Registre des activités de traitement : qui en a besoin et ce qu'il doit contenir

Un registre des activités de traitement (en allemand : Verzeichnis von Verarbeitungstätigkeiten, VVT) est une documentation écrite ou électronique, prescrite par l'art. 30 du RGPD, de tous les traitements de données à caractère personnel d'une entreprise. Après cet article, vous saurez pourquoi l'exception des 250 salariés ne dispense presque jamais votre entreprise, et vous créerez votre registre en six étapes.

Par la rédaction de Provimedia · Version : juillet 2026 · Cet article est une information générale et ne constitue pas un conseil juridique.

Qu'est-ce qu'un registre des activités de traitement ?

Le registre des activités de traitement est l'obligation de documentation centrale du RGPD : il recense de manière systématique quelles données à caractère personnel une entreprise traite, à quelle fin, sur quelle base juridique et pendant combien de temps. La base juridique est l'art. 30 du RGPD, qui distingue l'obligation des responsables du traitement (par. 1) et celle des sous-traitants (par. 2) ; ces derniers tiennent leur propre registre, un peu plus léger, des activités qu'ils exécutent pour le compte d'un responsable du traitement.

Le règlement ne prescrit aucun format particulier : l'écrit et l'électronique sont également admis. En pratique, une structure en tableau par activité de traitement s'est imposée, par exemple avec des lignes ou des feuilles distinctes pour « gestion des données clients », « gestion des candidatures » ou « envoi de newsletters ». Pour vous, cela signifie : une feuille de tableau par activité, personne n'en demande davantage.

Qui doit tenir un registre des activités de traitement ?

En principe, tout responsable du traitement et tout sous-traitant est tenu de tenir un registre, quels que soient la taille de l'entreprise ou sa forme juridique. Cela concerne les sociétés de capitaux comme les professions libérales, les associations ou les entrepreneurs individuels, dès lors que des données à caractère personnel sont traitées, par exemple celles de clients, de collaborateurs ou de visiteurs d'un site web.

La Datenschutzkonferenz (DSK, conférence des autorités allemandes de protection des données) précise dans sa note courte n° 1 (version du 17.12.2018) que l'obligation couvre en principe tous les traitements, y compris partiellement automatisés, ainsi que les traitements non automatisés conservés dans un fichier. L'art. 30, par. 5, du RGPD ne prévoit d'exception que pour les organisations de moins de 250 salariés, et cette exception s'applique en pratique plus rarement que beaucoup ne le supposent.

L'exception des PME s'applique-t-elle vraiment aux petites entreprises ?

Non, l'exception de l'art. 30, par. 5, du RGPD ne s'applique en pratique pas à la plupart des entreprises, malgré moins de 250 salariés. Elle est liée à trois conditions strictement définies : la dispense tombe dès qu'au moins l'une d'elles est remplie.

• Le traitement présente un risque pour les droits et libertés des personnes concernées (selon la DSK, cela inclut régulièrement le scoring et les mesures de surveillance).
• Le traitement n'est pas seulement occasionnel.
• Le traitement porte sur des catégories particulières de données au sens de l'art. 9 du RGPD ou sur des données pénales au sens de l'art. 10 du RGPD.

Selon la DSK, le traitement régulier de données de clients ou de salariés est déjà considéré comme « non seulement occasionnel ». Comme pratiquement toute entreprise traite en continu des données clients, des données de facturation ou des dossiers du personnel, l'exception des PME tombe dans l'écrasante majorité des cas. En pratique, elle est plutôt l'exception de l'exception qu'une dispense fiable pour les petites entreprises.

La DSK souligne en outre : contrairement à l'analyse d'impact relative à la protection des données de l'art. 35 du RGPD, il n'est pas nécessaire qu'il existe un risque élevé. N'importe quel risque pour les droits et libertés suffit pour faire tomber l'exception.

Que doit contenir le registre ? Contenus obligatoires selon l'art. 30, par. 1, du RGPD

L'art. 30, par. 1, deuxième phrase, points a) à g), du RGPD énumère de manière exhaustive les informations qu'un responsable du traitement doit documenter pour chaque activité de traitement.

Comment créer un registre des activités de traitement ? Pas à pas

Un registre peut se construire de manière structurée en six étapes, que l'on utilise un tableau, un formulaire type des autorités de contrôle ou un logiciel.

