Un registre des traitements à jour donne à une collectivité une vision concrète des données personnelles qu’elle utilise, des raisons de cette collecte et des personnes qui y accèdent. Au-delà des obligations légales du RGPD, il aide les équipes à repérer les risques et à organiser la protection des données.
La difficulté ne tient pas seulement à la création du document, mais à son maintien au fil des changements de services, d’outils et de pratiques. Pour en faire un véritable instrument de conformité, il faut d’abord connaître les traitements recensés et les informations qu’ils doivent contenir.
A retenir :
- Vision claire des traitements et de leurs finalités
- Repérage plus rapide des risques liés aux données
- Suivi des accès, des durées et des mesures de sécurité
- Documentation mobilisable lors d’un contrôle ou d’un audit de conformité
Registre des traitements RGPD : établir une base fiable
Recenser les activités plutôt que les logiciels
Cette première étape consiste à décrire ce que l’organisme fait réellement avec les données, plutôt qu’à dresser un inventaire de ses outils numériques. Selon la CNIL, l’article 30 du RGPD prévoit un registre écrit qui documente les activités de traitement.
Dans une mairie, par exemple, l’inscription scolaire et la gestion de la cantine correspondent à des finalités différentes, même si elles reposent sur une même plateforme. Une fiche par activité aide les équipes à distinguer les données collectées, les personnes concernées et les usages autorisés.
Les échanges avec les responsables de service révèlent souvent des traitements absents des procédures écrites, comme un fichier local utilisé pour organiser les rendez-vous. Le responsable du traitement peut confier la tenue quotidienne du registre au DPO, tout en restant impliqué dans les décisions.
Documenter les informations essentielles
Une fiche utile présente les caractéristiques du traitement et permet de vérifier si les pratiques correspondent aux objectifs annoncés. Le format reste libre, mais le registre doit être écrit et pouvoir être communiqué à la CNIL lorsqu’elle le demande.
Selon la CNIL, les fiches du responsable du traitement comprennent notamment les finalités, les catégories de personnes et de données, les destinataires, les durées prévues et, dans la mesure du possible, les mesures de sécurité. Elles mentionnent aussi les transferts hors de l’Union européenne lorsqu’il y en a.
Pour une collectivité, ces éléments peuvent être organisés de façon lisible afin qu’un agent retrouve rapidement qui accède aux dossiers d’état civil ou combien de temps les pièces sont conservées. Le tableau ci-dessous distingue les principaux champs et leur utilité opérationnelle.
Champs essentiels du registre :
| Champ | Question à documenter | Exemple municipal |
|---|---|---|
| Finalité | Pourquoi les données sont-elles utilisées ? | Gérer les inscriptions scolaires |
| Données et personnes | Qui est concerné et quelles informations sont traitées ? | Élèves, représentants légaux, coordonnées |
| Destinataires | Qui peut accéder aux informations ou les recevoir ? | Agents habilités du service concerné |
| Conservation | Quand les données sont-elles effacées ou archivées ? | Durées définies selon les règles applicables |
| Sécurité | Quelles protections sont prévues ? | Accès limités et comptes individualisés |
Une fois cette base constituée, sa valeur dépend de sa capacité à suivre les évolutions réelles des services et des traitements.
Maintenir le registre des traitements à jour
Définir un rythme de mise à jour utile
Après le recensement initial, le registre doit évoluer avec les conditions de mise en œuvre des traitements. Un nouveau formulaire, une durée de conservation modifiée ou un destinataire supplémentaire peuvent rendre une fiche inexacte.
Selon la CNIL, le registre se met à jour au gré des évolutions fonctionnelles et techniques, sans qu’une fréquence annuelle fixe soit imposée. Une procédure interne peut toutefois demander aux services de signaler tout changement avant le déploiement d’un nouvel outil.
Une responsable de service qui ajoute un champ à un formulaire devrait ainsi prévenir le DPO avant sa mise en ligne. Ce simple réflexe permet de vérifier la nécessité de la donnée, l’information des personnes et les accès associés.
Relier chaque changement à une action
Le registre devient un outil de pilotage lorsque les modifications déclenchent une vérification concrète, plutôt qu’une simple correction administrative. Cette méthode facilite aussi la préparation d’un audit de conformité et la hiérarchisation des actions à mener.
Les services peuvent suivre les évolutions avec une liste de contrôle partagée, indiquant le traitement concerné, le changement envisagé et la personne chargée de confirmer sa prise en compte. Il est également utile de noter la date de révision et les documents associés.
Évolutions à signaler au DPO :
- Nouvelle finalité ou nouvelle catégorie de données collectées
- Modification des destinataires ou des habilitations d’accès
- Changement du prestataire ou du lieu d’hébergement
- Révision des durées de conservation ou des mesures de sécurité
Le tableau suivant montre comment transformer quelques changements courants en vérifications précises, sans supposer qu’un logiciel détermine à lui seul la nature du traitement.
| Évolution observée | Vérification à effectuer | Élément à actualiser |
|---|---|---|
| Ajout d’un champ dans un formulaire | La donnée est-elle nécessaire à la finalité ? | Données collectées et information |
| Nouveau prestataire | Quels accès et échanges sont prévus ? | Destinataires et sous-traitance |
| Nouvelle durée d’archivage | La durée est-elle justifiée et documentée ? | Conservation et effacement |
| Nouvel outil de consultation | Les habilitations sont-elles adaptées aux missions ? | Accès et sécurité des données |
La régularité du suivi permet ensuite d’examiner si les pratiques décrites protègent effectivement les personnes concernées.
Faire du registre un outil de protection des données
Vérifier la pertinence et les accès
Le registre fournit un point de départ pour contrôler que chaque donnée sert bien un objectif défini et que seuls les agents concernés y accèdent. Selon la CNIL, l’analyse des traitements aide l’organisme à identifier les risques et à établir un plan d’action de conformité.
Pour une inscription scolaire, les informations nécessaires à la gestion du dossier ne justifient pas automatiquement la collecte de toutes les données disponibles sur une famille. De même, les informations sensibles liées à un projet d’accueil individualisé appellent des protections adaptées à leur nature.
Les responsables peuvent examiner les profils d’accès, les comptes encore actifs et les modalités de conservation à partir de chaque fiche. Cette revue évite qu’un agent consulte des informations sans lien avec sa mission ou qu’un dossier reste conservé sans raison documentée.
Associer les équipes et sécuriser les pratiques
La qualité du registre dépend des agents qui connaissent les opérations quotidiennes et signalent les écarts entre le document et la réalité. Le DPO conseille les équipes, tandis que les responsables de service contribuent à maintenir des informations exactes.
La sécurité des données doit couvrir les accès illégitimes, les modifications non souhaitées et les pertes, qu’elles résultent d’un incident numérique ou d’une erreur de manipulation. Les mesures peuvent inclure des comptes individualisés, des habilitations limitées, le verrouillage des postes et des sauvegardes vérifiées.
Vérifications de sécurité en collectivité :
- Comptes individuels et fermeture des accès en fin de fonction
- Habilitations adaptées aux missions réellement exercées
- Armoires verrouillées et postes protégés contre les accès fortuits
- Sauvegardes régulières et consignes connues des agents
Une violation susceptible de présenter un risque pour les personnes doit être évaluée rapidement ; le RGPD prévoit une notification à la CNIL dans les 72 heures, lorsque les conditions sont réunies. Le registre, tenu avec les services et le DPO, contribue alors à retrouver les données, les destinataires et les protections applicables.
Source : CNIL, « Le registre des activités de traitement », 13 avril 2018.
