Registre des traitements RGPD : qui doit le tenir et 3 exemples remplis pour une TPE

Le 8 octobre 2024, la CNIL a annoncé avoir sanctionné deux sociétés de moins de 250 salariés pour absence de registre des activités de traitement. Leur petite taille ne les protégeait pas : leurs traitements n’étaient pas occasionnels, et l’exemption prévue pour les petites structures ne s’applique alors plus.

On croit le registre réservé aux grands groupes. Pour une boutique en ligne ou un consultant, il tient pourtant en trois ou quatre fiches : voici trois exemples remplis, prêts à adapter.

Qu’est-ce qu’un registre des traitements RGPD ?

Le registre des traitements (ou registre des activités de traitement) est l’inventaire écrit de toutes les opérations que votre entreprise réalise sur des données personnelles, avec pour chacune sa finalité, les données utilisées, leurs destinataires et leur durée de conservation. Il est imposé par l’article 30 du RGPD et doit être présenté à la CNIL si elle le demande.

Un « traitement », c’est un usage de données organisé autour d’un objectif : gérer les commandes, envoyer une newsletter, payer les salariés. Un même fichier clients qui sert à livrer et à prospecter donne deux fiches, car bases légales et durées diffèrent.

Le registre sert à trois choses concrètes :

• prouver votre conformité lors d’un contrôle, sans tout reconstituer dans l’urgence ;
• alimenter votre politique de confidentialité, qui reprend une grande partie de ses informations ;
• repérer les angles morts : un outil américain que personne n’avait signalé, des données conservées sans limite, un prestataire sans contrat.

Que doit contenir le registre des traitements ?

Pour chaque traitement, le registre du responsable de traitement indique les finalités, les catégories de personnes et de données, les destinataires, les transferts hors Union européenne, les délais d’effacement et une description générale des mesures de sécurité, ainsi que les coordonnées de l’entreprise. Le sous-traitant tient un registre plus court, organisé par client.

Le registre est tenu par écrit, forme électronique comprise (art. 30.3), et mis à la disposition de l’autorité de contrôle sur demande (art. 30.4) : rien n’oblige à le publier, et le format est libre.

Ne confondez pas les mentions « dans la mesure du possible » avec une option. Pour les durées, une fiche sans durée est le premier signal que vous gardez tout indéfiniment, ce que l’article 5 du RGPD interdit au titre de la limitation de la conservation.

Une TPE de moins de 250 salariés doit-elle tenir un registre ?

Oui, presque toujours. L’article 30.5 dispense les structures de moins de 250 salariés, mais l’exemption tombe dès qu’un traitement n’est pas occasionnel, présente un risque pour les personnes ou porte sur des données sensibles ou pénales : la gestion des clients, des prospects ou de la paie suffit à la faire tomber.

Les trois exceptions sont alternatives : une seule suffit. Et la première condition, « pas occasionnel », écarte à elle seule l’essentiel de l’activité d’une entreprise. La CNIL le dit sans détour sur sa page consacrée au registre : doivent être inscrits « les traitements non occasionnels (exemple : gestion de la paie, gestion des clients/prospects et des fournisseurs, etc.) ». Elle ajoute que la dérogation « est donc limitée à des cas très particuliers de traitements » et recommande, en cas de doute, de l’intégrer au registre.

Concrètement, qu’est-ce qui reste occasionnel ? Un jeu-concours unique organisé une fois, un salon où vous avez collecté quelques cartes de visite sans suite. Votre boutique Shopify qui reçoit des commandes chaque semaine, votre agenda de rendez-vous, votre fichier de factures : non.

flowchart TD
  A["Vous traitez des données personnelles"] --> B{"250 salariés ou plus ?"}
  B -->|Oui| R["Registre obligatoire"]
  B -->|Non| C{"Traitement régulier ?"}
  C -->|Oui| R
  C -->|Non| D{"Données sensibles ou pénales ?"}
  D -->|Oui| R
  D -->|Non| E{"Risque pour les personnes ?"}
  E -->|Oui| R
  E -->|Non| F["Dispense possible pour ce traitement"]

Le seuil de 250 salariés va-t-il passer à 750 ?

Peut-être, mais pas encore. La Commission européenne a proposé en mai 2025 d’étendre la dispense aux organisations de moins de 750 salariés, sauf pour les traitements à risque élevé ; au 7 octobre 2026, le texte n’est pas adopté et l’article 30.5 s’applique dans sa rédaction actuelle.

Selon l’avis conjoint de l’EDPB et de l’EDPS du 8 juillet 2025, ce projet « Omnibus IV » ne rendrait le registre obligatoire, sous ce seuil, que pour les traitements « likely to result in a high risk » au sens de l’article 35 du RGPD. D’après l’Observatoire législatif du Parlement européen, la commission parlementaire a approuvé le 2 juillet 2026 le texte négocié avec le Conseil ; le vote en séance plénière est indiqué pour le 23 novembre 2026, et aucune publication au Journal officiel n’y est signalée.

N’attendez pas : le texte final peut différer, et même dispensé, vous devrez toujours informer les personnes, fixer des durées de conservation et encadrer vos prestataires. L’EDPB et l’EDPS jugent d’ailleurs le registre « a very useful means to support compliance with several GDPR requirements ».

