Le règlement général sur la protection des données a substitué à la logique de déclaration préalable qui prévalait sous l’empire de la loi Informatique et Libertés une logique de responsabilisation — l’accountability — dont le pivot documentaire est le registre des activités de traitement. Là où le responsable du traitement devait jadis solliciter l’autorisation ou déposer la déclaration de ses fichiers auprès de la CNIL, il lui appartient désormais de documenter lui-même la conformité de ses traitements et d’en tenir la preuve à disposition de l’autorité de contrôle.
Le registre est précisément l’instrument de cette démonstration. L’article 30 du RGPD en fait une obligation autonome, distincte de l’obligation de licéité des traitements eux-mêmes : il s’agit de cartographier, traitement par traitement, qui traite, quelles données, pour quelles finalités, vers quels destinataires, pendant combien de temps et au moyen de quelles garanties de sécurité. Document vivant, le registre n’est pas un simple inventaire formel — il constitue, à la fois, la mémoire des traitements et l’outil de pilotage de la conformité.
Encore faut-il en cerner le régime : à qui incombe l’obligation, ce que le registre doit contenir, comment il se tient et à qui il doit être communiqué. Ce sont ces quatre questions que la présente étude se propose d’ordonner.
Le registre des activités de traitement est le document — écrit, le cas échéant électronique — par lequel le responsable du traitement (ou le sous-traitant) recense l’ensemble des traitements de données à caractère personnel mis en œuvre sous sa responsabilité et en consigne les caractéristiques essentielles. Il matérialise l’obligation de documentation issue du principe de responsabilité (accountability) et sert de support à la démonstration de la conformité au RGPD.
« Chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement tiennent un registre des activités de traitement effectuées sous leur responsabilité. »
Document de recensement et d’analyse, le registre doit refléter la réalité des traitements de données personnelles mis en œuvre et permettre d’identifier précisément :
- Les parties prenantes (représentant, sous-traitants, co-responsables, etc.) qui interviennent dans le traitement des données ;
- Les catégories de données traitées ;
- Ce à quoi servent ces données — c’est-à-dire ce qu’on en fait —, qui y accède et à qui elles sont communiquées ;
- Combien de temps les données collectées sont conservées ;
- Comment elles sont sécurisées.
Au-delà de la réponse à l’obligation prévue par l’article 30 du RGPD, le registre est un outil de pilotage et de démonstration de la conformité : il permet de documenter les traitements de données et, partant, de rapporter la preuve du respect de la réglementation.
I) Les personnes chargées de tenir le registre
Il ressort de l’article 30, 5 du RGPD que l’obligation de tenue d’un registre des activités de traitement ne s’applique pas à toutes les structures.
A) Principe
L’obligation de tenue d’un registre des activités de traitement incombe à toutes les structures qui comportent plus de 250 salariés.
Dès lors que ce seuil est dépassé, le responsable du traitement a l’obligation de constituer ce registre, quand bien même aucun DPD n’a été désigné.
Par ailleurs, l’obligation de tenir un registre s’applique, tant au responsable du traitement, qu’au sous-traitant.
L’article 30, 2 du RGPD énonce en ce sens que chaque sous-traitant et, le cas échéant, le représentant du sous-traitant tiennent un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable du traitement.
B) Exception
Par exception à l’obligation qui s’impose au responsable du traitement et au sous-traitant, l’article 30, 5 du RGPD prévoit que l’obligation de tenue d’un registre ne s’applique pas à une entreprise ou à une organisation comptant moins de 250 employés, sauf si :
- Le traitement qu’elles effectuent est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s’il n’est pas occasionnel ;
OU
- Le traitement porte notamment sur les catégories particulières de données visées à l’article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions.
