Registre des Traitements RGPD

Définition

Le Registre des Traitements RGPD est un document obligatoire, imposé par l'article 30 du RGPD, que doit tenir et maintenir à jour la quasi-totalité des organisations traitant des données personnelles, à l'exception d'une dérogation limitée pour les entreprises de moins de 250 salariés dont le traitement ne présente pas de risque particulier et n'est pas régulier au sens du règlement, une exemption rarement applicable en pratique tant les traitements de gestion RH ou clients courants sont considérés comme réguliers. Ce registre recense de façon exhaustive et structurée chaque activité de traitement de données personnelles menée par l'organisation, qu'elle agisse en qualité de responsable de traitement ou de sous-traitant, en documentant pour chacune : sa finalité précise, les catégories de données personnelles concernées et de personnes visées, les destinataires internes ou externes auxquels les données sont communiquées, les éventuels transferts hors Union européenne et les garanties associées, les durées de conservation appliquées, ainsi qu'une description générale des mesures de sécurité techniques et organisationnelles mises en œuvre pour protéger ces données. Le registre constitue la pièce documentaire centrale de toute démonstration de conformité (accountability) exigée par le RGPD, systématiquement demandée en premier lieu par la CNIL lors d'un contrôle et sert également de base à la conduite des analyses d'impact (DPIA) lorsque nécessaire.