Registre des traitements : ce qu'il doit contenir, un exemple rempli, et comment le tenir

Par Thiago de Jesus Freire, délégué à la protection des données externe, Hermetics

Mis à jour le 13 novembre 2026

Ce guide donne une information générale, à jour à la date indiquée ; il ne remplace pas l'examen de votre situation par votre délégué à la protection des données ou par votre conseil.

Le registre des traitements est le document où votre entreprise décrit, activité par activité, ce qu'elle fait des données à caractère personnel : pourquoi, sur qui, avec qui et pendant combien de temps. Presque toutes les entreprises doivent en tenir un, y compris en dessous de 250 salariés, parce que la paie ou le fichier clients ne sont pas des traitements occasionnels. Il se tient par écrit, se met à jour à chaque changement et se remet à votre autorité de contrôle lorsqu'elle le demande.

Qui doit tenir un registre ?

L'article 30 du RGPD impose à chaque responsable du traitement de tenir un registre des activités de traitement effectuées sous sa responsabilité¹. Le responsable du traitement est l'organisme qui détermine les finalités et les moyens du traitement (article 4)¹ : votre entreprise, pour sa paie, ses clients ou ses candidats.

Les sous-traitants, c'est-à-dire les prestataires qui traitent des données pour le compte de leurs clients, tiennent un autre registre, plus court, de ces activités (article 30, paragraphe 2)¹. Une entreprise qui est dans les deux situations a intérêt à tenir deux registres distincts (source : CNIL, fiche citée)³.

Moins de 250 salariés : une exception plus étroite qu'on ne le croit

Le paragraphe 5 de l'article 30 dispense de registre les entreprises et les organisations de moins de 250 employés¹. Cette dispense tombe dans trois cas, et un seul suffit :

le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées ;
le traitement n'est pas occasionnel ;
le traitement porte sur des catégories particulières de données (la santé, par exemple) ou sur des condamnations pénales et des infractions.

Les autorités européennes de protection des données ont précisé la lecture de ce texte². Les trois cas sont alternatifs. Un risque suffit, il n'a pas à être élevé. Un traitement n'est occasionnel que s'il n'est pas effectué régulièrement et s'il sort du cours normal de l'activité. Leur exemple est celui des données des salariés : une petite organisation les traite régulièrement, ce traitement doit donc figurer au registre.

La paie, la gestion des clients, des prospects et des fournisseurs sont des traitements réguliers (source : CNIL, fiche citée)³. Une entreprise de moins de 250 personnes tient donc un registre. Seuls ses traitements réellement ponctuels, sans risque et sans données sensibles peuvent en être absents². En cas de doute, inscrivez le traitement (recommandation de la CNIL, fiche citée)³.

À retenir

Le seuil de 250 ne dispense pas l'entreprise. Il dispense certains de ses traitements, et ce ne sont jamais les plus courants.

Une proposition de règlement de la Commission européenne, du 21 mai 2025, prévoit de porter ce seuil à 750 employés et de ne conserver que le cas du risque élevé⁴. À la date de mise à jour de ce guide, la fiche officielle du règlement ne mentionne que des propositions, aucune modification adoptée : la règle des 250 reste celle qui s'applique⁵.

Ce que chaque fiche doit contenir

Le registre se compose d'une fiche par activité : la paie, le recrutement, la gestion des clients. L'article 30, paragraphe 1, fixe sept rubriques¹ :

le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint, du représentant et du délégué à la protection des données ;
les finalités du traitement ;
les catégories de personnes concernées et les catégories de données à caractère personnel ;
les catégories de destinataires, y compris ceux qui se trouvent dans des pays tiers ;
le cas échéant, les transferts vers un pays tiers, avec le nom de ce pays ;
dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données ;
dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.

La base légale du traitement ne figure pas dans cette liste. L'ajouter reste utile : vous devez de toute façon être en mesure de démontrer que vous respectez les principes du règlement (article 5, paragraphe 2)¹.

