Blog

Registre des traitements RGPD : le guide complet pour les PME

3 septembre 2026 — 8 min de lecture

Le registre des traitements est, dans l'immense majorité des contrôles CNIL, le premier document demandé. Une PME qui ne peut pas le produire immédiatement part avec un mauvais point de départ, même si le reste de sa conformité est correct. Voici ce qu'il doit contenir, qui doit en tenir un, et comment le construire sans y perdre des journées entières.

Qu'est-ce que le registre des traitements ?

L'article 30 du RGPD impose à tout organisme qui traite des données personnelles de documenter, pour chaque activité de traitement, un ensemble d'informations précises : à quoi sert ce traitement, quelles données il concerne, qui y a accès, combien de temps elles sont conservées, et quelles mesures de sécurité les protègent. Le registre est simplement la compilation de ces fiches, une par traitement — le recrutement, la paie, la gestion des clients, l'envoi de newsletters, la vidéosurveillance des locaux, etc. sont chacun un traitement distinct.

Ce n'est pas une déclaration à envoyer à la CNIL — depuis 2018, il n'y a plus de déclaration préalable. C'est un document interne, que vous devez être capable de présenter en cas de contrôle, de plainte d'un client ou d'audit d'un partenaire.

Qui doit en tenir un ?

Le texte prévoit une exemption pour les organismes de moins de 250 salariés — mais elle est plus étroite qu'on ne le croit. Elle ne s'applique que si le traitement est occasionnel, ne porte pas sur des données dites sensibles (santé, origine, opinions politiques ou religieuses...) et ne présente pas de risque pour les droits des personnes concernées. Or gérer une paie, un fichier clients ou un dossier RH n'a rien d'occasionnel : ce sont des traitements réguliers, menés en continu. Dans la pratique, la quasi-totalité des PME françaises tombe donc sous l'obligation de tenir un registre, exemption ou non — et la CNIL le recommande explicitement, quelle que soit la taille de la structure.

Ce que chaque fiche doit contenir

Pour chaque traitement, l'article 30 attend, a minima :

• Le nom et les coordonnées du responsable de traitement (et de votre DPO, si vous en avez désigné un).
• La ou les finalités — pourquoi ce traitement existe, formulé précisément (« gestion de la paie », pas « ressources humaines »).
• Les catégories de personnes concernées et de données traitées (salariés, clients, prospects... / identité, coordonnées, données bancaires...).
• Les destinataires — qui a accès aux données, en interne comme en externe (prestataire de paie, hébergeur, etc.).
• Les transferts hors Union européenne, le cas échéant, et les garanties associées.
• Les durées de conservation envisagées pour chaque catégorie de données — une durée précise, pas « le temps nécessaire ».
• Une description générale des mesures de sécurité mises en œuvre pour protéger ces données.

Les erreurs les plus fréquentes chez les PME

Le registre existe souvent, mais mal fait :

• Trop générique. « Gestion RH » qui recouvre en réalité cinq traitements différents (recrutement, paie, formation, contentieux...) avec des bases légales et des durées de conservation qui n'ont rien à voir entre elles.
• Jamais mis à jour. Un registre figé au jour de sa création, qui ne reflète plus un nouvel outil SaaS adopté six mois plus tard.
• Sous-traitants oubliés. L'outil de paie, l'hébergeur, l'agence marketing qui a accès au fichier clients — chacun est un destinataire à faire apparaître, avec souvent un contrat de sous-traitance (art. 28) à sécuriser en parallèle.
• Durées de conservation vagues. « Durée nécessaire » n'est pas une durée. Un contrôleur CNIL demandera le chiffre exact, et la justification qui va avec.

Comment le construire, étape par étape

1. Listez les traitements service par service (RH, commercial, comptabilité, marketing, informatique) plutôt que de partir d'une liste théorique — c'est ce qui fait apparaître les traitements « invisibles » comme un outil SaaS souscrit par un manager sans passer par l'IT.
2. Pour chaque traitement, remplissez les sept champs de la section précédente. Ne cherchez pas l'exhaustivité parfaite du premier coup : un registre incomplet mais réel vaut mieux qu'un registre parfait qui n'existe pas encore.
3. Identifiez les traitements à risque (données sensibles, profilage, surveillance) — ce sont ceux qui nécessitent potentiellement une analyse d'impact (AIPD) en plus du registre.
4. Faites relire par les responsables de chaque service : ce sont eux qui savent réellement où vont les données, pas uniquement la direction.

Un document vivant, pas un livrable ponctuel

La difficulté n'est presque jamais de créer le registre une première fois — c'est de le maintenir à jour à chaque nouvel outil, nouveau prestataire ou nouvelle activité. C'est exactement ce qu'un registre tenu dans un fichier Excel oublié dans un dossier partagé ne fait jamais : personne ne pense à y retourner six mois plus tard.