Registre des activités de traitement RGPD : méthode article 30

Un registre des activités de traitement RGPD est une carte vivante, propre au rôle, et non un formulaire rempli une fois. Il relie chaque activité réelle à ses flux, ses propriétaires et ses preuves. Une petite entreprise inventorie d’abord son travail ; elle n’examine qu’ensuite la dérogation étroite, activité par activité ¹.

Réponse rapide — Partez des systèmes, fichiers, échanges et propriétaires pour délimiter chaque activité. Construisez ensuite le registre du responsable du traitement ou celui du sous-traitant avec les champs de l’article 30. La dérogation pour une organisation de moins de 250 salariés exige plusieurs conditions cumulatives ; elle ne dispense jamais l’entreprise en bloc ¹.

Dernière mise à jour : 26 août 2026

Partir des activités, pas d’un modèle vide

Un modèle ne connaît ni vos systèmes ni vos échanges. Lancez l’inventaire à partir des applications, fichiers, formulaires, boîtes fonctionnelles, interfaces, exports, sauvegardes et échanges avec des partenaires. Chaque piste doit conduire à un propriétaire métier, aux personnes et données concernées, aux opérations, aux destinataires et à la sortie prévue. Elle ne devient une ligne qu’après confirmation de ces faits.

L’unité utile est une activité cohérente. « Gestion des ressources humaines » mélange souvent recrutement, paie, absences et formation alors que leurs buts, données et délais diffèrent. À l’autre extrême, une ligne par écran ou table technique découpe artificiellement un même cycle ; le bon niveau permet à un lecteur de raconter un but, un flux et une fin sans changer de rôle en chemin.

Testez la cohérence avec une phrase : « lorsque tel événement se produit, nous utilisons telles données concernant telles personnes afin d’obtenir tel résultat ». Si la phrase contient deux buts sans lien, deux propriétaires incompatibles ou deux chemins d’effacement, scindez la ligne. Si plusieurs systèmes servent un même but selon le même cycle, rattachez-les à l’activité et conservez leur détail comme preuve.

L’inventaire doit aussi suivre les échanges. Relevez ce qui vient d’une personne, d’un client, d’un fournisseur, d’une administration ou d’un autre système ; notez ensuite ce qui est transmis, à qui et dans quelle capacité. Une intégration décrite uniquement comme « API » cache la finalité, les catégories de données et le rôle des parties.

Attribuez un propriétaire capable de confirmer le fonctionnement et de recevoir les alertes de changement. La conformité coordonne la méthode ; elle n’invente ni le but, ni le destinataire, ni l’effacement à la place du métier. Toute information inconnue apparaît comme une question attribuée, avec sa source attendue. Une cellule vide ou une formule plausible ne doit jamais passer pour un fait validé.

Distinguer le registre du responsable et celui du sous-traitant

Le responsable du traitement tient le registre des activités placées sous sa responsabilité ; le sous-traitant tient un autre registre, portant sur les catégories de traitements effectués pour le compte de chaque responsable ¹. Une même organisation peut donc avoir deux vues lorsqu’elle décide de certaines activités pour son propre compte et exécute d’autres opérations sur instruction de clients.

Le tableau compare les obligations, pas la charge de travail ; le sous-traitant sépare chaque responsable et rend les catégories de traitements intelligibles pour lui. Un catalogue mondial de produits ne suffit pas : deux clients peuvent activer des fonctions, des régions ou des sous-traitants ultérieurs différents. La structure choisie doit permettre d’extraire une vue fiable sans mélanger leurs faits.

Qualifiez le rôle avant de remplir les champs. Demandez qui détermine la finalité et les moyens essentiels, puis qui agit sur instruction ; le nom donné au contrat ne tranche pas. Si un fournisseur réutilise les données pour un objectif qu’il choisit, cette utilisation reçoit sa propre analyse et, le cas échéant, sa propre ligne de responsable au lieu d’être noyée dans la vue de sous-traitant.

Le registre européen n’est pas interchangeable avec la méthode britannique de tenue des registres^EN(article en anglais). Conservez la route juridique et les champs applicables à l’entité examinée.

