TL;DR
L'art. 30, § 5 exonère les organisations de moins de 250 salariés — sauf si le traitement est susceptible de comporter un risque, OU n'est pas occasionnel, OU porte sur des catégories particulières ou des données relatives aux condamnations. Les trois conditions sont alternatives. La paie n'est pas occasionnelle et contient des données de santé : deux s'appliquent d'un coup.
L'erreur est dans le mot « ou »
L'art. 30, § 5 dispense de registre les organisations comptant moins de 250 employés « sauf si le traitement qu'elles effectuent est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte notamment sur les catégories de données visées à l'article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10 ». Trois conditions reliées par « ou ». Le Groupe de l'art. 29 l'a précisé expressément dans sa prise de position du 19 avril 2018 : ce sont des alternatives, et une seule suffit à faire tomber l'exemption.
« Non occasionnel » clôt la discussion presque à chaque fois
Est occasionnel le traitement qui n'a pas lieu régulièrement, ne fait pas partie de l'activité ordinaire et n'a pas de caractère durable. La paie se fait tous les mois. La gestion des clients ne s'arrête pas. Les candidatures arrivent toute l'année. Aucun n'est occasionnel, et l'exemption est déjà tombée, quel que soit l'effectif. Ajoutez les arrêts maladie et la réserve relative aux catégories particulières de l'art. 9, § 1 s'applique aussi.
- L'exemption n'est jamais totale : elle couvrirait tout au plus les traitements qui ne remplissent aucune des trois conditions. Pour tous les autres, le registre reste dû — une organisation en tient donc soit un partiel, soit un complet.
- L'art. 30, § 1 énumère le contenu minimal : nom et coordonnées, finalités, catégories de personnes concernées et de données, catégories de destinataires, transferts hors UE avec leurs garanties, délais d'effacement et description générale des mesures de l'art. 32, § 1.
- Le sous-traitant tient également son propre registre (art. 30, § 2), au contenu différent : y figurent les responsables pour le compte desquels il agit, non les finalités.
- Art. 30, § 4 : le registre est mis à la disposition de l'autorité sur demande. En pratique, c'est le premier document réclamé.
Ce qu'un modèle ne fait pas
Un modèle fournit les colonnes, pas le contenu. Les deux champs sur lesquels les registres achoppent systématiquement ne se recopient pas : la durée de conservation, qui varie selon la catégorie de données et l'ordre juridique, et les mesures de l'art. 32, qui doivent correspondre à la technique réellement employée. Un registre où l'on lit partout « durées légales » ne répond pas à la question : il l'esquive.
Le conseil pratique pour l'accompagnement : ne pas ouvrir la discussion sur les 250. Elle coûte une demi-heure et se termine toujours de la même façon. Plus utile est la question de savoir quels traitements existent et combien de temps les données restent — car c'est là que la réponse manque, et c'est exactement ce que demande l'autorité.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