Existe-t-il un modèle de registre de la CNIL ?

Oui. La CNIL propose un modèle de registre simplifié au format tableur (ODS), en téléchargement libre sur sa page « Le registre des activités de traitement ». Il s’ouvre avec LibreOffice, Excel ou Google Sheets.

Le fichier s’organise en onglets : un tutoriel, la liste des traitements précédée des coordonnées du responsable et du DPO, un modèle de fiche à reprendre pour chaque traitement, un exemple de fiche remplie (la gestion de la paie) et les listes déroulantes. Un détail à surveiller : la liste des garanties de transfert propose encore « Privacy shield », que la Cour de justice de l’Union européenne a invalidé le 16 juillet 2020 ; ne le choisissez pas. Les anciens modèles RTF et PDF, encore en ligne, ne sont plus mis à jour selon la CNIL : partez du fichier ODS.

Pour remplir les durées sans les inventer, appuyez-vous sur les référentiels de la CNIL : celui sur la gestion des activités commerciales (délibération n° 2021-131 du 23 septembre 2021) pour les clients et prospects, et le référentiel des durées de conservation en gestion des ressources humaines, publié le 2 avril 2026 et mis à jour le 20 mai 2026, pour les salariés. Les durées qu’ils recommandent ne sont pas contraignantes, mais s’en écarter suppose de pouvoir justifier votre choix ; celles qui découlent d’un texte (Code du travail, Code de commerce) s’imposent. Pour la sécurité, le guide de la sécurité des données personnelles donne les mesures de base.

Exemple 1 : quel registre pour une boutique en ligne ?

Prenons une boutique de cosmétiques solides sur Shopify, deux associés, aucun salarié. Trois traitements suffisent pour l’essentiel : les commandes, la newsletter, la mesure d’audience.

Le détail qui compte : si le paiement passe par un prestataire qui conserve lui-même les données de carte, indiquez-le dans la fiche, plutôt que de laisser croire que vous stockez des numéros de carte. Et la fiche « mesure d’audience » doit être cohérente avec votre bandeau cookies : si l’outil n’est pas exempté, pas de dépôt avant consentement.

Exemple 2 : quel registre pour un coach ou un consultant indépendant ?

Une consultante en organisation, en micro-entreprise, qui prospecte des PME sur LinkedIn et par e-mail, facture ses missions et réserve ses séances par un outil de prise de rendez-vous en ligne.

Pour une consultante seule, ce registre tient en une page. Le vrai travail : lister ses outils, vérifier où chacun héberge les données et qu’un contrat de sous-traitance le couvre.

Exemple 3 : quel registre pour une petite agence avec 3 salariés ?

Une agence de communication en SARL, un gérant et trois salariés. Aux traitements commerciaux s’ajoutent ceux liés au personnel, plus sensibles et encadrés par des durées légales précises.

Un point propre aux agences : si vous gérez le site, l’e-mailing ou le CRM de vos clients, vous traitez leurs données pour leur compte. Vous êtes alors sous-traitant, et l’article 30.2 vous impose un second registre, organisé par client. La CNIL a sanctionné en décembre 2025 un sous-traitant qui ne tenait pas ce registre (voir plus bas).

Quel lien entre le registre et la politique de confidentialité ?

Le registre est la version interne et exhaustive ; la politique de confidentialité en est la version publique. L’article 13 du RGPD impose d’informer les personnes des finalités, de la base juridique, des destinataires, des transferts et de la durée de conservation : exactement les colonnes de votre registre.

La méthode la plus sûre est donc de remplir le registre d’abord, puis de rédiger la politique à partir de lui. Une durée de conservation différente d’un document à l’autre est une incohérence visible à la première lecture. Notre guide sur la politique de confidentialité détaille les mentions obligatoires.

Quelle sanction en l’absence de registre des traitements ?

Un manquement à l’article 30 est passible d’une amende jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (art. 83.4 du RGPD). Pour une petite entreprise, la CNIL peut recourir à la procédure simplifiée, où l’amende est plafonnée à 20 000 €.

Le plafond de la procédure simplifiée s’applique lorsque le chiffre d’affaires annuel mondial ne dépasse pas 50 millions d’euros ; au-delà, il passe à 100 000 € (loi Informatique et Libertés, art. 22-1). Trois décisions où le registre figure parmi les griefs :

Dans les deux décisions détaillées, le registre n’est pas le seul grief : il s’ajoute à d’autres manquements et alourdit le dossier. Notre guide des sanctions CNIL détaille les montants et les procédures.

Comment tenir son registre à jour ?

Le registre se met à jour à chaque fois qu’un traitement apparaît, change ou disparaît : nouvel outil, nouveau prestataire, nouvelle façon de collecter. Une revue annuelle permet de rattraper ce qui a été oublié en cours d’année.

Le registre s’inscrit dans un ensemble de documents internes, avec les contrats de vos prestataires et la procédure en cas de violation de données. Pour la liste complète selon votre activité, consultez notre guide des documents obligatoires de l’entreprise, ou lancez le diagnostic gratuit des obligations à partir de votre SIREN. Et pour situer votre site en deux minutes, faites le quiz de conformité.