Registre des traitements RGPD : Construire le vôtre en 5 étapes

Obligations RGPD

Vous collectez des données personnelles chaque jour. Les noms et emails de vos clients, les fiches de vos salariés, les candidatures reçues, les coordonnées de vos prospects. Mais avez-vous recensé tous ces traitements dans un registre ?

Si la réponse est non — ou « pas vraiment » — vous n’êtes pas seul. Selon les estimations 2026, 60% des PME françaises ne sont pas encore pleinement conformes, notamment sur ce point. Le registre des traitements RGPD est pourtant le premier document que la CNIL demandera lors d’un contrôle. Et en 2026, ces contrôles ciblent de plus en plus les petites structures.

Registre des traitements RGPD : de quoi parle-t-on exactement ?

Le registre des traitements RGPD est un document interne qui recense l’ensemble des activités par lesquelles votre structure collecte, utilise, stocke ou transmet des données personnelles. Il est imposé par l’article 30 du RGPD à tout responsable de traitement — sans exception de taille ni de secteur.

Concrètement, chaque fois que vous gérez des données sur des personnes physiques — clients, salariés, prospects, fournisseurs, visiteurs de votre site — vous effectuez un traitement. Et chacun de ces traitements doit figurer dans votre registre.

Ce n’est pas un document à produire une fois et à oublier. C’est un outil vivant, à maintenir à jour à chaque nouveau traitement, chaque changement d’outil ou d’usage.

Étape 1 — Cartographiez vos traitements

Avant d’écrire quoi que ce soit, commencez par recenser tous les flux de données personnelles dans votre structure. Parcourez mentalement chaque département, chaque outil, chaque processus.

Les traitements les plus courants dans une TPE ou PME : gestion des clients et de la facturation, prospection et marketing, gestion des ressources humaines, recrutement, gestion des fournisseurs, cookies et analytics sur le site web, vidéosurveillance si elle existe.

Un bon point de départ : listez vos outils numériques (CRM, logiciel RH, messagerie, site web, comptabilité) et demandez-vous pour chacun quelles données personnelles il contient et dans quel but.

Étape 2 — Identifiez la base légale de chaque traitement

C’est l’étape la plus souvent négligée — et pourtant l’une des plus importantes. Le RGPD impose que chaque traitement repose sur l’une des six bases légales définies à l’article 6 : le consentement, l’exécution d’un contrat, le respect d’une obligation légale, la sauvegarde des intérêts vitaux, l’exécution d’une mission d’intérêt public, ou l’intérêt légitime.

Pour la gestion de la paie de vos salariés : obligation légale. Pour la facturation de vos clients : exécution d’un contrat. Pour votre newsletter : consentement. Pour votre prospection B2B : intérêt légitime — sous conditions.

Identifier la bonne base légale n’est pas un exercice purement formel. C’est ce qui détermine vos droits et vos obligations vis-à-vis des personnes concernées — et ce que la CNIL vérifiera en priorité.

Étape 3 — Définissez les durées de conservation

Combien de temps conservez-vous les données de vos anciens clients ? Les candidatures non retenues ? Les fiches de paie de vos ex-salariés ? La réponse doit figurer dans votre registre — et doit être respectée dans votre pratique réelle.

Les durées varient selon la nature des données et les obligations légales applicables. Les fiches de paie : 5 ans. Les contrats de travail : 5 ans après la fin du contrat. Les données de prospection commerciale : 3 ans maximum après le dernier contact.

La CNIL publie des recommandations sur les durées de conservation selon les secteurs et les types de données. Les ignorer, c’est risquer d’être en infraction même si votre collecte initiale était parfaitement conforme.

Étape 4 — Identifiez vos sous-traitants

Pour chaque traitement, listez les prestataires qui accèdent aux données : hébergeur, éditeur de logiciel CRM, cabinet comptable, prestataire RH, agence web… Chacun d’eux doit faire l’objet d’un contrat de sous-traitance conforme au RGPD — le DPA (Data Processing Agreement).

Si vos prestataires sont basés hors UE ou utilisent des serveurs américains, mentionnez-le et documentez les garanties contractuelles en place. C’est directement lié aux enjeux de souveraineté numérique abordés dans notre guide sur les dépendances numériques.

Étape 5 — Documentez les mesures de sécurité

Le registre doit mentionner une description générale des mesures de sécurité techniques et organisationnelles. Ce n’est pas une description exhaustive de votre infrastructure IT — c’est une synthèse : chiffrement des données sensibles, politique de mots de passe, gestion des accès, sauvegardes régulières, formation des équipes.

Cette étape est aussi l’occasion de vérifier que vos mesures de sécurité sont réellement en place — et pas seulement documentées sur le papier.

Par où commencer concrètement ?

La CNIL met à disposition un modèle de registre des traitements gratuit et téléchargeable, adapté aux structures de taille modeste. C’est le point de départ recommandé pour toute TPE ou PME qui n’a pas encore engagé cette démarche.

Pour aller plus loin dans votre démarche de conformité, notre formation mise en conformité RGPD vous permet d’acquérir les compétences nécessaires pour construire et tenir votre registre en autonomie — finançable via FAF ou OPCO pour les dirigeants et TNS.

Pour les structures qui souhaitent être accompagnées, DUO Conseil propose un accompagnement complet à la conformité RGPD : audit, construction du registre, mise en place des procédures et suivi dans la durée.