Le registre RGPD n’est pas un simple tableau
Le registre des traitements sert à comprendre comment les données personnelles circulent dans l’organisation. Il doit permettre d’identifier les traitements, les responsables, les finalités, les bases juridiques, les catégories de personnes, les données utilisées, les destinataires, les durées de conservation, les sous-traitants, les transferts et les mesures de sécurité.
Un registre exploitable aide à décider : faut-il corriger un traitement, lancer une AIPD, revoir une durée de conservation, documenter un sous-traitant, limiter un accès ou préparer une réponse à une demande de droits ? S’il ne sert pas à ces décisions, il devient un fichier administratif difficile à maintenir.
Les informations à documenter
Chaque ligne du registre doit répondre à une finalité précise. La finalité décrit pourquoi le traitement existe ; elle ne doit pas être remplacée par le nom d’un logiciel. La base juridique doit être qualifiée selon le contexte : obligation légale, contrat, intérêt légitime, mission d’intérêt public, consentement ou autre fondement applicable.
Les catégories de personnes et de données doivent être assez claires pour mesurer le risque : salariés, candidats, clients, usagers, fournisseurs, données d’identification, données RH, données financières, données de santé, données de connexion ou données sensibles si elles existent. Les destinataires et sous-traitants doivent être nommés ou qualifiés de manière vérifiable.
Durées, sécurité, transferts et responsabilités
Une durée de conservation doit être reliée à une règle métier ou juridique. Lorsqu’elle n’est pas connue, le registre doit signaler l’écart plutôt que masquer l’absence de décision. Les transferts de données vers des pays tiers hors UE/EEE, lorsqu’ils existent, doivent être identifiés et documentés selon le mécanisme juridique applicable.
Les mesures de sécurité doivent être décrites de façon opérationnelle : droits d’accès, journalisation, chiffrement si applicable, cloisonnement, sauvegarde, suppression, contrôle périodique. Le registre doit aussi indiquer le responsable métier du traitement et le responsable de mise à jour.
Construire le registre en cinq étapes
La première étape consiste à cadrer le périmètre : entités, directions, applications, traitements prioritaires et interlocuteurs. La deuxième consiste à collecter les traitements existants auprès des métiers et de la DSI. La troisième consiste à qualifier les risques et les écarts : données sensibles, absence de base juridique, conservation non maîtrisée, sous-traitance incomplète ou accès trop larges.
La quatrième étape formalise les corrections et décisions. La dernière étape consiste à organiser la mise à jour du registre lors des évolutions significatives des traitements et selon une fréquence de revue adaptée à l’organisation.
Utiliser le registre pour piloter la conformité
Le registre permet de cartographier les traitements, mais aussi de préparer les audits, de répondre aux demandes d’accès ou de suppression, d’identifier les traitements nécessitant une AIPD, de suivre les évolutions applicatives et de maintenir les preuves de conformité.
Il doit être relié aux projets SI. Un nouvel outil, une interface, une reprise de données, une externalisation ou un changement de finalité doit déclencher une vérification du registre. C’est ce lien entre conformité et projet qui évite de découvrir les écarts après la mise en production.
Ne pas mélanger registre et AIPD
Le registre recense et qualifie les traitements. L’AIPD analyse en profondeur les risques d’un traitement susceptible d’engendrer un risque élevé pour les personnes. Le registre peut déclencher une AIPD, mais il ne la remplace pas.
La bonne articulation consiste à utiliser le registre comme point d’entrée : traitements sensibles, volumes importants, surveillance, catégories particulières de données ou décisions automatisées doivent être repérés pour décider si une analyse d’impact est nécessaire.
Pour fiabiliser un registre, traiter les écarts et organiser les preuves de conformité, voir notre accompagnement RGPD opérationnel. Lorsque le sujet porte sur la gouvernance durable de la conformité, le registre peut aussi alimenter la gouvernance RGPD et DPO. Pour approfondir le passage du registre à l’analyse de risque, voir aussi la méthode AIPD RGPD.
Vous devez fiabiliser un registre existant ou reprendre une conformité RGPD dispersée ? Échanger sur votre registre RGPD.