Registre des activités de traitement (art. 30 RGPD) : de quoi s’agit-il et quels documents juridiques votre site doit-il afficher

Si votre cabinet ou votre entreprise traite des données personnelles de clients, de salariés, de fournisseurs ou d’utilisateurs d’un site web, le règlement (UE) 2016/679 (RGPD) attend davantage qu’une mention d’information : il exige que vous puissiez démontrer ce que vous faites de ces données. L’un des outils centraux pour y parvenir est le registre des activités de traitement de l’article 30.

Qu’est-ce que le registre des activités de traitement ?

C’est un document, sur papier ou sous forme électronique, qui décrit de manière ordonnée l’ensemble des traitements de données personnelles réalisés par une organisation. Il n’est déposé auprès d’aucune autorité : c’est un document interne qui doit être disponible et à jour lorsqu’une autorité de contrôle, comme la CNIL en France ou l’AEPD en Espagne, le demande.

Les responsables de traitement doivent le tenir et, avec un contenu qui leur est propre, les sous-traitants également (art. 30, par. 2). En Espagne, la loi organique 3/2018 (LOPDGDD) complète le cadre.

Et si j’ai moins de 250 salariés ?

Le RGPD prévoit une dérogation pour les organisations de moins de 250 personnes, mais ses conditions la vident en pratique de sa substance : elle ne s’applique pas si le traitement est susceptible de comporter un risque pour les droits des personnes, s’il n’est pas occasionnel ou s’il porte sur des catégories particulières de données ou sur des données relatives à des condamnations pénales et à des infractions. Tout cabinet qui gère de façon habituelle une paie, des dossiers clients ou une base de contacts entre dans le champ de l’obligation.

Ce qu’il doit contenir selon l’article 30, paragraphe 1

• Le nom et les coordonnées du responsable de traitement (et, le cas échéant, du responsable conjoint, du représentant et du délégué à la protection des données).
• Les finalités du traitement.
• Une description des catégories de personnes concernées et de données personnelles.
• Les catégories de destinataires, y compris dans des pays tiers ou des organisations internationales.
• Les transferts internationaux et les garanties appliquées, le cas échéant.
• Dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données.
• Une description générale des mesures de sécurité techniques et organisationnelles (art. 32, par. 1).

Comment l’établir, étape par étape

1. Faites l’inventaire des traitements. Parcourez chaque service (clients, ressources humaines, facturation, marketing, site web) et notez quelles données sont collectées et pourquoi.
2. Identifiez la base juridique de chacun (contrat, obligation légale, intérêts légitimes, consentement…). Elle n’est pas un champ obligatoire de l’article 30, mais vous en aurez besoin pour votre politique de confidentialité.
3. Listez les tiers : experts-comptables, hébergeurs, outils de messagerie ou d’analyse d’audience. Avec ceux qui agissent comme sous-traitants, un contrat au titre de l’article 28 est nécessaire.
4. Définissez des durées de conservation cohérentes avec les obligations légales applicables à votre activité.
5. Décrivez les mesures de sécurité en termes généraux : contrôle des accès, sauvegardes, chiffrement, formation du personnel.
6. Désignez un responsable de sa mise à jour et prévoyez une révision périodique, ainsi qu’à chaque évolution d’un traitement.

Les documents juridiques que votre site doit afficher

Le registre est interne, mais les textes publics de votre site s’en nourrissent. Au minimum, vérifiez ceux-ci :

• Mentions légales : les données d’identification du prestataire exigées pour les services de la société de l’information (en Espagne, la loi 34/2002, LSSI-CE ; en France, la LCEN).
• Politique de confidentialité : les informations des articles 13 et 14 du RGPD (identité, finalités, base juridique, destinataires, transferts, durées, droits et droit d’introduire une réclamation auprès de l’autorité).
• Politique de cookies : nécessaire si vous utilisez des cookies ou technologies similaires non exemptés, avec le consentement requis.
• Conditions générales, si vous vendez des produits ou des services en ligne.

Erreurs fréquentes

• Copier le registre d’une autre entreprise sans l’adapter à vos traitements réels.
• Le rédiger une fois et ne jamais le mettre à jour : un registre qui ne reflète pas la réalité ne prouve rien.
• Une politique de confidentialité qui dit autre chose que le registre.
• Oublier les traitements « invisibles » : vidéosurveillance, dispositif d’alerte, formulaires de contact ou outils d’analyse.

Garder l’ensemble cohérent

Le plus grand risque n’est pas de ne pas avoir de registre, mais que chaque texte raconte une histoire différente. Centraliser les documents juridiques, les versionner et les diffuser depuis un point unique — ce que fait une plateforme comme LegalCloud — aide votre site, votre politique de confidentialité et votre registre à dire la même chose, et conserve l’historique des modifications.

Vous pouvez consulter le texte intégral du règlement sur EUR-Lex et les guides et modèles de l’AEPD sur aepd.es. Cet article est donné à titre d’information et ne remplace pas un conseil juridique adapté à votre situation.