![](/documents/20152/6359631/rgpd-etape1.png/7e75c14d-60da-858e-ac7a-5e66f9c6c1ed?t=1521210933037)
Le Règlement Général sur la Protection des Données concerne toutes les entreprises qui collectent, stockent et/ou traitent des données personnelles.
Afin de démontrer sa conformité et gagner en efficacité par une gestion optimale des données personnelles collectées, il est impératif pour le responsable de traitement (RT) comme pour le sous-traitant (ST) de tenir à jour à un registre des activités de traitement.
Le registre des activités de traitement contient l’ensemble des informations relatives aux différents traitements de données personnelles mis en place par l’entreprise.
Ce registre doit être mis à jour régulièrement pour vérifier si les données sont encore pertinentes et dès que des évolutions fonctionnelles et techniques sont apportées aux traitements de données personnelles. Ces mises à jour doivent être faites en concertation avec toutes les personnes de l’entreprise susceptibles de traiter des données personnelles.
La périodicité des mises à jour doit être adaptée au regard des traitements en présence : plus le traitement est sensible, plus la période doit être réduite afin d’assurer aux données traitées un niveau de qualité élevé.
Des mesures doivent ensuite être prises pour que les données à caractère personnel obsolètes ou inexactes, soient effacées ou rectifiées.
L’obligation de tenir un registre des traitements concerne toutes les entreprises et quelle que soit leur taille, dès lors qu’elles traitent des données personnelles.
Cette obligation concerne également les ST dont les activités impliquent le traitement de données personnelles pour le compte d’un client.
En revanche, les entreprises de moins de 250 salariés sont tenus d’inscrire au registre uniquement les traitements de données suivants :
En cas de doute sur l’application de cette dérogation à un traitement, la CNIL recommande de l’intégrer dans le registre.
Le registre doit se présenter sous une forme écrite, sur support papier ou électronique.
Avant la constitution du registre, l’entreprise va devoir identifier l’ensemble des traitements de données personnelles c’est-à-dire les activités principales qui nécessitent la collecte de ces données.
Exemples : recrutement, gestion de la paye, formation, gestion des badges et des accès, statistiques de ventes, gestion des clients prospects, etc.
Pour cela, le RT doit communiquer avec l’ensemble des collaborateurs et salariés susceptibles de traiter des données personnelles.
Il est nécessaire de tenir à jour une liste des traitements de données personnelles mis en œuvre.
Une fois les traitements recensés, l’entreprise va pouvoir concevoir et compléter son registre.
Le registre doit indiquer :
Ensuite, le RT va devoir créer une fiche à l’intérieur du registre pour chaque activité ou traitement recensée, en inscrivant les informations suivantes :
Le traitement n’est justifié et donc licite que si :
La tenue d’un registre des activités de traitement permet à l’entreprise :
De cette façon le RT peut mettre en œuvre les mesures techniques et organisationnelles appropriées et peut démontrer que les traitements mise en place sont bien conformes à l’ensemble des obligations imposées par le règlement.
Le registre est un document interne, placé sous la responsabilité du RT.
Le registre doit toutefois pouvoir être communiqué à la CNIL lorsqu’elle le demande. Elle pourra en particulier l’utiliser dans le cadre de sa mission de contrôle des traitements de données.
Le Règlement Général sur la Protection des Données concerne toutes les entreprises qui collectent, stockent et/ou traitent des données personnelles.