Registre des traitements RGPD : méthode et modèle 2026

Le registre des traitements est le premier document qu'un contrôleur de la CNIL vous demande. Il ne se négocie pas : l'obligation figure noir sur blanc à l'article 30 du RGPD, et l'exemption prévue pour les organismes de moins de 250 salariés est si étroite qu'elle ne concerne presque personne en pratique.

Beaucoup de responsables pensent que ce registre est une formalité administrative de plus. En réalité, c'est la colonne vertébrale de votre conformité : impossible de piloter des durées de conservation, une base légale ou une politique de sécurité sur des traitements que vous n'avez jamais recensés.

Le registre des traitements est un document obligatoire (article 30 du RGPD) qui recense chaque traitement de données personnelles de votre organisme. Il doit être tenu par écrit, y compris sous forme électronique, et présenté à la CNIL sur demande. L'exemption des organismes de moins de 250 salariés tombe dès qu'un traitement est régulier, comporte un risque, ou porte sur des données sensibles, ce qui vise la quasi-totalité des structures.

Ce guide vous donne la méthode complète, le contenu exact de chaque fiche de traitement, et un modèle de registre prêt à remplir que vous pouvez télécharger.

Vous voulez cadrer votre conformité de bout en bout ? Consultez notre guide RGPD complet →

Qu'est-ce que le registre des traitements ?

Le registre des traitements est un inventaire structuré de toutes les activités par lesquelles votre organisme collecte et utilise des données personnelles. Chaque activité, la paie, la gestion des clients, la vidéosurveillance, la newsletter, y est décrite dans une fiche dédiée qui répond à une question simple : qui traite quoi, pour quelle raison, pendant combien de temps, et avec quelles protections.

L'article 30 du RGPD en fait une obligation légale, pas une bonne pratique. Le registre matérialise le principe de responsabilité (l'accountability) : vous ne devez pas seulement respecter le RGPD, vous devez pouvoir le démontrer. Sans registre, vous n'avez aucune preuve documentée de vos traitements.

Un document interne, pas une déclaration

Le registre ne se dépose nulle part. Contrairement à l'ancien régime des déclarations à la CNIL, supprimé avec l'entrée en application du RGPD en 2018, vous n'avez rien à transmettre a priori. Vous tenez le registre en interne et vous le présentez uniquement en cas de contrôle ou de demande de l'autorité.

Une cartographie vivante

Le registre n'est pas figé. Chaque nouveau traitement (un nouvel outil RH, un formulaire de contact, un dispositif de géolocalisation des véhicules) crée une nouvelle fiche. Chaque traitement abandonné se retire. Il reflète en permanence la réalité de vos activités.

La base de toute la conformité

Le registre alimente tout le reste : il identifie les traitements à risque qui exigent une analyse d'impact, il liste les durées de conservation à automatiser, il recense les sous-traitants à encadrer par contrat. C'est le point de départ d'un audit RGPD sérieux.

L'essentiel à retenir

Téléchargez notre modèle de registre prêt à l'emploi et gagnez plusieurs jours de cadrage → Guide RGPD

Qui est concerné par l'obligation de registre ?

L'article 30 du RGPD pose l'obligation pour tout responsable de traitement et tout sous-traitant, puis prévoit une exemption pour les organismes de moins de 250 salariés. Cette exemption paraît large ; elle est en réalité très étroite.

L'exemption des moins de 250 salariés, et pourquoi elle ne s'applique presque jamais

L'article 30.5 dispense les organismes de moins de 250 salariés de tenir un registre, sauf dans trois cas. Or ces trois exceptions couvrent la quasi-totalité des situations réelles :

• Le traitement n'est pas occasionnel. Gérer la paie de vos salariés, un fichier clients ou une newsletter, ce sont des traitements réguliers, donc jamais occasionnels.
• Le traitement est susceptible de comporter un risque pour les droits et libertés des personnes. La géolocalisation, la vidéosurveillance ou un fichier de prospects entrent dans cette catégorie.
• Le traitement porte sur des données sensibles ou relatives à des condamnations. Les données sensibles recouvrent la santé, les opinions, l'appartenance syndicale ou les données biométriques.

En clair, dès que vous employez des salariés ou gérez des clients de façon récurrente, vous tenez un registre. La CNIL recommande d'ailleurs à toutes les structures, même les plus petites, d'en tenir un. L'exemption ne dispense au mieux que des traitements ponctuels et sans risque, jamais de l'ensemble.

