L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Comment tenir un registre des traitements ?
Première pièce demandée en cas de contrôle, le registre recense les traitements et leurs caractéristiques. Contenu exigé et méthode de constitution.
Première pièce demandée en cas de contrôle, le registre recense les traitements et leurs caractéristiques. Contenu exigé et méthode de constitution.
Introduction
Le registre est le premier document demandé lors d’un contrôle, et le seul qui donne une vision d’ensemble. Il n’est pas une formalité : c’est l’outil de pilotage de la conformité.
Le contenu exigé pour le responsable de traitement
Le nom et les coordonnées du responsable et, le cas échéant, du délégué à la protection des données.
Les finalités du traitement.
Une description des catégories de personnes concernées et des catégories de données.
Les catégories de destinataires auxquels les données sont communiquées.
Le cas échéant, les transferts vers un pays tiers et les garanties appropriées.
Dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données.
Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.
Le registre du sous-traitant
Son contenu diffère.
Il comporte le nom et les coordonnées de chaque responsable pour le compte duquel il agit, les catégories de traitements effectués, les transferts éventuels et leurs garanties, et une description générale des mesures de sécurité.
Un prestataire qui traite des données pour ses clients doit donc tenir ce registre, en plus de celui relatif à ses propres traitements.
La méthode de constitution
Le registre se construit par entretien avec chaque fonction, non par remplissage d’un modèle.
Interroger successivement la direction commerciale, le marketing, les ressources humaines, la comptabilité, l’informatique et les services généraux permet d’identifier les traitements réels, y compris ceux que personne n’avait qualifiés comme tels.
Chaque traitement identifié fait l’objet d’une fiche, alimentée par les réponses obtenues.
Les traitements les plus fréquemment oubliés sont la vidéosurveillance, le contrôle d’accès, les journaux de connexion, les candidatures spontanées, les listes de diffusion internes et les outils installés par un service sans passer par l’informatique.
Ce que le registre révèle
Sa constitution fait apparaître les non-conformités.
Des traitements sans base légale identifiable, des durées de conservation illimitées, des destinataires non encadrés par un contrat, des transferts hors Union européenne non sécurisés, des données collectées sans finalité claire.
Le registre n’est donc pas seulement un document de conformité : c’est l’outil de diagnostic.
La mise à jour
Un registre figé perd toute valeur.
Il doit être révisé lors de la mise en place d’un nouveau traitement, du changement d’un outil ou d’un prestataire, d’une évolution des finalités, ou d’une modification des durées de conservation.
Une revue périodique, annuelle par exemple, permet de vérifier que les traitements recensés correspondent à la réalité et que les traitements abandonnés ont été retirés.
La forme
Aucun format n’est imposé. Le registre doit se présenter sous une forme écrite, y compris électronique.
Un tableur suffit pour une structure simple. Des outils dédiés se justifient lorsque le nombre de traitements ou de sous-traitants devient significatif.
L’essentiel est qu’il soit à jour, complet et communicable rapidement.
L’articulation avec les autres documents
Le registre alimente les mentions d’information et la politique de confidentialité, qui doivent être cohérentes avec lui.
Il identifie les sous-traitants avec lesquels un accord doit être conclu.
Il signale les traitements susceptibles de nécessiter une analyse d’impact.
Ces liens expliquent qu’il constitue le point de départ de la démarche, et non son aboutissement.
Constituer le registre par entretiens plutôt que par modèle
Un registre recopié d’un modèle ne décrit pas l’entreprise et ne protège pas. Notre expertise RGPD et protection des données personnelles conduit ces recensements.
En résumé
- Le registre est la première pièce demandée en cas de contrôle.
- La dispense en dessous de 250 salariés est neutralisée par ses exceptions.
- Un sous-traitant tient son propre registre, au contenu adapté à sa qualité.
- Sa constitution par entretiens avec chaque fonction révèle les non-conformités.
- Il alimente mentions d’information, contrats de sous-traitance et analyses d’impact.
Questions fréquentes
Le registre est-il obligatoire pour toutes les entreprises ?
Une dispense existe en dessous de 250 salariés, mais elle ne joue pas pour les traitements non occasionnels, ceux portant sur des données sensibles, ou présentant un risque. En pratique, presque toutes les entreprises doivent en tenir un.
Que doit contenir le registre ?
Les finalités, les catégories de personnes et de données, les destinataires, les transferts hors Union européenne, les durées de conservation prévues et une description générale des mesures de sécurité.
Un sous-traitant doit-il aussi tenir un registre ?
Oui, un registre des catégories d'activités de traitement effectuées pour le compte de chaque responsable, avec un contenu adapté à cette qualité.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
