en continu, comme la paie ou le fichier clients, n’est pas occasionnel.
Qui le tient
- Le responsable de traitement : l’entreprise qui décide de créer un fichier et de son usage.
- Le sous-traitant : l’entreprise qui traite des données pour le compte de ses clients, par exemple un cabinet de paie ou un hébergeur.
Une entreprise qui joue les deux rôles tient, selon la recommandation de la CNIL, deux registres. Chacun tient le sien : le registre ne se délègue pas à un prestataire.
Ce que contient chaque fiche
Pour un responsable de traitement, une fiche par traitement, avec notamment :
- les finalités du traitement ;
- les catégories de personnes concernées : salariés, clients, prospects, fournisseurs ;
- les catégories de données traitées ;
- les catégories de destinataires ;
- les transferts de données hors de l’Union européenne ;
- les délais d’effacement ;
- une description générale des mesures de sécurité.
Pour un sous-traitant, le registre recense les catégories d’activités effectuées pour le compte de chaque client, l’identité de ces clients et celle des sous-traitants auxquels il fait appel.
Forme et contrôle
- Le RGPD impose seulement une forme écrite : papier ou fichier électronique.
- Le registre est communiqué à la CNIL quand elle le demande.
- Une entreprise privée n’a pas à le communiquer au public. Cette obligation vise les organismes publics.
Le modèle de la CNIL
La CNIL propose un modèle de registre au format ODS, dit simplifié, destiné aux besoins les plus courants des petites structures. Les anciens modèles en RTF et en PDF existent encore, mais ne sont plus mis à jour : partez du fichier ODS.
Les traitements à inscrire en premier
Dans une TPE-PME, l’inventaire commence par les fichiers que l’entreprise utilise chaque semaine :
- la gestion du personnel et la paie, à rapprocher du registre unique du personnel ;
- le fichier clients et la facturation, concernés par la facture électronique ;
- la prospection commerciale ;
- les outils de signature, d’archivage et de messagerie, dont la signature électronique ;
- la vidéosurveillance ou le contrôle d’accès, s’ils existent.
La routine à mettre en place
- Lister les logiciels et les fichiers qui contiennent des noms, des adresses, des numéros ou des données de paie.
- Ouvrir une fiche par finalité dans le modèle de la CNIL.
- Fixer une durée de conservation pour chaque fiche.
- Décrire les mesures de sécurité : accès par mot de passe, sauvegardes, droits d’accès.
- Mettre la fiche à jour à chaque nouvel outil ou nouveau prestataire.
- En cas de doute sur un traitement, l’inscrire : c’est la recommandation de la CNIL.
Ne manquez rien !
Recevez les dernieres actualites business, finance et lifestyle directement dans votre boite mail.
