Article 30 du RGPD, en vigueur depuis 2018, obligation ferme : toute entreprise qui traite des données personnelles doit tenir un <strong>registre des activités de traitement</strong>. Selon la dernière enquête de l'APD, 60 % des PME belges n'en ont toujours pas. Voici comment sortir de ce chiffre en deux heures.
Qui doit tenir un registre ?
Officiellement, l'obligation s'applique aux entreprises de plus de 250 salariés — mais avec trois exceptions qui la ramènent, en pratique, à toutes les entreprises : dès qu'il y a traitement non-occasionnel, dès qu'il concerne des données sensibles (santé, opinions, etc.), ou dès qu'il présente un risque pour les personnes concernées.
La paie, la gestion des candidatures, la vidéosurveillance, un site web avec formulaire de contact : tout cela y passe. En pratique, dès qu'une entreprise a un salarié, elle doit tenir un registre.
Ce que doit contenir le registre
L'article 30 liste six éléments obligatoires par traitement :
Le nom du traitement et sa finalité (paie, recrutement, prospection, vidéosurveillance…). Les catégories de personnes concernées (salariés, candidats, clients, prospects). Les catégories de données traitées (identité, contact, données bancaires, données de santé). Les destinataires (interne, sous-traitants, autorités). Les durées de conservation (justifiées par la finalité ou une obligation légale). Les mesures de sécurité techniques et organisationnelles.
Les cinq traitements minimum d'une PME
Sauf activité très spécifique, on retrouve toujours les mêmes traitements de base :
Gestion du personnel — contrats, paie, congés. Base légale : contrat de travail et obligations légales. Conservation : 5 ans après la fin du contrat (10 ans pour la paie).
Recrutement — CV, entretiens, tests. Base légale : mesures précontractuelles. Conservation : 2 ans maximum pour les candidats non retenus, avec information préalable.
Gestion clients — facturation, relation commerciale, suivi. Base légale : exécution du contrat. Conservation : 10 ans pour les données comptables, 3 ans après la fin de la relation pour le reste.
Prospection commerciale — CRM, newsletters. Base légale : intérêt légitime ou consentement. Conservation : 3 ans après le dernier contact actif.
Site web et cookies — logs, statistiques, formulaires. Base légale variable selon le type. Conservation : 13 mois maximum pour les cookies statistiques.
Les erreurs à éviter
La première : rédiger un registre trop détaillé, illisible et jamais mis à jour. Le registre est un outil vivant, pas un rapport annuel. Deux pages par traitement, clair, actualisable.
La deuxième : oublier les traitements sous-traités. Votre logiciel de paie, votre CRM cloud, votre plateforme d'e-mailing : ce sont vos traitements, à vous de les recenser.
La troisième : ne pas dater et signer. Le registre doit être daté, signé par le responsable de traitement, et présentable à l'APD sur simple demande.
Le format
Aucune obligation de format : tableur, base de données, document Word, tout est accepté tant que c'est lisible et à jour. L'APD recommande un tableur pour la maintenance. Nous fournissons à nos clients un modèle Excel avec les cinq traitements de base pré-remplis — il reste à ajuster les durées, les destinataires et les mesures de sécurité propres à l'entreprise.
Deux heures de travail bien structuré. C'est le meilleur ratio effort-risque de la conformité RGPD.