Registre RGPD : qui doit le tenir, que contient-il et comment le remplir

Le registre des activités de traitement, souvent appelé « registre RGPD », est la liste des traitements de données personnelles d'un organisme : fichier des clients, gestion de la paie, vidéosurveillance, inscriptions à une newsletter, etc. Il est prévu par l'article 30 du RGPD. La CNIL le présente comme un outil pour documenter sa conformité : il doit refléter la réalité des traitements et permettre de savoir qui fait quoi avec quelles données.

250 salariésle seuil de la dérogation, très limitée, prévue par l'article 30

10 M€ ou 2 %du chiffre d'affaires mondial : l'amende maximale prévue en cas de manquement

Qui doit tenir un registre ?

Selon la CNIL, tous les organismes qui traitent des données personnelles sont concernés, publics comme privés, quelle que soit leur taille : entreprises, associations, collectivités. Le RGPD distingue deux rôles :

Le responsable de traitement

L'organisme qui décide pourquoi et comment les données sont traitées. Il tient le registre des traitements placés sous sa responsabilité (article 30, paragraphe 1).

Le sous-traitant

Le prestataire qui traite des données pour le compte de ses clients. Il tient lui aussi un registre, celui des activités réalisées pour eux (article 30, paragraphe 2).

Les deux à la fois

Un organisme peut être responsable de ses propres traitements et sous-traitant pour ses clients. La CNIL recommande alors de tenir deux registres distincts.

La dérogation des moins de 250 salariés

L'article 30, paragraphe 5, prévoit que l'obligation ne s'applique pas à « une entreprise ou une organisation comptant moins de 250 employés ». Mais cette dérogation tombe dès que le traitement remplit l'une de ces conditions :

il est susceptible de comporter un risque pour les droits et libertés des personnes concernées ;
il n'est pas occasionnel ;
il porte sur des données sensibles (les « catégories particulières » de l'article 9 : santé, opinions politiques, convictions religieuses, par exemple) ;
il porte sur des données relatives à des condamnations pénales et à des infractions (article 10).

À inscrire, même sous 250 salariés Tout traitement régulier. La CNIL cite la gestion de la paie, des clients et prospects, et des fournisseurs. Aussi : tout traitement à risque ou portant sur des données sensibles ou pénales.

Peut rester hors du registre Seulement un traitement à la fois occasionnel, sans risque pour les personnes et sans données sensibles ni pénales.

En pratique, presque toutes les structures ont des traitements réguliers, ne serait-ce que la paie ou le fichier clients. La CNIL juge cette dérogation « très limitée » et recommande, en cas de doute, d'inscrire le traitement au registre.

Ce que le registre doit contenir

Le RGPD fixe la liste des informations obligatoires. Elle n'est pas la même pour le responsable de traitement et pour le sous-traitant.

	Registre du responsable de traitement (art. 30, §1)	Registre du sous-traitant (art. 30, §2)
Qui	Nom et coordonnées de l'organisme et, le cas échéant, du responsable conjoint, du représentant et du DPO	Nom et coordonnées du sous-traitant, de chaque client responsable de traitement et, le cas échéant, du DPO
Quoi	Les finalités de chaque traitement (à quoi il sert), les catégories de personnes concernées et les catégories de données	Les catégories de traitements effectués pour le compte de chaque client
À qui	Les catégories de destinataires des données
Transferts hors de l’Espace économique européen	Les transferts de données vers un pays situé hors de l’Espace économique européen (Union européenne, Islande, Liechtenstein, Norvège), et dans certains cas les documents attestant des garanties prévues	Les mêmes informations sur les transferts
Combien de temps	Dans la mesure du possible, les délais d'effacement des données
Sécurité	Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles	La même description générale

Sous quelle forme ?

Le RGPD exige seulement une forme écrite, « y compris la forme électronique » (article 30, paragraphe 3). Le format est libre : papier, tableur ou logiciel. Le registre doit être mis à la disposition de la CNIL si elle le demande (article 30, paragraphe 4), notamment lors d'un contrôle.

Pour les organismes publics, il y a une règle de plus : selon la CNIL, le registre est un document administratif, qu'ils doivent communiquer à toute personne qui le demande. Il peut être expurgé des informations sensibles pour la sécurité. Les organismes privés n'y sont pas tenus.

Le modèle gratuit de la CNIL

La CNIL propose un modèle de registre simplifié, publié en juillet 2019. Elle le recommande en particulier aux petites structures : TPE et PME, associations, petites collectivités. C'est un tableur au format ouvert .ods, qui s'ouvre avec Excel, LibreOffice ou OpenOffice. Il contient :

une fiche tutorielle pour concevoir et tenir le registre ;
une liste des traitements ;
un modèle de fiche à remplir pour chaque traitement ;
une fiche d'exemple.

