L'article 30 du RGPD impose de tenir un registre des activités de traitement. L'exemption prévue pour les structures de moins de 250 salariés est si étroite qu'en pratique, presque toutes les organisations doivent en tenir un. La difficulté n'est pas de le créer, mais de le maintenir : un registre rédigé lors d'un projet de mise en conformité décrit la situation de ce moment-là, et s'en éloigne un peu plus chaque mois.
Ce que le registre doit contenir
Pour chaque traitement, le registre du responsable de traitement mentionne notamment la finalité, les catégories de personnes et de données concernées, les destinataires, les transferts hors de l'Union européenne, les durées de conservation et une description générale des mesures de sécurité. Ces informations évoluent dès qu'un outil change, qu'un prestataire est remplacé ou qu'un nouveau service est proposé.
Identifier les déclencheurs de mise à jour
Plutôt que de tout revoir à date fixe, il est plus efficace d'identifier les événements qui doivent entraîner une mise à jour :
- L'adoption d'un nouvel outil ou d'une nouvelle application, y compris un outil d'IA connecté aux comptes professionnels.
- Le changement de prestataire ou de sous-traitant ultérieur.
- Un nouveau projet métier : service en ligne, programme de fidélité, recrutement, vidéoprotection.
- Une évolution des durées de conservation ou des mesures de sécurité.
- La fin d'un traitement, qui doit être clôturé plutôt que laissé dans le registre.
Organiser la remontée d'information
Ces déclencheurs ne se produisent pas dans le bureau du DPO. Il faut donc des relais : un point d'entrée dans le processus d'achat, une étape « protection des données » dans la gestion de projet, un correspondant par direction. L'expérience montre toutefois que les remontées volontaires restent incomplètes, en particulier pour les outils SaaS adoptés directement par les équipes.
C'est pourquoi il est utile de croiser le registre avec une source technique : la liste des applications effectivement autorisées dans l'environnement Microsoft 365 ou Google Workspace de l'organisation. Chaque application sans traitement correspondant signale un oubli.
Fixer un rythme de revue
En complément des mises à jour au fil de l'eau, une revue complète, au moins annuelle, permet de vérifier que chaque fiche reste exacte. Pour les traitements les plus sensibles, une revue plus fréquente se justifie. Dater chaque modification et en conserver l'historique permet de démontrer que le registre est réellement tenu, et pas seulement créé.
Un registre utile au-delà du contrôle
Un registre à jour n'est pas qu'une obligation : c'est le point de départ des AIPD, de la réponse aux demandes d'exercice des droits et de la gestion d'une violation de données. En cas d'incident, savoir immédiatement quelles données un outil traite et pour quelle finalité fait gagner un temps précieux.