Une sanction RGPD peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, mais le premier risque d’une PME reste souvent bien plus concret : ne pas savoir où se trouvent ses données. Un registre des traitements RGPD simple et fiable permet de reprendre le contrôle en une après-midi.
À quoi sert le registre des traitements RGPD dans une PME ?
Le registre des traitements RGPD recense les opérations réalisées sur des données personnelles. Il décrit pourquoi l’entreprise utilise ces informations, qui y accède, combien de temps elles sont conservées et comment elles sont protégées.
Une donnée personnelle désigne toute information liée à une personne identifiable. Un nom, une adresse électronique professionnelle, un numéro de téléphone, une adresse IP, une plaque d’immatriculation ou un identifiant salarié entrent dans cette définition. Un traitement correspond à toute action effectuée sur ces données : collecte, consultation, modification, transmission, classement, archivage ou suppression.
Le registre ne doit donc pas être organisé uniquement par logiciel ou par fichier. Un même traitement, comme la gestion de la paie, repose souvent sur plusieurs supports : logiciel social, dossiers papier, messagerie, espace bancaire et sauvegarde. À l’inverse, un logiciel de gestion commerciale réunit plusieurs traitements distincts, par exemple la facturation, la prospection et le suivi des réclamations.
À retenir : le registre décrit les usages des données, pas seulement les outils informatiques. La bonne unité de travail est une activité poursuivant une finalité précise.
Pour un dirigeant, ce document offre aussi une vue opérationnelle. Il révèle les fichiers oubliés, les accès trop larges, les durées de conservation jamais définies et les prestataires qui manipulent des informations sensibles. Il devient ainsi un point de départ pour la conformité RGPD et la sécurité informatique.
Le registre RGPD est-il obligatoire pour une petite entreprise ?
L’article 30 du RGPD prévoit la tenue d’un registre par les responsables de traitement et, selon leur rôle, par les sous-traitants. Une dérogation existe pour certaines structures de moins de 250 salariés. Sa portée reste limitée : elle ne s’applique pas lorsque les traitements présentent un risque, portent sur des données sensibles ou des condamnations pénales, ou ne sont pas occasionnels.
CybersécuritéRançongiciel : que faire dans les premières 24 heuresDans une PME, la gestion des salariés, des clients, des factures et des prospects est régulière. Ces traitements ne sont pas occasionnels. La plupart des petites entreprises doivent donc tenir un registre, même avec trois, dix ou cinquante salariés.
Le responsable de traitement est généralement l’entreprise qui décide des objectifs et des moyens principaux. Le prestataire de paie, l’hébergeur ou l’éditeur d’un service en ligne agit souvent comme sous-traitant. Cette répartition doit être vérifiée dans les contrats, car elle détermine les obligations de chacun.
Le registre n’est pas à envoyer spontanément à une administration. Il doit rester disponible et être présenté en cas de contrôle. Il sert également à répondre de manière cohérente aux demandes d’accès, de rectification ou d’effacement formulées par les personnes concernées.
Préparer le registre en une après-midi : la méthode en quatre heures
Une PME sans service informatique n’a pas besoin de lancer un projet documentaire de plusieurs semaines. Une première version exploitable se construit en quatre heures si les bonnes personnes participent : le dirigeant, la personne chargée de l’administration, un référent commercial et, si nécessaire, le prestataire informatique.
13 h 30 à 14 h : rassembler les informations disponibles
Commencez par réunir les contrats de prestataires, les listes de logiciels, les formulaires du site web, les dossiers RH et les procédures existantes. Ajoutez les tableaux utilisés par les équipes, les espaces de stockage partagés et les services en ligne payés par carte bancaire.
Consultez également les téléphones professionnels, les boîtes électroniques génériques et les éventuels dossiers papier. Une liste de clients conservée dans la messagerie d’un commercial reste un traitement de données, même si elle n’apparaît dans aucun logiciel central.
- Liste des applications et abonnements numériques ;
- contrats de paie, comptabilité, hébergement et maintenance ;
- formulaires de contact, demandes de devis et inscriptions à une lettre d’information ;
- fichiers bureautiques locaux ou partagés ;
- archives papier et numériques ;
- caméras, badges, alarmes et journaux de connexion.