La portée de cette exception est, en réalité, des plus étroites : l’une quelconque des trois branches alternatives — risque, caractère non occasionnel, données sensibles — suffit à réactiver l’obligation. Or la quasi-totalité des organismes mettent en œuvre, fût-ce à petite échelle, des traitements réguliers tels que la gestion de la paie ou du fichier clients. Aussi la dispense ne joue-t-elle, en pratique, que pour les traitements véritablement ponctuels et anodins, de sorte que de minimis le registre demeure, pour la plupart des structures, une obligation incontournable.
Une PME de 80 salariés se croit dispensée de registre parce qu’elle compte moins de 250 employés. Mais elle gère, de manière continue, la paie de son personnel et un fichier de prospection commercial : ces traitements ne sont pas occasionnels. Surtout, elle conserve les certificats médicaux d’aptitude transmis par la médecine du travail — des données relevant de l’article 9 du RGPD. La double condition de l’exception cesse donc d’être remplie : la PME doit tenir un registre, à tout le moins pour ses traitements réguliers et pour ceux portant sur des données sensibles.
II) Le contenu du registre
Avant l’entrée en vigueur du RGPD, la loi Informatique et Libertés imposait aux responsables de traitements de données personnelles, sauf exceptions, d’accomplir des formalités déclaratives auprès de la CNIL.
A cet égard, cette dernière recommande que le registre tenu par le responsable du traitement, en application de la nouvelle réglementation, fasse état, tant des traitements qui avaient donné lieu, avant l’entrée en vigueur du RGPD, à des déclarations préalables que de ceux intervenus après son adoption.
A) Les traitements antérieurs au 25 mai 2018
Pour les traitements intervenus avant le 25 mai 2018, il est possible d’intégrer au registre les formalités accomplies lors de la déclaration de ces traitements, soit :
- Les déclarations simplifiées ;
- Les déclarations ordinaires ;
- Les déclarations normales ;
- Les demandes d’avis ;
- Les demandes d’autorisation ;
- Les demandes d’autorisation recherches médicales ;
- Les demandes d’autorisation évaluation de pratiques de soins.
Il peut être observé que les listes qui concernent les formalités accomplies entre 1979 et le 25 mai 2018 par les responsables publics et privés mettant en œuvre des fichiers, dispositifs ou applications traitant des données relatives à des personnes physiques sont mises à disposition pour une durée de 10 ans à compter du 25 mai 2018 : https://www.cnil.fr/fr/les-formalites-prealables-accomplies-aupres-de-la-cnil-avant-le-25-mai-2018
Reste que dans certains cas, le responsable du traitement était dispensé d’accomplir des formalités :
- Les organismes, publics ou privés, qui avaient désigné un Correspondant Informatique et Libertés (CIL) étaient ainsi dispensés, depuis octobre 2005, d’accomplir certaines formalités (déclarations) auprès de la CNIL.
- La CNIL avait également dispensé de déclaration certains traitements de données personnelles courants.
D’autres traitements étaient encore dispensés, non pas de déclaration, mais de la publication de l’acte réglementaire qui les autorise :
- Les données relatives à certains traitements mis en œuvre par l’Etat (article 26 III de la loi Informatique et Libertés en vigueur avant le 25 mai 2018) étaient également dispensées de publication.
- Les traitements mis en œuvre par des particuliers (ex. : vidéosurveillance de leur habitation dans laquelle interviennent des employés à domicile), susceptibles de comporter des informations relatives à leur vie privée, ne sont pas concernés par cette publication.
Pour ces traitements dispensés de déclaration ou de publication, s’il n’est pas nécessaire d’en faire mention sur le registre des activités, il doit, en revanche, être fait état de l’exemption dont ils bénéficient.
B) Les traitements postérieurs au 25 mai 2018
- 1) Le registre du responsable du traitement
L’article 30, 1 du RGPD prévoit que le registre des activités de traitement doit mentionner les informations suivantes :
- Le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données ;
- Les finalités du traitement ;
- Une description des catégories de personnes concernées et des catégories de données à caractère personnel ;
- Les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales ;
- Le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et les documents attestant de l’existence de garanties appropriées ;
- Dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données ;
- Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles mises en œuvre.
