Le registre des traitements : à quoi ça sert et comment le tenir

Qu'est-ce que le registre des traitements ?

Le registre est un inventaire de tous les traitements de données personnelles que vous mettez en œuvre : gestion des clients, prospection, recrutement, paie, mesure d'audience du site… Pour chacun, il décrit ce que vous collectez, pourquoi, pendant combien de temps et avec qui vous le partagez. Il matérialise le principe de responsabilité (accountability) : être capable de démontrer sa conformité.

Qui doit en tenir un ?

L'obligation découle de l'article 30 du RGPD. Une dispense partielle existe pour les organismes de moins de 250 salariés, mais elle tombe dès que les traitements ne sont pas occasionnels, qu'ils portent sur des données sensibles ou qu'ils présentent un risque — ce qui couvre en pratique la quasi-totalité des entreprises ayant des clients et des salariés. Autrement dit : dans le doute, tenez un registre.

Ce que doit contenir chaque fiche de traitement

• Le nom et la finalité du traitement (ex. « gestion des commandes »).
• La base légale (contrat, consentement, obligation légale, intérêt légitime…).
• Les catégories de personnes concernées (clients, prospects, salariés).
• Les catégories de données collectées (identité, coordonnées, données de paiement…).
• Les destinataires, internes et externes (sous-traitants).
• Les durées de conservation par catégorie de données.
• Les transferts hors UE éventuels et leurs garanties.
• Une description générale des mesures de sécurité.

Comment le construire simplement

Le registre, l'obligation la moins bien suivie

Le Baromètre France Num 2025 chiffre précisément ce déficit : seules 41 % des TPE tiennent un registre des traitements, contre 56 % des PME. C'est, avec la désignation d'un DPO ou référent, l'obligation la moins bien suivie des petites structures — probablement parce qu'elle ne se voit pas de l'extérieur, contrairement à un bandeau cookies ou des mentions légales manquantes.

Registre et audit technique : deux volets complémentaires

Le registre relève de l'organisation interne : il ne se vérifie pas depuis l'extérieur. Une analyse automatisée de votre site ne peut donc pas le contrôler — elle le signale comme un point à traiter manuellement. En revanche, l'analyse aide à alimenter le registre : en révélant les outils tiers réellement chargés (mesure d'audience, widgets, transferts hors UE), elle met en lumière des traitements et des destinataires parfois oubliés.

Les erreurs fréquentes dans un registre

• Un registre rempli une fois puis jamais mis à jour, qui ne reflète plus les outils réellement utilisés.
• Des fiches trop vagues (« gestion des clients ») sans base légale ni durée de conservation précisées.
• Des sous-traitants oubliés, en particulier les outils ajoutés par une autre personne de l'équipe sans en informer le responsable du registre.
• Un registre existant mais jamais consulté : il doit servir de référence active, pas seulement de document à présenter en cas de contrôle.

Exemple : une fiche de traitement entièrement remplie

Pour rendre le registre concret, voici un exemple illustratif (générique, à adapter à votre activité) d'une fiche pour le traitement « Gestion des commandes clients » d'un site e-commerce :

• Nom du traitement : gestion des commandes clients.
• Finalité : traiter, expédier et facturer les commandes passées sur le site.
• Base légale : exécution du contrat (vente à distance).
• Personnes concernées : clients ayant passé une commande.
• Données collectées : identité, adresse de livraison et de facturation, historique de commandes, données de paiement (via prestataire tiers, non stockées directement).
• Destinataires : équipe facturation/expédition, transporteur, prestataire de paiement.
• Durée de conservation : durée de la relation commerciale, puis délais légaux de conservation des factures.
• Transferts hors UE : aucun si les prestataires sont hébergés en UE, à préciser sinon.
• Mesures de sécurité : accès restreint à l'équipe concernée, hébergement chiffré, sauvegardes régulières.

Avec quel outil tenir son registre ?

Pour la grande majorité des TPE/PME, un tableur partagé — une ligne par traitement, une colonne par information attendue — suffit amplement : nul besoin d'un logiciel spécialisé pour démarrer. L'essentiel est que le document soit accessible à la personne qui doit le mettre à jour, et relu à intervalles réguliers plutôt que rédigé une fois puis oublié.

Des logiciels dédiés existent pour les organisations aux traitements plus nombreux ou plus complexes (plusieurs services, plusieurs sites, obligation de DPO) : ils facilitent le suivi des mises à jour et la génération d'exports, mais représentent un investissement rarement justifié pour une structure aux traitements simples.