14 h à 15 h : lister les traitements courants
Interrogez chaque activité avec une phrase simple : « Quelles informations utilisons-nous pour accomplir cette tâche ? » Ne cherchez pas encore à remplir tous les détails. L’objectif consiste à obtenir une liste complète des usages réguliers.
Dans une petite entreprise, le socle comprend généralement la gestion du personnel, la paie, le recrutement, la comptabilité, la facturation, le suivi des clients, la prospection, le service après-vente, la gestion des fournisseurs, le contrôle des accès et l’exploitation du site internet.
| Activité | Exemples de données | Personnes concernées |
|---|---|---|
| Paie et gestion du personnel | Identité, coordonnées, salaire, RIB, absences | Salariés |
| Gestion des clients | Contacts, commandes, contrats, échanges | Clients et contacts professionnels |
| Prospection commerciale | Nom, fonction, courriel, historique des relances | Prospects |
| Vidéosurveillance | Images, date, heure, zone filmée | Salariés, visiteurs, clients |
| Site web | Adresse IP, formulaire, journaux techniques, traceurs | Internautes |
| Recrutement | CV, lettre, notes d’entretien, prétentions salariales | Candidats |
Créez une ligne par finalité. La vidéosurveillance destinée à sécuriser les locaux ne doit pas être mélangée au contrôle des horaires. De même, la prospection commerciale et l’exécution des commandes répondent à des objectifs différents, avec des bases juridiques et des durées distinctes.
15 h à 16 h 30 : compléter chaque fiche de traitement
Pour chaque activité, renseignez les rubriques exigées et les informations utiles au pilotage. Une formulation courte suffit si elle reste précise. Évitez les finalités floues telles que « gestion administrative » ou « besoins commerciaux ».
- Nom du traitement : gestion de la paie, facturation clients ou traitement des candidatures.
- Finalité : objectif poursuivi, formulé avec un verbe d’action.
- Personnes concernées : salariés, clients, prospects, candidats, visiteurs ou fournisseurs individuels.
- Catégories de données : identité, coordonnées, données financières, vie professionnelle, images ou données de connexion.
- Base juridique : contrat, obligation légale, intérêt légitime, consentement ou mission d’intérêt public selon la situation.
- Destinataires : fonctions internes, prestataires, organismes sociaux, banques ou administrations.
- Durée de conservation : durée active, archivage intermédiaire et règle de suppression.
- Transferts hors Union européenne : pays concerné et mécanisme d’encadrement lorsqu’un prestataire traite les données à l’étranger.
- Mesures de sécurité : gestion des accès, sauvegardes, chiffrement, mises à jour et protection physique.
Le registre prévu par le RGPD demande notamment les finalités, les catégories de personnes et de données, les destinataires, les transferts internationaux, les délais d’effacement envisagés et une description générale des mesures de sécurité. Ajouter la base juridique, les logiciels, les sous-traitants et la source des données facilite ensuite la gestion quotidienne.
16 h 30 à 17 h 30 : vérifier et prioriser les actions
Relisez le tableau en cherchant les cases vides et les incohérences. Une durée notée « illimitée » signale presque toujours une règle à définir. Un accès indiqué « tous les salariés » mérite aussi une vérification. Chaque personne ne doit consulter que les informations nécessaires à sa fonction.
CybersécuritéAssurance cyber pour PME : ce qu’elle couvre, ce qu’elle exigeClassez ensuite les corrections selon trois niveaux. Le niveau urgent couvre les données sensibles non protégées, les anciens comptes encore actifs, l’absence de sauvegarde et les fichiers accessibles publiquement. Le niveau intermédiaire regroupe les contrats de sous-traitance incomplets, les durées non appliquées et les mentions d’information absentes. Les améliorations documentaires passent après la réduction des risques immédiats.
Cas concret : une entreprise de douze salariés constate que son ancien prestataire possède toujours un accès à l’espace de paie. Le registre met en évidence le destinataire, l’outil et les données exposées. La suppression du compte devient une action prioritaire, mesurable et vérifiable.
