Comment mettre en place un Registre RGPD

Quand et comment mettre en place un registre RGPD ?

Vous êtes un professionnel et traitez des données personnelles ? Vous avez l’obligation de tenir un registre RGPD, tel que le prévoit l’article 30 du RGPD (Règlement européen sur la protection des données personnelles), sous peine de sanctions. Mais quand et comment le mettre en place ? Nos conseils.

Le registre RGPD : une obligation légale dès la première donnée personnelle

Dès lors que vous traitez des informations personnelles sur vos clients, collègues, employés, etc., vous devez les recenser dans un document légal obligatoire : le registre des traitements de données. On parle aussi de registre des activités de traitement ou tout simplement de registre des traitements. Tous les organismes sont concernés, qu’ils soient publics ou privés et quelle que soit leur taille. Cependant, les entreprises de moins de 250 salariés ne doivent y indiquer que les traitements :

• non occasionnels ;
• susceptibles de porter atteinte aux droits et libertés des personnes ;
• portant sur des données sensibles.

Sous format papier ou électronique, le registre RGPD constitue une preuve de mise en conformité à présenter en cas de contrôle de la CNIL ou en cas de litige. C’est aussi un outil précieux de pilotage qui permet d’avoir une vision globale des données et de recenser l’ensemble des activités de traitement mis en œuvre par votre organisme.

Mettre en place un registre des activités de traitement

Désigner un pilote

La tenue du registre des activités de traitement incombe au responsable de traitement, au sous-traitant ou au délégué à la protection des données (DPO). Véritable expert ayant des compétences juridiques, le DPO garantit votre mise en conformité au RGPD. Vous pouvez le choisir en interne ou en externe dans un cabinet spécialisé tel que DNA.

Recenser les traitements de données existants

Commencez par cartographier vos données en listant les différentes activités collectant des informations comme: la gestion de la paie, des fournisseurs, la gestion des fichiers clients, la vente en ligne, etc. Analysez également le site web pour identifier les données qui y sont traitées, collectées, manipulées…Puis, créez une fiche pour chaque activité en indiquant :

• l’identité et les coordonnées de votre organisme ;
• l’objectif principal de l’utilisation des données ;
• les types de personnes concernées ;
• les différentes catégories de données ;
• les destinataires de ces données ;
• les transferts de données hors Union européenne ;
• la durée de conservation ;
• les mesures de sécurité physique et/ou
• les mesures de sécurité logique

Vous venez de réaliser une cartographie des traitements vous donnant accès à un registre complété.

Constituer un registre de sous-traitant

Si dans le cadre de vos activités, vous agissez sur instructions/pour le compte d'une autre structure, vous endossez la qualité de sous-traitant. Vous devez alors établir un second registre, le registre du sous-traitant avec les éléments suivants :

• le nom et les coordonnées de vos clients et du responsable de traitement pour lequel vous traitez les données ;
• l’identité et les coordonnées de vos propres sous-traitants ;
• les catégories de traitements réalisés pour vos clients ;
• les transferts de données hors de l’hexagone ;
• les mesures de sécurité mises en place pour respecter le RGPD

Trier et mettre à jour les données

L’élaboration du registre RGPD permet de vérifier la pertinence des données collectées et de faire le tri pour ne garder que les données strictement nécessaires et pertinentes au regard de la finalité de votre traitement de données. C’est le moment également d’éliminer les données qui sont inutiles. Il conviendra ensuite de mettre votre registre à jour régulièrement, par exemple dès que vous mettez en place un nouveau traitement (changement de logiciel) ou que vous utilisez les données à des fins différentes. Le registre permet donc de recenser toutes les données collectées et d’analyser les traitements de données personnelles au sein de votre entreprise,de votre organisme privé ou public.Tenir un registre des activités de traitements vous permet d’identifier les actions de mise en conformité au RGPD à mener. C’est un travail long et méthodique. Pour en savoir plus, contactez-nous.