Tenir le registre des activités de traitement (VVT)

Une entreprise qui traite des données personnelles de clients, par exemple dans la gestion des contrats, le support ou le marketing, doit documenter sans lacune quelles données sont traitées et à quelle fin. C'est précisément pour cela que le RGPD prescrit un registre propre, que beaucoup d'entreprises sous-estiment dans leurs activités courantes.

En bref : le registre des activités de traitement (en allemand : Verzeichnis von Verarbeitungstätigkeiten, VVT) est une documentation prescrite par l'art. 30 du RGPD et tenue à jour en continu de toutes les opérations de traitement de données à caractère personnel. Pratiquement toutes les entreprises disposant de données clients sont concernées, car l'exception prévue pour les structures de moins de 250 salariés ne joue de fait pas en cas de traitement régulier. En l'absence de registre, des amendes sévères sont encourues.

Qui est concerné par l'obligation de tenir un VVT ?

Est en principe concernée toute entreprise qui traite des données à caractère personnel, quelle que soit sa taille. L'art. 30 du RGPD prévoit certes une exception pour les entreprises de moins de 250 salariés, mais celle-ci ne s'applique que si le traitement n'est pas régulier, ne comporte pas de risque pour les droits des personnes concernées et ne porte pas sur des catégories particulières de données. Dès qu'une entreprise traite des données clients dans des contrats, des lettres d'information, la comptabilité ou le support, il s'agit d'un traitement régulier : l'exception ne joue donc de fait presque jamais. En pratique, presque toutes les entreprises en contact avec la clientèle doivent donc tenir un VVT, de l'entrepreneur individuel avec boutique en ligne à l'agence de plusieurs salariés. La taille de l'entreprise décide donc moins souvent de l'obligation que la nature du traitement.

Que devez-vous faire concrètement ?

Vous devez documenter, pour chaque opération de traitement, par exemple la gestion des contrats, le marketing, le support ou la comptabilité, à quelle fin elle a lieu, sur quelle base juridique elle repose, quelles catégories de personnes et de données sont concernées, qui reçoit les données et pendant combien de temps elles sont conservées. À titre complémentaire, il convient d'inclure des renvois aux mesures techniques et organisationnelles (TOM) de chaque traitement, car elles sont étroitement liées au VVT. Le tableau suivant montre quelles informations devraient au minimum être consignées pour chaque opération de traitement :

Un outil tel que Company Audit montre dans les grandes lignes lesquelles de ces obligations s'appliquent concrètement à votre entreprise.

Comment procéder pour constituer le registre ?

La constitution suit un déroulement clair, qui peut être mis en œuvre avec un simple tableau :

1. Lister toutes les opérations de traitement de données clients (gestion des contrats, marketing, support, comptabilité …).
2. Documenter pour chaque opération la finalité, la base juridique, les catégories de personnes concernées et de données.
3. Consigner les destinataires, y compris les prestataires externes, ainsi que les délais d'effacement de chaque opération.
4. Compléter par des renvois aux TOM pour chaque traitement.
5. Mettre à jour le registre en continu lors de nouveaux processus ou outils.

Quels conseils pratiques aident à la mise en œuvre ?

En pratique, un tableau simple mais entièrement tenu à jour suffit pour la mise en œuvre : un outil logiciel complexe n'est pas exigé juridiquement. Ce qui compte, c'est que toutes les opérations de traitement soient recensées et que le tableau soit actualisé rapidement en cas de changements. Il est en outre judicieux de placer le VVT au début de la mise en conformité en matière de protection des données : comme il rend visibles toutes les opérations de traitement, il constitue la base sur laquelle d'autres obligations, telles que les contrats de sous-traitance, les mesures techniques et organisationnelles ou la gestion des violations de données, peuvent ensuite être judicieusement construites. Celui qui établit d'abord le registre voit automatiquement où des contrats de sous-traitance (AVV) manquent encore ou où les TOM doivent être renforcées.

Jusqu'à quand et à quelle fréquence le registre doit-il être tenu à jour ?

Le VVT n'est pas une tâche ponctuelle, il doit être tenu à jour en continu. Dès qu'un nouveau processus, un nouvel outil ou un nouveau prestataire traitant des données à caractère personnel s'ajoute, le registre doit être complété en conséquence. L'art. 30 du RGPD ne fixe pas de délai précis pour l'établissement initial ; l'obligation existe toutefois dès le moment où des données à caractère personnel sont traitées de façon régulière, donc en règle générale dès le début de l'activité.

Que risque-t-on en cas de manquement ?

L'absence de registre ou son caractère incomplet constitue une violation de l'art. 30 du RGPD. Le RGPD prévoit à ce titre des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En outre, l'absence de VVT peut, lors d'un contrôle par une autorité ou après une violation de données, compliquer les éclaircissements et renforcer l'impression d'un manque de conformité.

Questions fréquentes

Dois-je vraiment tenir un VVT en tant que petite entreprise ?

Dans la plupart des cas, oui. L'exception pour les entreprises de moins de 250 salariés ne joue qu'en cas de traitement rare et peu risqué, sans catégories particulières de données. Dès que des données clients sont traitées régulièrement, l'exception disparaît, et cela concerne aussi les petites structures et les indépendants.

Un simple tableau Excel suffit-il comme registre ?

Oui. Un simple tableau est juridiquement suffisant, tant qu'il est complet et contient toutes les informations exigées par l'art. 30 du RGPD. Un logiciel spécifique n'est pas prescrit.

Le registre doit-il être accessible au public ?

Non, le VVT est une documentation interne. Il doit cependant pouvoir être présenté à tout moment à la demande de l'autorité de contrôle.

Quel est le lien entre le VVT et les autres obligations de protection des données ?

Le VVT constitue la base de nombreuses autres obligations, par exemple les contrats de sous-traitance (AVV), les mesures techniques et organisationnelles (TOM) ou la notification des violations de données. Il est donc recommandé d'établir d'abord le registre.

Qui, dans l'entreprise, est responsable du VVT ?

La direction de l'entreprise est responsable en tant que responsable du traitement. Lorsqu'un délégué à la protection des données est désigné, celui-ci assiste à la constitution et à la tenue du registre.

Source : art. 30 du RGPD. Cet article est une information générale et ne remplace pas un conseil juridique pour un cas particulier. Date : juillet 2026.