3.2Registre des traitements & obligations
L'essentiel en 30 secondes
- Le registre est la pièce maîtresse : finalité, données, personnes, base légale, destinataires, durées, sécurité — pour chaque traitement.
- Le tenir révèle les anomalies : conservation excessive, collecte inutile, base légale absente, prestataire non encadré.
- Conformité proportionnée : socle pour tous (registre, informer, sécuriser) ; DPO et analyse d'impact seulement dans certains cas.
Mini-cas filé — Yacine construit son registre
Yacine transforme son inventaire en registre : un tableau simple (clients, prospects newsletter, paie, site) avec finalité, base légale, durée et destinataires. En le remplissant, il repère deux anomalies : des prospects gardés depuis des années et un prestataire e-mailing sans contrat. Il corrige les deux avant de poursuivre vers le consentement.
Suite du cas 3.1 — Yacine passe de l'inventaire au registre.
1. La pièce maîtresse
Il ne suffit pas de respecter les règles, il faut pouvoir le prouver : c'est le rôle du registre des traitements. Pour chaque traitement : finalité, catégories de données et de personnes, base légale, destinataires (dont sous-traitants), durées, transferts, mesures de sécurité.
Le tenir force à se poser les bonnes questions et révèle les anomalies (conservation excessive, collecte inutile, base légale absente).
2. Obligations proportionnées
Autour du registre : l'obligation d'information, de sécurité, l'encadrement des sous-traitants par contrat, parfois un DPO et une analyse d'impact.
La conformité est proportionnée : une PME aux traitements simples n'a pas les obligations lourdes d'un grand acteur. Mais le socle (savoir quelles données, pourquoi, sur quelle base, sécuriser, informer, registre basique) s'applique largement.
3. Tenir dans la durée
Un registre vit : on l'actualise à chaque nouveau traitement, nouveau prestataire ou changement de durée.
Vérifier dans son pays les obligations précises (DPO, analyse d'impact, information) avant de figer son dispositif.
🔎 Exemple concret — 🔎 Exemple concret — Un tableau simple suffit
Proportionné à l'activité.
Petite entreprise : un tableau listant quelques traitements (clients, prospects, paie, newsletter, site)
avec finalité, base légale, durée, destinataires.
→ ce n'est pas une usine à gaz, c'est un inventaire raisonné.Résultat : un registre tenable et les bonnes obligations repérées.
Réflexe : vérifier si un DPO est requis dans votre cas.
Vocabulaire de la section
- Registre des traitements
- Document recensant, pour chaque traitement, sa finalité, les données et personnes concernées, la base légale, les destinataires, durées et sécurité.
Exemple simple : Le tableau de Yacine : clients, prospects, paie, site — chacun documenté.
Ce que ce n'est pas : un simple antivirus ou un contrat de travail.
Réflexe : un traitement = une ligne complète du registre.
- Obligation d'information
- Devoir d'informer clairement les personnes de ce qu'on fait de leurs données et de leurs droits (mentions, politique de confidentialité).
Exemple simple : Yacine ajoute une mention sous chaque formulaire de collecte.
Ce que ce n'est pas : collecter sans jamais expliquer l'usage.
Réflexe : informer au moment où l'on collecte.
- Encadrement des sous-traitants
- Obligation de lier par contrat tout prestataire traitant des données pour votre compte, avec des engagements précis.
Exemple simple : Yacine signe un engagement avec son prestataire e-mailing.
Ce que ce n'est pas : laisser un prestataire traiter sans aucun contrat.
Réflexe : aucun prestataire sans clause données.
- DPO
- Délégué à la protection des données : référent chargé de veiller à la conformité ; obligatoire seulement dans certains cas selon le pays.
Exemple simple : Yacine vérifie s'il est dans un cas à DPO, sinon désigne un référent interne.
Ce que ce n'est pas : croire que toute PME doit nommer un DPO.
Réflexe : vérifier les cas de désignation dans son pays.
- Analyse d'impact
- Évaluation des risques pour les personnes, exigée avant un traitement présentant un risque élevé.
Exemple simple : Avant une vidéosurveillance large, Yacine évalue le risque.
Ce que ce n'est pas : lancer un traitement risqué sans aucune évaluation.
Réflexe : risque élevé = évaluer avant de démarrer.