Quant à la forme, le texte demande un écrit, y compris électronique (article 30, paragraphe 3)¹. Le format est libre, et un modèle sous forme de tableur est publié (source : CNIL, fiche citée)³.

Un exemple rempli : la paie

Voici la fiche d'une entreprise de services de 60 personnes qui confie ses bulletins à un cabinet d'expertise comptable. C'est un exemple à adapter, pas un modèle à recopier.

Rubrique	Ce que l'entreprise a écrit
Responsable du traitement	La société, son adresse, la directrice administrative comme contact. Pas de responsable conjoint.
Finalités	Calculer et verser les rémunérations, établir les bulletins de paie, effectuer les déclarations sociales et fiscales obligatoires.
Personnes concernées	Salariés, apprentis, stagiaires gratifiés.
Données	Identité, numéro de sécurité sociale, coordonnées bancaires, contrat et rémunération, temps de travail et absences.
Destinataires	La direction administrative, le cabinet d'expertise comptable (sous-traitant), les organismes sociaux, l'administration fiscale, la banque.
Transferts hors de l'Union	Aucun. Le logiciel du cabinet est hébergé dans l'Union européenne, selon le contrat signé avec lui.
Délais d'effacement	Double des bulletins de paie : 5 ans (article L. 3243-4 du code du travail)⁶. Les autres pièces suivent les durées fixées par l'entreprise et notées ici.
Mesures de sécurité	Accès réservé à deux personnes, comptes nominatifs, sauvegardes chiffrées, échanges avec le cabinet par son espace sécurisé.

Trois détails font la différence. Le sous-traitant est nommé parmi les destinataires. L'absence de transfert est écrite et appuyée sur un contrat, pas supposée. La durée citée renvoie à son texte.

Les erreurs fréquentes

Se croire dispensé. C'est l'erreur la plus répandue en dessous de 250 salariés, et la deuxième section de ce guide montre pourquoi elle ne tient pas.
Lister des logiciels au lieu d'activités. Le registre décrit ce que vous faites (recruter, payer, prospecter), pas vos outils. Un même outil sert souvent plusieurs finalités.
Une fiche fourre-tout. « Ressources humaines » mélange la paie, le recrutement et la formation, qui n'ont ni les mêmes données ni les mêmes durées.
Oublier les prestataires. L'éditeur du logiciel, l'hébergeur ou le cabinet comptable sont des destinataires, et parfois la cause d'un transfert hors de l'Union.
Des durées absentes ou « illimitées ». La rubrique existe pour vous obliger à décider quand les données sont effacées.
Confondre les deux registres. Ce que vous traitez pour vos clients relève du registre du sous-traitant, pas du vôtre.

Comment le garder vivant

Un registre juste le jour de sa rédaction et faux six mois plus tard ne démontre rien. Il doit être mis à jour régulièrement, à chaque modification d'un traitement : une nouvelle donnée collectée, une durée allongée, un nouveau destinataire (source : CNIL, fiche citée)³. Quatre habitudes suffisent, et ce sont nos conseils de praticiens :

Une personne en est chargée. Ce peut être votre délégué à la protection des données, si vous en avez un³.
Les déclencheurs sont connus. Un nouvel outil, un nouveau prestataire, un nouvel usage d'un fichier existant : chacun passe par le registre avant d'être lancé.
Une revue à date fixe. Une fois par an, chaque responsable d'activité relit sa fiche et confirme qu'elle est encore exacte.
Chaque version est datée. Vous pourrez ainsi montrer ce que disait le registre à un moment donné, et qui l'a validé.

Le registre est mis à la disposition de l'autorité de contrôle sur sa demande (article 30, paragraphe 4)¹. Les manquements aux obligations des articles 25 à 39, dont celle-ci, sont passibles d'une amende pouvant atteindre 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (article 83, paragraphe 4)¹.