Le registre des traitements : le document central

Le registre des traitements est le document central du RGPD. Il recense, de façon organisée, tout ce que vous faites des données personnelles : quelles données, pour quoi faire, combien de temps, avec qui. C'est la première chose qu'on vous demandera de montrer.

À quoi il sert

Le registre matérialise votre maîtrise des traitements. En le constituant, vous prenez conscience de ce que vous collectez réellement, et vous vous donnez les moyens de le justifier. C'est autant un outil de conformité qu'un outil de pilotage.

Ce qu'il contient

• la description de chaque traitement et sa finalité ;
• les catégories de données et de personnes concernées ;
• les durées de conservation ;
• les destinataires et les éventuels sous-traitants.

Le constituer simplement

Nul besoin d'un cabinet pour une activité courante. En répondant à des questions concrètes sur ce que vous faites, on construit un registre solide. L'important est d'être honnête et exhaustif, pas d'employer un vocabulaire d'expert.

Un exemple concret de fiche de traitement

Prenons la gestion des devis et factures d'un artisan. La finalité est l'exécution du contrat et la tenue de la comptabilité. Les données sont l'identité du client, ses coordonnées et le détail des prestations. Les personnes concernées sont les clients. La durée de conservation suit les obligations comptables applicables. Les destinataires sont le logiciel de facturation et l'expert-comptable. En quelques lignes, le traitement est décrit et justifié.

Les erreurs fréquentes

• décrire les outils plutôt que les traitements : le logiciel n'est pas la finalité ;
• oublier les traitements internes, comme la paie ou le suivi des candidatures ;
• laisser vide la durée de conservation, faute de l'avoir décidée ;
• ne pas mentionner les prestataires qui accèdent aux données pour votre compte.

Le point de départ

Le registre nourrit ensuite tout le reste : votre politique de confidentialité découle directement de ce que vous y avez décrit.