Le seuil de 250 salariés ne raisonne pas par entreprise entière

Le seuil s'apprécie au niveau de l'organisme responsable. Une association, une collectivité, une profession libérale ou une TPE de trois personnes reste concernée dès lors qu'un seul de ses traitements est régulier. Le nombre de salariés ne vous met donc pas à l'abri : c'est la nature des traitements qui déclenche l'obligation.

Vous n'êtes pas certain d'être concerné ? Dans plus de neuf cas sur dix, la réponse est oui. Partez du principe que vous devez tenir un registre.

Registre du responsable et registre du sous-traitant : ne pas les confondre

Le RGPD prévoit deux registres distincts, au contenu différent, selon votre rôle dans chaque traitement. Une même organisation peut avoir à tenir les deux à la fois.

Le registre du responsable de traitement (article 30.1)

Le responsable de traitement est celui qui décide des finalités et des moyens d'un traitement. Vous êtes responsable quand vous traitez les données de vos propres salariés, de vos clients ou de vos prospects. Votre registre décrit alors, pour chaque traitement, la finalité poursuivie, la base légale, les catégories de personnes et de données, les destinataires, les éventuels transferts et les durées de conservation.

Le registre du sous-traitant (article 30.2)

Vous êtes sous-traitant quand vous traitez des données personnelles pour le compte d'un client, sur ses instructions. Un prestataire de paie, un hébergeur, une agence marketing ou un éditeur SaaS agissent comme sous-traitants. Le registre du sous-traitant est plus léger : il recense les catégories de traitements réalisés pour chaque client responsable, les transferts hors Union européenne et une description générale des mesures de sécurité. Il ne détaille pas les finalités, qui appartiennent au responsable.

Une même structure, deux casquettes

La plupart des entreprises cumulent les deux rôles. Une agence web est responsable pour la gestion de ses propres salariés et de sa facturation, et sous-traitant pour les sites de ses clients. Dans ce cas, vous tenez deux registres, ou un registre unique clairement séparé en deux parties. Identifier votre casquette traitement par traitement est la première étape du travail.

Ce que doit contenir chaque fiche de traitement

Chaque fiche du registre du responsable documente huit informations exigées par l'article 30.1 du RGPD. Une fiche incomplète est un manquement en soi, indépendamment du reste de votre conformité.

• Finalité du traitement : l'objectif poursuivi, formulé précisément. « Gestion de la paie » plutôt que « ressources humaines ». Une finalité floue empêche de vérifier la proportionnalité des données collectées.
• Base légale : le fondement juridique qui autorise le traitement (consentement, contrat, obligation légale, intérêt légitime, mission d'intérêt public, sauvegarde des intérêts vitaux). Chaque finalité doit reposer sur l'une des six bases de l'article 6.
• Catégories de personnes concernées : salariés, clients, prospects, fournisseurs, usagers. Vous décrivez des catégories, pas des personnes nominatives.
• Catégories de données : identité, coordonnées, données bancaires, données de connexion, données de santé. Le principe de minimisation des données impose de ne lister que ce qui est réellement nécessaire à la finalité.
• Catégories de destinataires : qui accède aux données ou les reçoit, en interne (service RH, comptabilité) comme en externe (expert-comptable, URSSAF, sous-traitant informatique).
• Transferts hors Union européenne : tout transfert hors UE doit être identifié, avec le pays de destination et les garanties encadrant le transfert (clauses contractuelles types, décision d'adéquation).
• Durées de conservation : le délai au terme duquel les données sont supprimées ou archivées, avec sa justification. Une durée indéfinie n'existe pas en RGPD.
• Mesures de sécurité : une description générale des mesures techniques et organisationnelles (contrôle des accès, chiffrement, traçabilité, sauvegardes) protégeant le traitement.

Ces huit rubriques constituent le socle. Rien ne vous interdit d'en ajouter, et la CNIL encourage à documenter aussi la base légale et le responsable interne de chaque traitement, même si l'article 30 ne les exige pas tous formellement.

Exemple concret : la fiche « gestion de la paie »

Prenons une PME de 40 salariés. Son DPO commence le registre par le traitement le plus évident : la paie. C'est un traitement régulier, portant sur des données bancaires et un numéro de sécurité sociale, donc l'exemption des moins de 250 salariés ne joue pas.