Cartographier les champs du responsable du traitement

Le registre du responsable commence par les noms et coordonnées du responsable et, le cas échéant, du responsable conjoint, du représentant et du DPO ¹. Ces informations doivent permettre d’identifier la personne morale et les canaux pertinents. Un nom de produit ou une boîte générique sans propriétaire ne délimite pas la responsabilité.

La finalité explique le résultat recherché. Écartez les mots isolés comme « gestion », « amélioration » ou « conformité », qui ne permettent aucun contrôle. Une bonne formulation aide à juger les personnes, les données, les destinataires et la durée. Si deux résultats appellent des populations ou des effacements différents, ils appartiennent probablement à deux lignes.

Décrivez les catégories de personnes et de données avec assez de précision pour comprendre le traitement sans reproduire les données elles-mêmes. « Utilisateurs actifs et anciens utilisateurs » est plus utile que « clients » si les délais diffèrent ; « coordonnées professionnelles, historique des demandes et journaux d’accès » est plus contrôlable que « données diverses ».

Les catégories de destinataires couvrent ceux auxquels les données ont été ou seront communiquées, y compris dans des pays tiers ou des organisations internationales ¹. Distinguez un destinataire d’un utilisateur interne agissant sous l’autorité de l’organisation lorsque cette distinction correspond au fonctionnement. Reliez les catégories à des contrats, schémas de flux ou listes de fournisseurs tenus à jour.

Pour les transferts vers un pays tiers ou une organisation internationale, identifiez la destination et, dans le cas visé par l’article 49, paragraphe 1, deuxième alinéa, la documentation des garanties appropriées ¹ ; le registre ne doit pas réduire un transfert à l’emplacement d’un serveur ; il suit les mouvements et accès juridiquement pertinents avec leurs preuves.

Lorsque c’est possible, indiquez les délais envisagés pour l’effacement des différentes catégories de données. Une ligne unique « selon la politique » n’aide que si elle pointe vers une règle précise, versionnée et compatible avec l’activité. Si les catégories suivent des échéances différentes, rendez cette différence visible ou séparez les chemins.

Ajoutez enfin, lorsque c’est possible, une description générale des mesures techniques et organisationnelles de sécurité visées à l’article 32 ¹. Elle reste générale et lisible, mais suffisamment liée à l’activité pour ne pas devenir une formule identique partout. Les pièces détaillées peuvent demeurer dans un référentiel contrôlé auquel le registre renvoie.

Utilisez le diagramme à la fin d’une ligne, comme contrôle de couverture. Chaque branche doit pointer vers une valeur confirmée ou vers une question attribuée. La présence des sept intitulés ne prouve pas encore la qualité : l’activité doit rester cohérente et chaque valeur doit pouvoir être retrouvée dans une source actuelle.

Construire la vue propre au sous-traitant

Le registre du sous-traitant nomme le sous-traitant et, le cas échéant, son représentant et son DPO, puis chaque responsable pour le compte duquel il agit, avec les coordonnées correspondantes ¹. Une seule ligne « tous les clients » ne permet pas d’identifier la relation ni de répondre proprement à une demande.

Pour chaque responsable, décrivez uniquement les catégories de traitements réellement exécutées : par exemple hébergement, collecte, organisation, consultation, assistance, sauvegarde ou suppression. Ces verbes ne forment pas une liste préremplie ; le service activé, l’instruction et l’architecture déterminent ce qui appartient à la ligne ; le catalogue commercial révèle des possibilités, pas des faits.

Conservez une séparation entre clients. Elle peut prendre la forme de lignes liées, de vues filtrées ou d’un identifiant robuste, à condition qu’un lecteur puisse retrouver le responsable, les catégories de traitements, les transferts et la sécurité pertinents sans exposer les informations d’un autre client. Les chaînes de sous-traitance et les options régionales doivent rester attribuables.

Les transferts vers des pays tiers ou des organisations internationales sont consignés avec les destinations et les garanties requises dans le cas prévu par l’article 49 ¹. La description générale des mesures de sécurité apparaît également lorsque c’est possible. Reliez ces champs aux preuves opérationnelles, notamment l’architecture, les sous-traitants ultérieurs et les contrôles effectivement activés.

