Les petites entreprises ont-elles besoin d'un registre des activités de traitement RGPD ?

L'article 30 du RGPD impose aux responsables du traitement et aux sous-traitants de tenir un registre de leurs activités de traitement. L'article 30, paragraphe 5, en exempte les organisations de moins de 250 salariés, ce qui conduit de nombreuses petites entreprises à penser qu'elles n'ont rien à faire. La dérogation comporte trois exceptions qui la suppriment pour la plupart des entreprises.

Quand la dérogation ne s'applique pas

Une organisation de moins de 250 salariés doit tout de même tenir un registre si son traitement :

• est susceptible de comporter un risque pour les droits et libertés des personnes concernées ;
• n'est pas occasionnel ; ou
• porte sur des catégories particulières de données (comme les données de santé) ou sur des données relatives aux condamnations pénales et aux infractions.

Ce que cela signifie en pratique

La paie est traitée chaque mois ; un CRM est utilisé tous les jours. Presque toutes les entreprises traitent des données à caractère personnel de manière régulière : le traitement n'est donc pas occasionnel, et la dérogation ne s'applique pas à ces activités. Les autorités de contrôle l'interprètent généralement ainsi.

Ce que contient le registre

Pour les responsables du traitement, l'article 30, paragraphe 1, en énumère le contenu :

• le nom et les coordonnées du responsable du traitement et, le cas échéant, du délégué à la protection des données ;
• les finalités du traitement ;
• les catégories de personnes concernées et de données à caractère personnel ;
• les catégories de destinataires, y compris les destinataires dans des pays tiers ;
• les transferts vers des pays tiers et les garanties appliquées ;
• dans la mesure du possible, les délais prévus pour l'effacement ;
• dans la mesure du possible, une description générale des mesures de sécurité.

Pourquoi il vaut la peine d'en avoir un malgré tout

Le registre est le socle de tout le reste : votre politique de confidentialité, vos réponses aux demandes d'accès, votre évaluation des violations et vos réponses aux questionnaires de due diligence de vos clients. Notre évaluation RGPD établit un registre pré-rempli à partir de vos réponses, y compris une section sous-traitant si vous traitez des données pour le compte de clients.