En interrogeant le service RH, il reconstitue la fiche. La finalité est la production des bulletins et le paiement des salaires. La base légale combine l'obligation légale (le Code du travail impose la fiche de paie) et l'exécution du contrat de travail. Les personnes concernées sont les salariés et les anciens salariés. Les données incluent l'identité, le RIB, le numéro de sécurité sociale, la rémunération et la situation familiale.

Côté destinataires, le service RH accède aux données, l'expert-comptable les reçoit, tout comme l'URSSAF et les organismes de retraite. Il n'y a aucun transfert hors UE. La durée de conservation du bulletin de paie est fixée à cinq ans par l'employeur, conformément à l'article L3243-4 du Code du travail. Les mesures de sécurité reposent sur un accès restreint au service RH, une authentification individuelle et le chiffrement des fichiers.

En une heure d'entretien, une fiche complète est prête. Le DPO répète l'exercice pour chaque traitement. Ce travail de terrain, service par service, est la vraie méthode : le registre ne se remplit pas depuis un bureau isolé, il se construit en interrogeant ceux qui manipulent les données.

Besoin d'un cadre pour mener ces entretiens ? Notre modèle de registre structure chaque fiche pour vous →

Comment construire et tenir à jour votre registre, étape par étape

Pour bâtir un registre conforme, recensez vos traitements, remplissez une fiche par traitement selon les huit rubriques de l'article 30, puis instaurez un cycle de mise à jour à chaque changement. Comptez quelques jours pour une première version sur une structure de taille moyenne.

Étape 1 : recenser tous vos traitements

Passez en revue chaque service et chaque outil. RH, commercial, marketing, comptabilité, informatique : chacun manipule des données. Listez toutes les activités qui collectent ou utilisent des données personnelles, sans filtrer à ce stade. Un tableur de départ suffit.

Étape 2 : qualifier votre rôle pour chacun

Pour chaque traitement, déterminez si vous êtes responsable ou sous-traitant. Cette qualification décide du registre où la fiche atterrit et des informations à documenter.

Étape 3 : remplir une fiche par traitement

Reprenez les huit rubriques : finalité, base légale, catégories de personnes, catégories de données, destinataires, transferts, durées, sécurité. Interrogez les responsables métier plutôt que de deviner. Une fiche imprécise est un risque en contrôle.

Étape 4 : vérifier la cohérence

Confrontez chaque fiche aux principes du RGPD. Les données collectées servent-elles réellement la finalité déclarée ? La durée de conservation est-elle justifiée ? La base légale tient-elle ? Cette relecture transforme le registre en outil de conformité, pas en simple inventaire.

Étape 5 : instaurer un cycle de mise à jour

Le registre vit. Prévoyez une mise à jour à chaque événement déclencheur : nouvel outil, nouveau traitement, nouveau sous-traitant, changement de finalité. Ajoutez une revue périodique complète, au moins une fois par an, pour retirer les traitements obsolètes et vérifier les durées. Datez chaque version pour garder une trace de l'historique.

Étape 6 : relier le registre à vos autres obligations

Les traitements à risque identifiés dans le registre appellent une analyse d'impact. Notre guide dédié vous montre comment mener une AIPD à partir de ces fiches. Le registre devient ainsi le point d'entrée de toute votre gouvernance.

Le modèle de registre prêt à l'emploi

Cette section est votre livrable : la structure exacte du registre du responsable de traitement, colonne par colonne, avec une fiche remplie en exemple. Copiez cette trame dans un tableur ou téléchargez le modèle, et adaptez-la à chacun de vos traitements.

La structure en colonnes, avec un exemple rempli

Le tableau ci-dessous reprend chaque rubrique du registre du responsable et montre, en regard, ce qu'elle contient et comment la renseigner sur l'exemple de la paie.

Télécharger le modèle de registreCSV, ouvrable dans Excel ou Google Sheets

La trame du registre du sous-traitant

Si vous traitez des données pour le compte de clients, votre registre de sous-traitant est plus léger. Pour chaque client responsable, documentez les rubriques suivantes :

• Client responsable : le nom et les coordonnées du client donneur d'ordre, et de son représentant le cas échéant.
• Catégories de traitements : les traitements réalisés pour ce client (hébergement, envoi d'e-mails, sauvegarde).
• Transferts hors UE : les éventuels transferts et leurs garanties.
• Mesures de sécurité : la description générale des mesures techniques et organisationnelles appliquées.