Réexaminez le rôle chaque fois que le but ou le pouvoir de décision change. Un fournisseur peut exécuter la fonction commandée comme sous-traitant, puis décider d’une utilisation séparée pour son propre compte. Cette seconde route ne se cache pas derrière « amélioration du service » : elle reçoit une qualification, un propriétaire, des champs de responsable et des preuves distinctes.

Le registre du responsable transmis par un client peut éclairer les faits, mais il ne remplace pas la vue du sous-traitant. Les deux documents répondent à des obligations différentes. Organisez une réconciliation des identifiants, catégories de service et changements sans forcer les champs du paragraphe 1 dans le paragraphe 2.

Créer une ligne cohérente pour chaque activité

Une ligne exploitable raconte un cycle complet. Elle relie l’événement de départ aux personnes, aux données, aux opérations, aux échanges, à la fin du besoin et aux preuves. Les cinq décisions suivantes transforment les pistes de l’inventaire en une activité que quelqu’un d’autre peut reprendre :

1. Définir la finalité et le déclencheur. Écrivez ce qui lance l’activité, le résultat recherché et la personne qui en est propriétaire. Pour un sous-traitant, formulez plutôt la catégorie de traitement et l’instruction du responsable, sans lui attribuer une finalité inventée.
2. Tracer le cycle de vie. Relevez la collecte ou la réception, les systèmes traversés, les accès, transformations, communications, sauvegardes et sorties. Associez chaque étape à des catégories de données et à une preuve actuelle.
3. Séparer les buts et chemins différents. Scindez la ligne lorsque deux finalités, deux rôles ou deux règles d’effacement ne peuvent pas être expliqués ensemble. Ne fragmentez pas une activité cohérente pour chaque écran ou table technique.
4. Attacher les éléments de preuve. Reliez contrats, configurations, politiques, schémas de flux, décisions de transfert et mesures de sécurité par référence et version ; le registre reste lisible tandis que les détails vivent dans leur source contrôlée.
5. Attribuer la propriété et les déclencheurs. Nommez la personne qui confirme les faits et les événements qui imposent une mise à jour : nouvelle finalité, donnée, destination, intégration, transfert, délai, mesure ou qualification de rôle.

Relisez la ligne horizontalement : les données servent-elles le résultat annoncé, les destinataires et transferts figurent-ils dans le cycle, les chemins d’effacement correspondent-ils aux catégories et la sécurité couvre-t-elle l’architecture ? Une contradiction révèle soit une information fausse, soit deux activités réunies à tort. Ne corrigez pas le symptôme en ajoutant une note vague.

Relisez aussi verticalement entre activités. Un même fournisseur peut jouer plusieurs rôles, une même catégorie de données peut suivre des délais différents selon la finalité et un système partagé peut servir plusieurs lignes. La cohérence n’exige pas des valeurs identiques ; elle exige que chaque différence soit expliquée et détenue par quelqu’un.

Une activité encore incomplète peut entrer dans l’inventaire avec un statut de travail, un propriétaire et une échéance interne. Elle ne doit pas être présentée comme une ligne achevée ; le risque principal d’un modèle prérempli est de faire passer une cellule plausible pour un fait vérifié.

Tester honnêtement la dérogation pour moins de 250 salariés

Le seuil d’effectif ouvre seulement la porte du test. Pour une activité donnée, l’organisation de moins de 250 personnes doit encore démontrer un traitement occasionnel, peu susceptible d’engendrer un risque pour les droits et libertés, et dépourvu à la fois des données de l’article 9 et de celles de l’article 10 ¹. Si une condition manque, l’activité reste dans le registre.

La dérogation ne s’accorde pas à l’entreprise entière. Toutes les conditions doivent être réunies pour l’activité, et une seule exception suffit à maintenir son inscription ³. Une opération ponctuelle peut recevoir une conclusion différente de la gestion courante des salariés. Conservez ces deux décisions séparément afin qu’un changement sur l’une ne contamine pas l’autre.

« Occasionnel » ne doit pas recevoir une fréquence universelle inventée. Décrivez les déclencheurs, la répétition observée et la place de l’activité dans le fonctionnement. Une opération régulière, même peu volumineuse, ne devient pas occasionnelle parce qu’elle mobilise peu de personnes ou qu’elle est automatisée.