Modèle de tableau pour remplir le registre des traitements
Un tableur convient à la majorité des PME. Une feuille principale recense les traitements. Une seconde feuille peut suivre les actions correctives, avec un responsable et une date cible. Le fichier doit être stocké dans un espace protégé et accessible aux personnes chargées de sa mise à jour.
| Colonne | Exemple à saisir |
|---|---|
| Traitement | Gestion des commandes clients |
| Finalité | Établir les devis, exécuter les commandes et assurer le suivi |
| Personnes | Clients particuliers et contacts chez les clients professionnels |
| Données | Identité, coordonnées, commande, échanges, paiement |
| Base juridique | Exécution du contrat et obligations comptables |
| Destinataires | Service commercial, comptabilité, transporteur |
| Outils | Logiciel commercial, messagerie, espace comptable |
| Conservation | Durée de la relation puis archivage selon les obligations applicables |
| Sécurité | Comptes individuels, droits par fonction, sauvegarde quotidienne |
| Sous-traitants et transferts | Prestataires concernés, localisation et garanties contractuelles |
Les durées doivent être adaptées à chaque finalité. Les pièces comptables répondent à des obligations de conservation spécifiques. Les candidatures non retenues, les images de vidéosurveillance et les données de prospection suivent d’autres règles. Indiquez une durée ou un critère objectif, puis configurez une suppression ou une revue périodique.
Pour un traitement mêlant plusieurs fondements, séparez les phases. Les coordonnées d’un client sont utilisées pendant le contrat, puis certaines pièces sont archivées pour satisfaire aux obligations légales ou défendre les droits de l’entreprise. Cette distinction évite de conserver l’intégralité du dossier au même endroit pendant une durée excessive.
Relier le registre RGPD à la sécurité informatique
Un registre purement administratif perd une grande part de son intérêt. Chaque ligne doit permettre d’identifier les actifs numériques, les accès et les scénarios de fuite. Les données de paie appellent par exemple une protection plus stricte qu’une liste publique d’adresses d’entreprises.
Évaluer le niveau de sensibilité
Ajoutez une colonne de criticité avec trois valeurs : faible, modérée ou élevée. Tenez compte du volume, de la sensibilité, du nombre de personnes, de l’exposition sur internet et des conséquences d’une divulgation. Les données de santé, les mots de passe, les coordonnées bancaires et les documents d’identité exigent une vigilance renforcée.
Associer des mesures concrètes à chaque traitement
- Créer des comptes nominatifs et interdire les identifiants partagés ;
- activer l’authentification multifacteur sur la messagerie, la paie et les sauvegardes ;
- retirer les accès lors d’un départ ou d’un changement de poste ;
- installer rapidement les mises à jour de sécurité ;
- chiffrer les ordinateurs portables et les supports amovibles ;
- conserver une sauvegarde isolée et tester sa restauration ;
- limiter les exports de fichiers clients et tracer les opérations sensibles ;
- verrouiller les armoires contenant des dossiers papier.
Le registre aide aussi à gérer une violation de données. Une entreprise doit être capable d’identifier les informations touchées, les personnes concernées, les destinataires et les protections en place. Lorsqu’une notification à l’autorité de contrôle est requise, le délai est de 72 heures après la prise de connaissance de la violation. Un inventaire actualisé réduit fortement le temps perdu pendant l’incident.
Maintenir le registre sans alourdir l’organisation
Une revue annuelle constitue un minimum pratique, mais elle ne remplace pas les mises à jour déclenchées par un changement. Le registre doit évoluer lors de l’achat d’un logiciel, du recours à un nouveau prestataire, de la création d’un formulaire, de l’installation de caméras ou de la collecte d’une nouvelle catégorie de données.
Nommez un responsable du document, même s’il ne porte pas le titre de délégué à la protection des données. Dans une petite structure, cette mission revient souvent au responsable administratif, avec validation du dirigeant. Chaque responsable métier confirme les informations liées à son activité.
- Prévoir une revue de 60 à 90 minutes chaque année ;
- ajouter le contrôle RGPD au processus d’achat d’un service numérique ;
- vérifier chaque trimestre les comptes utilisateurs et les accès externes ;
- consigner les incidents, corrections et dates de contrôle ;
- tester l’application réelle des durées de suppression ;
- mettre à jour les mentions d’information lorsque les usages changent.
À retenir : un registre court, exact et revu vaut mieux qu’un document exhaustif laissé sans mise à jour. Il doit refléter les pratiques réelles de l’entreprise et guider les décisions de sécurité.
Conservez une date de dernière révision sur chaque ligne et un historique succinct des modifications. Cette traçabilité montre la démarche suivie, répartit les responsabilités et transforme le registre des traitements RGPD en outil durable de pilotage numérique.