Comment transformer cette trame en registre opérationnel

Créez un onglet par traitement dans un tableur, ou une ligne par traitement avec les rubriques en colonnes. Datez le document, nommez un responsable de mise à jour, et versionnez les modifications. Un registre tenu dans un tableur partagé et daté vaut mieux qu'un modèle sophistiqué jamais actualisé.

Pour cadrer l'ensemble de votre conformité autour du registre, consultez notre guide RGPD.

Les erreurs courantes qui fragilisent un registre

Les erreurs les plus fréquentes sont un registre incomplet, des finalités trop vagues, des durées de conservation indéfinies, l'oubli du registre de sous-traitant et un document jamais mis à jour.

• Le registre fantôme : créé une fois pour un audit, puis oublié. Un registre qui ne reflète plus vos traitements réels ne vous protège pas, il vous expose, car il révèle votre défaut de suivi.
• Les finalités fourre-tout : « gestion administrative » ou « ressources humaines » ne veulent rien dire. Une finalité imprécise empêche de vérifier la minimisation et la base légale.
• Les durées indéfinies : conserver « sans limite » n'existe pas en RGPD. Chaque donnée a une durée justifiée, au terme de laquelle elle est supprimée ou archivée.
• L'oubli du registre de sous-traitant : les entreprises qui agissent pour le compte de clients oublient souvent qu'elles doivent tenir leur propre registre au titre de l'article 30.2.
• Le registre déconnecté du terrain : rempli par une seule personne sans interroger les services, il passe à côté des traitements réels et des outils installés par les métiers.
• La confusion des rôles : documenter en responsable un traitement où vous êtes sous-traitant, ou l'inverse, fausse toutes les obligations qui en découlent.

Un audit RGPD régulier détecte ces failles avant que la CNIL ne les relève.

Le rôle du DPO dans la tenue du registre

Le délégué à la protection des données pilote le registre, mais ne le remplit pas seul. Son rôle est de définir la trame, d'animer la collecte auprès des services, de contrôler la cohérence des fiches et de garantir la mise à jour. La responsabilité des informations, elle, reste partagée avec les métiers qui manipulent les données au quotidien.

Concrètement, le DPO orchestre le cycle : il lance la campagne de recensement, forme les référents de chaque service, relit les fiches sous l'angle des principes du RGPD et alerte sur les traitements à risque. Il fait du registre un outil de gouvernance, pas une archive morte. Dans les organismes sans DPO désigné, cette mission revient au responsable de traitement lui-même, qui ne peut pas s'en décharger.

Questions fréquentes

Le registre des traitements est-il obligatoire pour une TPE ? Oui, dans la quasi-totalité des cas. L'exemption de l'article 30.5 ne joue que pour les traitements occasionnels, sans risque et sans données sensibles. Dès que vous gérez la paie de salariés ou un fichier clients de façon régulière, vous devez tenir un registre, quelle que soit votre taille. La CNIL recommande à toutes les structures d'en tenir un.

Quelle est la différence entre registre du responsable et registre du sous-traitant ? Le registre du responsable (article 30.1) décrit vos propres traitements : finalités, bases légales, données, durées. Le registre du sous-traitant (article 30.2) recense les traitements que vous réalisez pour le compte de clients, sans en détailler les finalités. Une organisation qui cumule les deux rôles tient les deux registres.

Faut-il transmettre le registre à la CNIL ? Non. Le registre est un document interne que vous ne déposez nulle part. Vous le tenez à disposition et le présentez uniquement en cas de contrôle ou de demande de la CNIL. Le régime des déclarations préalables a disparu avec l'entrée en application du RGPD.

Qui doit tenir le registre dans l'entreprise ? Le responsable de traitement en porte l'obligation légale. Lorsqu'un délégué à la protection des données est désigné, il pilote et contrôle le registre, mais chaque service métier reste responsable des informations qu'il fournit sur ses propres traitements.

Sous quel format tenir le registre ? L'article 30 exige un écrit, y compris sous forme électronique. Un tableur structuré, daté et versionné suffit parfaitement. Un logiciel dédié apporte du confort sur les gros volumes, mais aucun format n'est imposé, du moment que le registre est complet et à jour.

À quelle fréquence mettre à jour le registre ? À chaque événement qui modifie vos traitements : nouvel outil, nouveau traitement, nouveau sous-traitant, changement de finalité ou de durée. Ajoutez une revue complète au moins une fois par an pour retirer les traitements obsolètes et vérifier les durées de conservation.

CTA final