Le risque doit également être examiné selon les faits. Conservez les catégories de personnes, les effets possibles, l’échelle, les destinataires et les garanties qui soutiennent la conclusion ; le texte parle d’un traitement susceptible d’engendrer un risque, pas seulement d’un risque élevé ; relever arbitrairement le niveau affaiblirait la dérogation.

Une activité dispensée conserve sa propre preuve : effectif daté, faits soutenant le caractère occasionnel, analyse du risque, contrôle des articles 9 et 10, décideur et déclencheurs. Une répétition nouvelle, une autre donnée, une évolution du risque ou de l’effectif rouvre le test. La fiche négative empêche qu’une ancienne dérogation couvre silencieusement une activité devenue différente.

Tenir un écrit disponible et explicable

Les registres doivent être écrits, y compris sous forme électronique, et mis à la disposition de l’autorité de contrôle sur demande ¹. L’article 30 n’impose ni logiciel, ni format propriétaire. Un tableur, une base structurée ou un outil de gouvernance peut convenir si son contenu reste complet, lisible, contrôlé et exportable.

Choisissez l’outil à partir des opérations attendues : plusieurs propriétaires, séparation des rôles, liens vers les preuves, historique, contrôle d’accès, filtres par entité et export. Un écran séduisant ne répare pas une activité incohérente. Un tableur sobre peut en revanche convenir si les validations, les changements et les références y restent maîtrisés.

Préparez la disponibilité avant toute demande. Nommez la personne qui reçoit la sollicitation, celle qui extrait le périmètre pertinent, celle qui vérifie la sécurité de l’export et les propriétaires capables d’expliquer les lignes. Un exercice interne peut confirmer que les filtres fonctionnent et que les pièces liées restent accessibles aux personnes autorisées.

Le considérant 82 relie les registres à la démonstration de la conformité et à la coopération avec l’autorité ². Cette fonction explique pourquoi le document doit montrer le fonctionnement réel plutôt qu’une liste de formulations génériques. Un lecteur doit pouvoir passer d’une ligne à son propriétaire et à ses pièces.

Conservez une piste de preuve proportionnée : date de création, auteur ou validateur, source des informations, dernière modification importante et raison du changement. Il n’est pas nécessaire de placer chaque détail technique dans le registre, mais la référence vers la source doit être stable, versionnée et compréhensible.

Enfin, protégez le registre. Il peut révéler des flux, des catégories sensibles, des mesures de sécurité et des fournisseurs. Gérez les droits d’accès, les exports et les copies tout en préservant la capacité de le mettre à disposition de l’autorité compétente.

Travailler une activité complètement renseignée

Prenons un exemple illustratif : le traitement des demandes adressées à une assistance en ligne. Les valeurs ci-dessous montrent le niveau de précision attendu ; elles ne constituent pas des durées, destinataires ou mesures universelles. Chaque organisation doit les remplacer par ses propres faits et preuves.

L’exemple tient parce que les sept champs reviennent au même résultat d’assistance. Si les conversations servent ensuite à entraîner un modèle pour plusieurs produits, ce second but ne peut pas rester dans la même ligne par commodité. Il faut qualifier le nouveau pouvoir de décision, ouvrir l’activité correspondante et réunir ses propres destinataires, délais et preuves.

Les valeurs ne sont acceptées qu’après confirmation ; le propriétaire du service confirme le processus et les accès ; les équipes techniques confirment les systèmes et la suppression ; la fonction juridique ou de protection des données vérifie les transferts et la cohérence. Cette répartition évite qu’une seule personne remplisse des cellules plausibles sans autorité sur les faits.

Donnez à la ligne un identifiant stable, une date et des déclencheurs concrets : nouvel outil de ticket, pièce jointe sensible, prestataire supplémentaire, accès depuis une autre région, réutilisation analytique ou modification de l’effacement ; le propriétaire compare alors la nouvelle version à l’ancienne et explique pourquoi chaque champ a changé ou reste valable.