2) Le registre du sous-traitant
S’agissant du registre tenu par le sous-traitant, en application de l’article 30, 2 du RGPD il doit comporter :
- Le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les noms et les coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données ;
- Les catégories de traitements effectués pour le compte de chaque responsable du traitement (par exemple : pour la catégorie « service d’envoi de messages de prospection », il peut s’agir de la collecte des adresses mails, de l’envoi sécurisé des messages, de la gestion des désabonnements, etc.) ;
- Le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et les documents attestant de l’existence de garanties appropriées ;
- Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles mises en œuvre.
La comparaison des deux registres est instructive : celui du sous-traitant épouse les contours de sa mission. Parce qu’il n’agit que pour le compte du responsable du traitement et ne maîtrise ni les finalités, ni les durées de conservation, ni l’étendue exacte des destinataires, son registre s’organise par catégories de traitements rattachées à chaque donneur d’ordre, et non par finalité. Là réside la distinction cardinale entre les deux documents — l’un décrit des traitements décidés, l’autre des prestations exécutées.
III) Les modalités de tenue du registre
Compte tenu des informations qui doivent figurer sur le registre, celui-ci doit nécessairement prendre la forme d’un écrit.
« Le registre se présente sous une forme écrite y compris la forme électronique. »
Pour faciliter la tenue de ce registre, la CNIL propose un modèle de registre de base, destiné à répondre aux besoins les plus courants en matière de traitements de données, en particulier des petites structures (TPE-PME, associations, petites collectivités, etc.).
La CNIL recommande, dans la mesure du possible, d’enrichir le registre de mentions complémentaires afin d’en faire un outil plus global de pilotage de la conformité.
Le registre doit être mis à jour régulièrement au gré des évolutions fonctionnelles et techniques des traitements de données.
En pratique, toute modification apportée aux conditions de mise en œuvre de chaque traitement inscrit au registre (nouvelle donnée collectée, allongement de la durée de conservation, nouveau destinataire du traitement, etc.) doit être portée au registre.
L’exigence d’actualisation traduit la nature même du registre : il ne s’agit pas d’une photographie figée prise au jour de sa rédaction, mais d’un reflet fidèle et continu de la réalité des traitements. Un registre obsolète n’est pas seulement incomplet — il est trompeur, et ruine la fonction probatoire que lui assigne le principe de responsabilité.
IV) La mise à disposition du registre
A) La communication du registre à la CNIL
L’article 30, 4 du RGPD prévoit que le responsable du traitement ou le sous-traitant et, le cas échéant, leur représentant doivent mettre le registre à la disposition de l’autorité de contrôle sur demande.
Celle-ci pourra en particulier l’utiliser dans le cadre de sa mission de contrôle des traitements de données.
B) La communication du registre aux personnes
La CNIL rappelle que, selon que le registre est tenu par un organisme public ou privé, sa communication peut être autorisée ou interdite :
- S’agissant des organismes du secteur public
- Ils sont tenus de communiquer le registre à toute personne qui en fait la demande, car il s’agit d’un document administratif, communicable à tous, au sens du code des relations entre le public et l’administration.
- Toutefois, le registre communiqué doit être occulté de toute information dont la divulgation pourrait en particulier porter atteinte aux secrets protégés par la loi, et notamment à la sécurité des systèmes d’information.
- S’agissant des organismes privés
- Ils ne sont pas tenus de communiquer le registre au public.
- Néanmoins, ils peuvent, s’ils l’estiment opportun, le communiquer aux personnes qui en font la demande.
En définitive, le registre des activités de traitement se révèle être bien davantage qu’une formalité documentaire : il est le réceptacle de la conformité, l’instrument par lequel le responsable du traitement satisfait à la charge de la preuve que le RGPD fait peser sur lui. Tenu avec rigueur et régulièrement actualisé, il protège autant qu’il oblige — car, en matière de protection des données, ne peut démontrer sa conformité que celui qui l’a, au préalable, consignée.
