Guides

Registre des activités de traitement (article 30 du RGPD) : contenu et cas où une AIPD est obligatoire

Par l'équipe NexoDocs · comment nous produisons et vérifions le contenu

Le registre des activités de traitement recense tout ce qu'un organisme fait avec des données personnelles : dans quel but, sur quelles personnes, quelles données, qui les reçoit, si elles sortent de l'Union, combien de temps elles sont conservées et comment elles sont protégées. Le RGPD l'exige à l'article 30, pour le responsable de traitement comme pour le sous-traitant ; l'exemption pour les structures de moins de 250 personnes est étroite. Le registre est aussi la base d'ISO/IEC 27701 et de l'analyse d'impact relative à la protection des données (AIPD), que l'article 35 impose quand un traitement est susceptible d'engendrer un risque élevé. Ce guide est informatif et ne constitue pas un conseil juridique.

Les colonnes du registre du responsable de traitement

L'article 30, paragraphe 1, du RGPD fixe le contenu minimal. Le format le plus pratique est un tableur avec une ligne par activité de traitement (par exemple « paie », « clients de la boutique en ligne », « vidéosurveillance ») et ces colonnes :

Au-delà du minimum légal, ajoutez la base légale, le système concerné, le responsable interne et une colonne « AIPD nécessaire ? » : le même registre sert alors à répondre aux demandes d'exercice des droits et aux audits. La CNIL propose aussi un modèle de registre sur son site.

Le registre du sous-traitant

Si votre entreprise traite des données pour le compte de clients (éditeur SaaS, prestataire de paie), l'article 30, paragraphe 2, impose un registre propre : vos coordonnées et celles de chaque client responsable de traitement, les catégories de traitements effectués pour chacun, les transferts hors UE et une description générale des mesures de sécurité. Beaucoup d'entreprises sont à la fois responsables (pour leurs salariés et clients) et sous-traitants (pour les données de leurs clients) et doivent tenir les deux registres.

Le modèle, prêt à l’emploi

Kit ISO 27701 : la documentation de votre système de management de la vie privée

34 documents Word · 14 outils Excel · 78 mesures de l'annexe A

Voir le kit ISO 27701 avec les modèles de registre et d'AIPD

Qui est dispensé ?

L'article 30, paragraphe 5, dispense les organismes de moins de 250 personnes, mais seulement si le traitement ne comporte pas de risque pour les personnes, est occasionnel et ne porte ni sur des données sensibles ni sur des données d'infractions. La paie et la gestion des clients ne sont pas occasionnelles : en pratique, presque toute entreprise active doit tenir un registre, au moins pour ces activités.

Quand faut-il une AIPD ?

L'article 35 du RGPD impose une AIPD avant un traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Il cite trois cas où elle est toujours requise :

• Évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou similaires.
• Traitement à grande échelle de données sensibles ou de données relatives aux condamnations et infractions.
• Surveillance systématique à grande échelle d'une zone accessible au public (par exemple une vidéosurveillance étendue).

La CNIL publie en outre une liste des types de traitements pour lesquels une AIPD est requise. L'AIPD décrit le traitement et ses finalités, évalue sa nécessité et sa proportionnalité, les risques pour les personnes et les mesures pour les réduire (article 35, paragraphe 7). Si le risque résiduel reste élevé, il faut consulter l'autorité avant de commencer (article 36). La colonne « AIPD nécessaire ? » du registre permet de repérer ces cas.

Le lien avec ISO 27701

ISO/IEC 27701:2025 demande un système de management de la protection de la vie privée qui identifie et documente les traitements de données personnelles, en évalue les risques et applique des mesures pour le rôle de responsable et pour celui de sous-traitant. Un registre complet et une méthode d'AIPD en sont les preuves centrales, et servent en même temps au RGPD.

• Tenir un registre unique en indiquant sur chaque ligne si vous agissez comme responsable ou comme sous-traitant.
• Revoir le registre à chaque changement de système, de prestataire ou de finalité, et au moins une fois par an.
• Relier chaque ligne à son analyse de risques ou à son AIPD, aux contrats de sous-traitance et à la mention d'information.

Erreurs fréquentes

• Construire le registre par logiciel (« l'ERP », « le CRM ») plutôt que par finalité : un logiciel sert souvent plusieurs activités aux durées et bases légales différentes.
• Indiquer une conservation « illimitée » ou « tant que nécessaire » sans critère.
• Oublier les hébergeurs cloud comme destinataires et leurs transferts hors UE.
• Remplir le registre une fois et ne jamais le mettre à jour : il doit refléter les traitements actuels.
• Ne pas signaler les données sensibles, qui changent les bases légales possibles et l'obligation d'AIPD.

Étape suivante

Essayez gratuitement ou passez directement à la solution complète.

Kit ISO 27701 : la documentation de votre système de management de la vie privée

34 documents Word · 14 outils Excel · 78 mesures de l'annexe A

Voir le kit ISO 27701 avec les modèles de registre et d'AIPD

Échantillon gratuit

Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.

Télécharger l'échantillon gratuit (en anglais)

Questions fréquentes

Guides associés

Mis à jour: 2026-10-25