Séparer les champs légaux des compléments utiles

Un registre peut contenir plus que le minimum de l’article 30. Les compléments soutiennent la gouvernance, mais ils ne doivent ni masquer les champs obligatoires ni être présentés comme leur remplacement. Distinguez clairement les deux niveaux dans le modèle et dans les contrôles.

Choisissez les compléments parce qu’ils déclenchent une action : retrouver une décision de licéité, avertir un propriétaire, identifier un système, ouvrir une AIPD ou réexaminer une activité. Présentez-les dans un groupe distinct. Leur utilité interne ne permet pas d’affirmer que l’article 30 les impose tous.

La séparation améliore aussi les contrôles. Un filtre peut vérifier que tous les champs légaux sont présents, tandis qu’une seconde vue mesure la qualité des liens de gouvernance. Sans cette distinction, une ligne très riche en commentaires peut sembler complète alors qu’elle omet un destinataire, un transfert ou un délai d’effacement.

Évitez de recopier des référentiels entiers. Si la politique de conservation, la liste de fournisseurs ou le catalogue de sécurité est la source officielle, conservez une référence stable et la version pertinente ; le registre explique ce qui s’applique à l’activité ; la source spécialisée garde son détail et son propriétaire. Cette séparation réduit les divergences sans vider la ligne de son sens.

Maintenir un registre vivant

Le registre change lorsque l’activité change. Les déclencheurs typiques sont une nouvelle finalité, une nouvelle catégorie de personnes ou de données, un destinataire supplémentaire, un transfert, un autre délai d’effacement, une modification importante de sécurité, un nouveau système, une intégration ou une requalification du rôle. Chaque ligne nomme ceux qui peuvent observer ces événements.

Placez l’alerte là où la décision est prise. Les achats voient un fournisseur, l’équipe produit une nouvelle utilisation, les responsables techniques un flux ou une région, les ressources humaines un autre processus et la fonction juridique une obligation. Chacun connaît le canal et le propriétaire à prévenir ; le registre ne dépend alors plus d’une découverte fortuite après le lancement.

Une mise à jour importante conserve son auteur, sa date, la raison et les champs touchés. Gardez la version précédente ou un historique suffisamment précis pour comprendre la transition. Cette trace permet de montrer que le registre correspondait aux faits connus à une date et qu’il a été corrigé lorsque ces faits ont évolué.

Ajoutez un contrôle périodique proportionné comme filet de sécurité, sans prétendre qu’un intervalle universel est imposé. Sa fréquence dépend de la stabilité, du volume de changements, des risques et de la capacité de l’organisation. Ce contrôle ne justifie jamais d’attendre lorsqu’un déclencheur connu survient.

Mesurez la qualité avec des questions utiles : lignes sans propriétaire, preuves périmées, références cassées, activités annoncées par les systèmes mais absentes du registre, divergences entre responsable et sous-traitant, ou dérogations dont les faits ont changé. Les nombres servent à trouver du travail ; ils ne transforment pas automatiquement une cellule remplie en donnée exacte.

Un registre vivant relie ainsi plusieurs travaux sans les confondre. Il aide à répondre à une demande, préparer une AIPD, contrôler un transfert, revoir une conservation ou expliquer un rôle. Sa qualité se mesure moins au nombre de cellules qu’à deux capacités : retrouver la preuve d’une valeur et faire apparaître rapidement un changement réel.

Être prêt dès lundi matin

Une équipe peut lancer le travail sans attendre un outil spécialisé ; le premier cycle doit rendre visibles les activités, les rôles et les lacunes, puis installer un mécanisme de confirmation :