En pratique — En pratique — Construire et tenir son registre
- Listez tous vos traitements (gestion clients, prospection, paie, site, vidéosurveillance…) — c'est la cartographie de départ.
- Pour chacun, notez : finalité, données, personnes concernées, base légale, destinataires/sous-traitants, durée, sécurité, transferts éventuels.
- Corrigez les anomalies révélées (données gardées trop longtemps, collecte excessive, base légale manquante, prestataire non encadré).
- Ajustez selon la proportionnalité et vérifiez vos obligations spécifiques (DPO, analyse d'impact, information) dans votre pays.
Script prêt à dire — demander l'inventaire au prestataire (30 s)
« Pour notre registre, envoyez-moi la liste des données que vous traitez pour nous, où elles sont stockées, qui y accède et combien de temps vous les gardez. On ajoute vos engagements au contrat. »
À dire à chaque prestataire : obtenir les infos qui manquent au registre.
Modèle copier-coller — ligne de registre
TRAITEMENT : _______________
FINALITÉ : _______________ | BASE LÉGALE : _______________
DONNÉES / PERSONNES : _______________
DESTINATAIRES / SOUS-TRAITANTS : _______________
DURÉE : _______________ | SÉCURITÉ : _______________
TRANSFERTS : _______________TPE / petit budget
Un tableur à 6 colonnes (traitement, finalité, base, durée, destinataires, sécurité) suffit ; une demi-journée pour le remplir, puis 15 minutes par mois.
PME Algérie
Yacine fait relire son tableau par son comptable et vérifie le régime de la loi 18-07 : registre, information et sécurité adaptés à sa taille.
Prestataire flou
Sans réponse du prestataire sur stockage et durées : changer de clause ou de prestataire — le registre ne peut pas rester vide.
Nouveau projet
Avant tout nouveau fichier ou outil : créer la ligne de registre d'abord (finalité, base, durée), déployer ensuite.
✓ Bonnes pratiques
- Tenez un registre, même simple (un tableau suffit pour une PME).
- Encadrez vos sous-traitants par contrat.
- Ajustez vos obligations à la taille et aux risques (proportionnalité).
✗ Pièges fréquents
- Croire le registre réservé aux grandes organisations.
- S'imaginer devoir déployer un dispositif de multinationale.
- Oublier d'encadrer les prestataires qui traitent vos données.
Points clés à retenir
- Le registre des traitements est la pièce maîtresse : il recense finalité, données, base légale, destinataires, durées, sécurité de chaque traitement.
- Le tenir force à se poser les bonnes questions et révèle les anomalies (conservation excessive, collecte inutile, base légale absente).
- Obligations associées : informer les personnes, sécuriser, encadrer les sous-traitants par contrat, parfois DPO et analyse d'impact.
- La conformité est PROPORTIONNÉE (une PME n'a pas les obligations d'un grand acteur) ; vérifier le régime précis de votre pays.
Défi 48h — appliquez demain
Créez votre tableau registre avec 3 traitements (clients, prospects, paie) et corrigez 1 anomalie (durée trop longue, base manquante, prestataire sans contrat).
- Je peux citer le contenu d'une ligne de registre.
- Mon tableau couvre 3 traitements réels.
- J'ai corrigé 1 anomalie révélée par le registre.
Questions fréquentes
Une petite entreprise doit-elle vraiment tenir un registre et nommer un DPO ?
Distinguez les deux. Le registre est largement recommandé (et souvent obligatoire) même pour les petites structures — et utile en soi : il met de l'ordre et révèle les anomalies. Pour une PME, un tableau simple suffit. Le DPO n'est obligatoire que dans certains cas ciblés (organismes publics, suivi à grande échelle, données sensibles à grande échelle). Le message : proportionnalité — des obligations réelles mais légères, ni aucune ni celles d'une multinationale.
Par où commencer sans se noyer ?
Par étapes : 1) cartographier vos traitements (déjà votre registre en construction) ; 2) interroger chaque traitement (finalité, base, trop collecté, trop gardé) et corriger ; 3) sécuriser (accès, mots de passe, sauvegardes) ; 4) informer (mentions claires) ; 5) encadrer les prestataires ; 6) savoir répondre aux droits ; 7) documenter et maintenir. Priorisez le risque, acceptez le progressif, restez proportionné, appuyez-vous sur les guides de l'autorité de votre pays.
Quelle est la pièce maîtresse de la conformité « données » ?