La CNIL propose aussi d'anciens modèles, aux formats RTF et PDF. Elle précise qu'ils ne sont plus mis à jour et ne sont donnés qu'à titre indicatif : mieux vaut partir du modèle simplifié.

Comment le remplir et le tenir à jour

Voici une méthode simple, qui suit la logique du modèle de la CNIL :

Étape 1Lister les traitements, service par service : ressources humaines, clients, fournisseurs, site internet, sécurité des locaux. Pour chacun, se demander à quoi il sert.
Étape 2Remplir une fiche par traitement avec les informations obligatoires : finalité, personnes concernées, données, destinataires, transferts hors de l’Espace économique européen, durée de conservation, mesures de sécurité.
Étape 3Pour une structure de moins de 250 salariés, vérifier les traitements qu'on envisage d'écarter. En cas de doute, les inscrire, comme le recommande la CNIL.
EnsuiteMettre le registre à jour à chaque changement. La CNIL cite comme exemples une nouvelle donnée collectée, une durée de conservation allongée ou un nouveau destinataire.

Le registre n'est donc pas un document qu'on remplit une fois pour toutes. Un traitement nouveau ou modifié qui n'y figure pas le rend incomplet.

Qui peut s'en charger ?

Le registre est tenu par le responsable de traitement ou par le sous-traitant. Si l'organisme a désigné un délégué à la protection des données (DPO), interne ou externe, la CNIL indique qu'il peut être chargé de sa tenue. Le DPO s'en sert aussi pour ses missions de contrôle, d'information et de conseil. Lors de sa prise de fonction, la CNIL recommande d'ailleurs de lui confier l'inventaire des traitements.

Confier le registre ne transfère pas la responsabilité. Le RGPD impose au responsable de traitement de tenir le registre « sous sa responsabilité ». La CNIL rappelle que le DPO n'est pas personnellement responsable si l'organisme ne respecte pas le RGPD, et que cette responsabilité ne peut pas lui être transférée par délégation de pouvoir. C'est la même chose si le registre est confié à un cabinet ou à un logiciel.

Que risque-t-on sans registre ?

L'absence de registre, ou un registre incomplet, est un manquement aux obligations du responsable de traitement et du sous-traitant. L'article 83, paragraphe 4, du RGPD, qui vise notamment les articles 25 à 39 (donc l'article 30), prévoit une amende administrative pouvant aller jusqu'à 10 millions d'euros ou, pour une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu. Il s'agit d'un plafond : le montant est fixé au cas par cas.

Les points à vérifier dans votre registre

Ces critères sont nos recommandations, tirées des obligations ci-dessus.

Tous les traitements réguliers y figurent-ils ?Paie, clients et prospects, fournisseurs : la dérogation des moins de 250 salariés ne les couvre pas.
Chaque fiche est-elle complète ?Finalité, personnes, données, destinataires, transferts, durée de conservation, sécurité.
Êtes-vous aussi sous-traitant ?Si vous traitez des données pour vos clients, tenez un second registre pour ces activités.
Qui le met à jour ?Une personne nommée, prévenue de chaque nouveau traitement ou changement.
Pouvez-vous le produire vite ?La CNIL peut le demander, et un organisme public doit le communiquer à toute personne qui en fait la demande.

En résumé

Le registre est la liste écrite des traitements de données personnelles, prévue par l'article 30 du RGPD.
Presque tous les organismes doivent le tenir : la dérogation des moins de 250 salariés ne couvre pas les traitements réguliers, à risque, sensibles ou pénaux.
La CNIL propose un modèle simplifié gratuit au format tableur, pensé pour les petites structures.
Le DPO peut le tenir, mais la responsabilité reste celle de l'organisme. Le manquement est passible d'une amende jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

Pour tenir votre registre, vous pouvez partir du modèle de la CNIL ou d'un outil dédié : voir notre comparatif des logiciels de registre RGPD. Si vous préférez confier le travail à un professionnel, consultez le classement des DPO externes, établi à partir du fichier de la CNIL, ou les prestataires d'audit RGPD pour faire le point sur vos traitements.

Sources : RGPD, articles 30 et 83 (texte publié par la CNIL : « CHAPITRE IV - Responsable du traitement et sous-traitant » et « CHAPITRE VIII - Voies de recours, responsabilité et sanctions ») ; CNIL, « Le registre des activités de traitement », « La CNIL publie un nouveau modèle de registre simplifié », « Les données sensibles, c'est quoi ? » et « Devenir délégué à la protection des données » (pages consultées le 6 novembre 2026).