1. Nommer un pilote et des propriétaires. Attribuez la coordination du registre et identifiez les responsables métiers capables de confirmer chaque activité, sans transférer à une seule personne la connaissance de tous les systèmes.
2. Extraire un inventaire initial. Rassemblez systèmes, fichiers, intégrations, fournisseurs, formulaires, échanges et projets récents ; utilisez-les comme pistes, pas comme lignes déjà validées.
3. Délimiter les activités. Formulez le déclencheur, le but ou la catégorie de traitement, les personnes, les opérations et la fin. Scindez les finalités, rôles ou chemins d’effacement incompatibles.
4. Qualifier chaque rôle. Décidez si l’organisation agit comme responsable ou sous-traitant pour l’activité, puis ouvrez la vue et les champs correspondants. Isolez toute utilisation poursuivie pour son propre compte.
5. Compléter les champs et preuves. Remplissez coordonnées, finalités ou catégories, personnes et données, destinataires, transferts, effacement et sécurité selon le rôle ; liez chaque valeur à sa source actuelle.
6. Tester la dérogation par activité. Pour une organisation de moins de 250 salariés seulement, démontrez cumulativement le caractère occasionnel, le risque peu probable et l’absence de données des articles 9 et 10. Inscrivez l’activité dès qu’une condition échoue.
7. Installer les mises à jour et l’export. Définissez les déclencheurs, l’historique, les accès, la vérification proportionnée et la procédure permettant de présenter rapidement une vue lisible à l’autorité sur demande.

À la fin du premier cycle, séparez les lignes confirmées des questions ouvertes. Pour chacune de ces dernières, publiez le fait manquant, la source attendue, le propriétaire et l’échéance interne. Cette visibilité donne un plan de fermeture au lieu d’un faux sentiment d’exhaustivité ; le cycle suivant commence par ces écarts et par les changements signalés depuis l’inventaire.

Questions fréquentes sur le registre des activités de traitement

Qu’est-ce qu’un registre des activités de traitement ?

C’est la carte écrite et tenue à jour des activités relevant d’un responsable ou réalisées par un sous-traitant pour ses responsables clients ¹. Elle relie une activité cohérente à son rôle, ses champs, ses flux et ses preuves ; le considérant 82 rattache cet ensemble à la démonstration de la conformité et à la coopération avec l’autorité ².

Quels champs le registre du responsable du traitement doit-il contenir ?

Il couvre les coordonnées, les finalités, les catégories de personnes et de données, les destinataires, les transferts et garanties pertinents, les délais d’effacement lorsque c’est possible et une description générale des mesures de sécurité lorsque c’est possible ¹. Chaque valeur doit rester rattachée à une activité délimitée et à une preuve actuelle.

Que doit inscrire un sous-traitant dans son propre registre ?

Il consigne ses coordonnées et celles de chaque responsable, les catégories de traitements effectués pour chacun, les transferts et garanties pertinents, ainsi qu’une description générale de la sécurité lorsque c’est possible ¹. Il sépare les clients et ne copie pas mécaniquement le registre du responsable, car les deux vues n’ont pas le même jeu de champs.

Une organisation de moins de 250 salariés est-elle dispensée de registre ?

Non, pas en bloc ; le texte exige, pour chaque activité, un traitement occasionnel, peu susceptible d’engendrer un risque et ne comprenant aucune donnée des articles 9 ou 10 ¹ ; le CEPD précise le caractère cumulatif de cette dérogation et son application au niveau de l’activité ³. Une seule condition défavorable maintient donc l’inscription concernée.

Un tableur suffit-il pour tenir le registre ?

Oui, si le support reste écrit, lisible, maîtrisé, complet et disponible. L’article 30 admet expressément la forme électronique sans imposer un produit ¹ ; le tableur doit toutefois permettre de séparer les rôles, d’attribuer les propriétaires, de relier les preuves, de suivre les changements et d’extraire une vue intelligible.

Quand faut-il mettre à jour le registre des activités de traitement ?

Mettez-le à jour dès qu’un fait pertinent évolue : finalité, personnes, données, destinataire, transfert, effacement, sécurité, système, intégration, rôle ou propriétaire. Ajoutez une vérification périodique proportionnée comme filet de sécurité, sans inventer un intervalle universel. Conservez l’auteur, la date, la raison et les champs modifiés pour rendre le changement explicable.

Le contrôle de sortie tient en cinq questions : le rôle est-il qualifié, les champs requis sont-ils présents, chaque valeur mène-t-elle à une preuve, un propriétaire peut-il répondre et les changements ont-ils un canal ? Une dérogation ajoute la démonstration de toutes ses conditions. Si une réponse manque, la ligne garde un travail attribué au lieu de recevoir artificiellement le statut « terminé ».