1. Identifier les activités de traitement : interroger tous les services (personnel, ventes, marketing, informatique) pour savoir où des données à caractère personnel apparaissent, de la gestion des candidatures à l'envoi de newsletters.
2. Clarifier les responsabilités : déterminer qui, en interne, est responsable sur le fond de chaque activité de traitement et sert d'interlocuteur.
3. Consigner les informations obligatoires pour chaque activité : documenter la finalité, la base juridique, les groupes de personnes concernées, les catégories de données, les destinataires et les délais d'effacement conformément à l'art. 30, par. 1, du RGPD.
4. Examiner les transferts vers des pays tiers : pour les services cloud ou les outils dont le siège est hors de l'UE ou de l'EEE, mentionner la base du transfert, par exemple les clauses contractuelles types.
5. Référencer les MTO : décrire brièvement les mesures techniques et organisationnelles au sens de l'art. 32 du RGPD ou renvoyer à un concept de sécurité existant.
6. Tenir le registre à jour : en cas de nouveaux outils, processus ou prestataires, compléter rapidement l'entrée concernée ; le registre est un document vivant, non un projet ponctuel.

Que risque-t-on en cas de registre manquant ou incomplet ?

Un registre manquant, incomplet ou non présenté sur demande peut être sanctionné d'une amende au titre de l'art. 83, par. 4, point a), du RGPD. Le plafond de l'amende atteint 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu.

Selon l'art. 30, par. 4, du RGPD, les responsables du traitement et les sous-traitants doivent mettre le registre à la disposition des autorités de contrôle à tout moment sur demande ; il n'existe en revanche plus d'obligation de le présenter au public, contrairement à l'ancien registre des procédés au titre de la BDSG (loi fédérale allemande sur la protection des données). À savoir : le registre ne remplit pas à lui seul l'ensemble de l'obligation de rendre compte au titre du RGPD de l'art. 5, par. 2, du RGPD. Selon la DSK, il n'est qu'un élément parmi d'autres preuves, telles que la documentation des consentements, les descriptions de procédures et les résultats des analyses d'impact relatives à la protection des données.

Questions fréquentes (FAQ)

Un indépendant exerçant une profession libérale doit-il tenir un registre des activités de traitement ?

Oui : dès qu'un professionnel libéral traite régulièrement des données à caractère personnel de clients, de patients ou de mandants, l'obligation de l'art. 30, par. 1, du RGPD s'applique, quel que soit le nombre de salariés. Seul compte que le traitement ne soit pas seulement occasionnel ; la taille du cabinet n'a aucune importance.

Qui, dans l'entreprise, est responsable du registre ?

L'obligation incombe à l'entreprise en tant que responsable du traitement au sens du RGPD, et non à une personne en particulier. En pratique, c'est le plus souvent le délégué à la protection des données ou une personne de contact désignée dans chaque service qui assure la mise à jour courante, tandis que la responsabilité d'ensemble reste à la direction.

Registre ou politique de confidentialité : quelle différence ?

Le registre des activités de traitement est un document interne, présenté à l'autorité de contrôle sur demande mais qui, contrairement à l'ancien registre des procédés de la BDSG, n'a pas à être consultable publiquement. La politique de confidentialité, en revanche, s'adresse aux personnes concernées elles-mêmes et doit leur être accessible publiquement à tout moment, par exemple sur le site web.

À quelle fréquence le registre doit-il être mis à jour ?

Il n'existe pas de délai légal fixe pour la mise à jour. Le registre doit toutefois être tenu à jour en continu : dès que les finalités, les catégories de données, les destinataires ou les outils utilisés changent, l'entrée concernée doit être complétée rapidement.

Quiconque est chargé dans l'entreprise de la tenue du registre profite d'une bonne compréhension de base des notions centrales du RGPD, comme la finalité du traitement, la base juridique ou le délai d'effacement. La formation de base au RGPD de Provimedia transmet ces connaissances de base de façon compacte et se conclut par un certificat de participation, une preuve pour les collaborateurs qui participent à la création ou à la tenue du registre.

Sources

• EUR-Lex : règlement (UE) 2016/679 (RGPD), texte intégral, notamment art. 5, art. 30, art. 83
• Datenschutzkonferenz (DSK) : note courte n° 1 – registre des activités de traitement, art. 30 du RGPD (version du 17.12.2018)
• Commissaire fédéral à la protection des données et à la liberté d'information (BfDI) : indications sur le registre des activités de traitement