DPO WorkspaceEssai gratuit

Guide pratique · Art. 30 RGPD

Registre des traitements : obligation, contenu et comment le tenir sans désordre

Le registre des traitements est la cartographie de toutes les opérations par lesquelles un organisme traite des données à caractère personnel — et le premier document que la CNIL demande lors d'un contrôle. L'article 30 du RGPD en fixe le contenu et la forme ; la pratique quotidienne, surtout pour un DPO qui suit plusieurs clients, détermine s'il devient un outil de travail vivant ou un tableur oublié.

La CNIL met à disposition un modèle de registre et un guide pratique, utiles pour un premier organisme. Mais un traitement récent en illustre les limites : depuis sa délibération n° 2026-042, la CNIL qualifie le pixel de suivi dans les emails de traceur au sens de l'article 82 de la loi Informatique et Libertés — une ligne de plus à documenter dans le registre de chaque client, avec sa propre base juridique de consentement.

Contenu obligatoire selon l'article 30.1

  • Finalités du traitement
  • Catégories de personnes concernées et de données
  • Catégories de destinataires
  • Transferts vers des pays tiers et garanties
  • Délais de conservation
  • Mesures de sécurité techniques et organisationnelles (description générale)

Le sous-traitant tient un registre symétrique pour les traitements effectués pour le compte de chaque responsable (art. 30.2 RGPD).

Tableur contre logiciel dédié

TableurDPO Workspace
Échéances de revue avec rappel
Un registre par client, au même endroit
Lien avec l'AIPD, les violations et les documents
Historique des versions pour le contrôle
Export pour le responsable ou la CNIL

Le registre, pour chaque client, avec les bonnes échéances

Dans DPO Workspace, chaque client dispose de son propre registre selon l'article 30, relié aux documents, à l'AIPD et aux violations — chaque échéance avec son fondement légal, pas un chiffre arbitraire. Essai gratuit de 30 jours, sans carte bancaire.

Essayer gratuitement

Questions fréquentes

Le registre des traitements est-il obligatoire pour les petites structures ?

L'article 30, paragraphe 5, du RGPD dispense formellement les organismes de moins de 250 salariés — mais les exceptions à cette dispense (traitement non occasionnel, données sensibles, traitement à risque) s'appliquent presque toujours en pratique : employés, clients et fournisseurs ne relèvent pas d'un traitement occasionnel. En pratique, la quasi-totalité des entreprises françaises tiennent donc un registre.

Que doit contenir le registre du responsable de traitement ?

Pour chaque activité de traitement (art. 30.1) : les finalités ; les catégories de personnes concernées et de données ; les catégories de destinataires ; le cas échéant, les transferts vers des pays tiers avec leurs garanties ; les délais de conservation ; une description générale des mesures de sécurité techniques et organisationnelles. À cela s'ajoutent les coordonnées du responsable, des responsables conjoints, du représentant et du DPO.

Un tableur suffit-il pour tenir le registre ?

Formellement oui : le RGPD exige un écrit, y compris sous forme électronique, et la CNIL propose d'ailleurs un modèle de registre simple. En pratique, ce modèle fonctionne tant qu'il y a peu de traitements et un seul responsable. Avec plusieurs clients, des revues périodiques et des liens vers l'AIPD et les violations de données, le tableur devient le point faible de la conformité.

Quelle différence entre le registre du responsable et celui du sous-traitant ?

Le responsable de traitement documente SES PROPRES activités de traitement (art. 30.1) ; le sous-traitant documente les catégories de traitements qu'il effectue POUR LE COMPTE de chaque responsable (art. 30.2). Un même organisme peut devoir tenir les deux registres : comme responsable pour ses employés et clients, comme sous-traitant pour les prestations rendues à d'autres.

Qui contrôle le registre des traitements en France ?

La CNIL, dans le cadre de ses pouvoirs de contrôle sur pièces ou sur place. Le registre est en général le premier document demandé, avant même l'examen des traitements eux-mêmes.

Un registre vivant, pas un tableur oublié

Registre art. 30, AIPD, violations, documents et échéances de chaque client sur une seule plateforme.

Essai gratuit