Guide Pratique : "GDPR records of processing activities guide" Et Article 30

CE que recouvre le registre au titre de l’Article 30 GDPR

Le registre des activités de traitement est une documentation interne exigée par l’Article 30 du Règlement (UE) 2016/679 (GDPR). Il ne s’agit pas d’un document unique imposé dans sa forme : l’article fixe un contenu minimal, mais laisse le responsable du traitement choisir l’outil — tableur, GRC, base de données. CE GDPR records of processing activities guide retient une approche par processus : chaque traitement décrit doit pouvoir être relié à une finalité, une base légale, des destinataires et une durée de conservation.

L’obligation pèse d’abord sur le responsable du traitement (Article 30(1) GDPR). Le sous-traitant tient un registre distinct des catégories d’activités de traitement réalisées pour le compte d’un responsable (Article 30(2) GDPR). Les deux registres ne se confondent pas : le premier décrit les traitements pour compte propre, le second les prestations reçues. L’Article 30(4) GDPR impose de mettre ces registres à disposition de l’autorité de contrôle sur demande. L’Article 30(5) GDPR prévoit une exemption pour les organismes de moins de 250 salariés, mais elle ne joue pas si le traitement n’est pas occasionnel, s’il peut engendrer un risque pour les droits et libertés, ou s’il porte sur des catégories particulières de données (Article 9) ou des données relatives à des condamnations pénales (Article 10).

L’Article 30(3) GDPR précise que les registres sont tenus par écrit, y compris sous forme électronique. Aucun format n’est imposé, mais l’autorité de contrôle doit pouvoir les consulter. Un tableur correctement structuré peut suffire pour une PME ; un groupe peut avoir besoin d’un référentiel partagé.

Contenu minimal : Article 30(1) et Article 30(2)

Données à collecter pour chaque traitement

Pour chaque traitement, l’Article 30(1) GDPR exige : le nom et les coordonnées du responsable du traitement et, le cas échéant, du représentant et du délégué à la protection des données (DPO) ; les finalités du traitement ; les catégories de personnes concernées et de données à caractère personnel ; les destinataires ou catégories de destinataires ; les transferts vers un pays tiers ou une organisation internationale, avec les garanties prévues à l’Article 46 ou la décision d’adéquation au titre de l’Article 45 ; les délais de conservation ; et, dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles prévues à l’Article 32.

Le registre du sous-traitant (Article 30(2) GDPR) reprend les catégories d’activités de traitement effectuées pour chaque responsable, les transferts hors UE et les mesures de sécurité. Un GDPR records of processing activities guide utile ne se limite pas à une liste de traitements : il documente la logique de qualification. Par exemple, un traitement de prospection B2B ne relève pas de la même base légale qu’un traitement de paie. La base légale n’est pas explicitement listée à l’Article 30(1)(b), mais elle conditionne la finalité et doit être traçable dans la documentation interne pour répondre à l’Article 5(1)(a) et à l’Article 6.

La description des mesures de sécurité au titre de l’Article 32 GDPR n’exige pas un inventaire exhaustif des configurations. Elle doit permettre de comprendre les garanties : chiffrement, contrôle d’accès, journalisation, sauvegardes, gestion des incidents.

Articulation avec les autres obligations GDPR

Le registre est un outil de responsabilité (accountability) au sens de l’Article 5(2) GDPR. Il alimente l’analyse d’impact relative à la protection des données (AIPD) prévue à l’Article 35 lorsque le traitement est susceptible d’engendrer un risque élevé. Il sert aussi de source pour la désignation du DPO (Article 37) et pour la tenue des contrats de sous-traitance (Article 28). Un registre à jour facilite la réponse aux demandes d’exercice des droits (Articles 15 à 22) et la notification des violations de données (Articles 33 et 34).

Le registre ne remplace pas les contrats de sous-traitance de l’Article 28 GDPR. Il doit au contraire permettre de retrouver rapidement quel sous-traitant traite quelles données, pour quel responsable et avec quelles garanties. Cette traçabilité est particulièrement utile lors d’une demande de l’autorité ou d’une violation de données.

La cohérence avec les systèmes de management est un levier. Si l’organisme applique ISO 9001, ISO 14001 ou ISO 45001, la logique de maîtrise documentaire peut être réutilisée, mais elle ne remplace pas l’Article 30 GDPR. Pour les produits soumis à des réglementations UE spécifiques, les liens avec les procédures d’évaluation de la conformité sont utiles : voir le Guide sur l’implication des organismes notifiés UE et les Exigences relatives aux organismes notifiés UE. Pour les machines, le Guide sur le règlement UE 2023/1230 sur les machines rappelle que la documentation technique et la traçabilité des données sont des attendus convergents.

Méthode pratique en six étapes

1. Cartographier les activités de traitement par finalité, service et système.
2. Identifier le rôle : responsable du traitement, sous-traitant, responsable conjoint (Article 26 GDPR).
3. Renseigner les champs de l’Article 30(1) ou 30(2) GDPR, sans champs vides non justifiés.
4. Relier chaque traitement à une base légale (Article 6), à une durée de conservation et à des mesures de sécurité (Article 32).
5. Documenter les transferts hors UE : décision d’adéquation (Article 45) ou garanties appropriées (Article 46).
6. Mettre en place une revue périodique et un contrôle de cohérence avec les contrats Article 28 et les AIPD Article 35.

Un GDPR records of processing activities guide opérationnel prévoit des indicateurs : taux de traitements documentés, taux de champs obligatoires complétés, date de dernière revue, nombre de transferts hors UE couverts. Ces indicateurs ne sont pas exigés par l’Article 30, mais ils rendent la conformité vérifiable.

Erreurs fréquentes et contrôles internes

Confondre registre du responsable et registre du sous-traitant. Omettre les traitements réalisés par des prestataires. Décrire des finalités trop générales, du type « gestion RH », sans préciser les sous-finalités. Ne pas tracer les transferts vers des sous-traitants ultérieurs. Recopier un modèle sans adapter les durées de conservation. Ces écarts affaiblissent la démonstration au titre de l’Article 5(2) GDPR.

Un registre trop détaillé peut devenir ingérable ; un registre trop vague ne démontre rien. Le bon niveau est celui qui permet à un auditeur externe de comprendre le traitement sans reconstituer toute l’architecture informatique.

Lors d’un contrôle, l’autorité peut demander le registre en application de l’Article 30(4) GDPR. Le document doit être compréhensible par un tiers : noms des services, systèmes concernés, catégories de données, destinataires. La CNIL recommande une mise à jour régulière et une gouvernance claire. Le CEPD précise la distinction responsable/sous-traitant dans ses lignes directrices. Un registre n’est pas un document public : il n’a pas à être publié, mais il doit être produit sur demande.

Ressources connexes et modèles

Pour les organismes notifiés, la Liste de contrôle des organismes notifiés UE aide à structurer les preuves. Pour les équipements, les Exigences du règlement UE 2023/1230 sur les machines complètent la lecture sectorielle. Enfin, un registre GDPR à jour s’intègre dans une gouvernance plus large : politique de protection des données, procédure de violation, plan de sensibilisation.

CE GDPR records of processing activities guide peut servir de base à un modèle interne. La règle pratique : un traitement = une ligne principale, des annexes pour les sous-traitants, les transferts et les mesures de sécurité. La revue doit être datée et versionnée.