Registre RGPD : le tenir quand on est une petite entreprise

Sur votre ordinateur se trouvent la liste de vos clients, les messages reçus par le formulaire du site, peut-être des abonnés à votre lettre d'information et les fiches de vos salariés. Pour le RGPD, chacun de ces usages est un traitement de données, que vous devez recenser dans un document : le registre RGPD. Un simple tableur suffit pour le tenir, à condition de savoir quoi y inscrire.

À quoi sert le registre

Le RGPD, applicable depuis le 25 mai 2018, a remplacé la plupart des déclarations qu'il fallait auparavant adresser à la CNIL. En échange, il demande à chaque organisme de documenter lui-même ce qu'il fait des données personnelles. Le registre des activités de traitement est ce document : une liste écrite, sur papier ou sur fichier, de chaque usage que vous faites de ces données.

Il reste interne : vous ne le publiez pas. La CNIL peut en revanche vous le demander lors d'un contrôle. C'est aussi un outil pour vous, car il vous oblige à savoir ce que vous collectez, qui y a accès et combien de temps vous le gardez.

Faut-il en tenir un quand on est petit ?

Dans la pratique, oui. Le RGPD prévoit une dérogation pour les organismes de moins de 250 personnes, mais elle ne joue pas pour les traitements réguliers, ceux qui présentent un risque pour les personnes ou ceux qui portent sur des données sensibles, comme la santé. Or la gestion des clients, la paie ou l'envoi d'une lettre d'information sont des traitements réguliers. La CNIL précise elle-même que cette dérogation se limite à des cas très particuliers. Un indépendant sans salarié est en principe concerné dès qu'il tient un fichier de clients, et une association dès qu'elle gère la liste de ses adhérents.

Pour votre situation précise, par exemple si vous traitez des données de santé ou si vous filmez vos locaux, consultez la page de la CNIL consacrée au registre sur cnil.fr, ou demandez conseil à un professionnel du droit. Dans le doute, tenez un registre : il ne coûte que du temps.

Ce que contient une fiche

Le registre se compose d'une fiche par traitement, c'est-à-dire par usage des données : un même outil peut en alimenter plusieurs. Chaque fiche reprend les mêmes rubriques :

• la finalité : à quoi servent ces données ;
• les personnes concernées : clients, prospects, salariés, visiteurs du site ;
• les catégories de données : identité, coordonnées, historique des commandes ;
• les destinataires : vous, votre comptable, l'hébergeur, l'outil d'envoi des e-mails ;
• les transferts éventuels hors de l'Union européenne ;
• la durée de conservation ;
• les mesures de sécurité : mots de passe, double authentification, sauvegardes.

Le registre indique aussi l'identité de votre entreprise et une adresse de contact. La CNIL propose sur cnil.fr un modèle de registre simplifié, au format tableur, destiné aux petites structures, qui reprend ces rubriques.

Les prestataires qui traitent des données pour votre compte, comme l'hébergeur, l'outil d'envoi d'e-mails ou le comptable, figurent parmi les destinataires. Vérifiez que leurs conditions ou leur contrat encadrent ce traitement ; la CNIL explique sur cnil.fr ce que cet encadrement doit prévoir.

Les traitements d'une petite entreprise

Un commerce ou un indépendant retrouve presque toujours les mêmes traitements :

• le fichier clients : facturation, suivi de la relation ;
• les prospects et les devis envoyés ;
• les messages du formulaire de contact ou de devis du site ;
• les réservations ou les rendez-vous en ligne ;
• la lettre d'information ;
• les salariés : paie, plannings, dossier du personnel, recrutement ;
• la mesure d'audience du site et les cookies ;
• la vidéosurveillance, si vous en avez une.

La fiche du formulaire de contact peut se remplir ainsi, les autres suivant le même modèle :

• finalité : répondre aux demandes reçues par le site ;
• personnes : visiteurs du site ;
• données : nom, adresse e-mail et message ;
• destinataires : vous et l'hébergeur du site ;
• conservation : la durée que vous avez fixée et que vous appliquez ;
• sécurité : accès à la boîte de réception protégé par un mot de passe.

Le tenir à jour

Quand le modifier

Un registre écrit une fois puis oublié devient faux. Mettez-le à jour dès qu'un élément change : nouvel outil de réservation, lancement d'une lettre d'information, nouveau prestataire, embauche. Relisez-le au moins une fois par an, en vérifiant surtout les durées de conservation : un fichier trop ancien se supprime.

Confiez-le à une personne identifiée, rangez-le dans un dossier protégé et sauvegardé, et datez chaque modification. Il doit rester cohérent avec ce que lisent vos visiteurs : la politique de confidentialité décrit publiquement ce que le registre détaille en interne, et les règles sur les cookies, résumées dans l'article sur le RGPD pour un petit site, concernent les mêmes outils.

Les erreurs courantes

• recopier un modèle sans l'adapter, avec des outils que vous n'utilisez pas et sans ceux que vous utilisez ;
• écrire « conservé sans limite » dans la durée de conservation ;
• oublier les salariés et les candidats, dont les données comptent autant que celles des clients ;
• confondre le registre, document interne, avec la politique de confidentialité, destinée au public.

Le registre rend un dernier service : quand une personne demande ce que vous savez d'elle, il vous indique où chercher.

Votre registre en trois étapes

1. Téléchargez le modèle de registre sur cnil.fr et ouvrez-le dans votre tableur.
2. Faites la liste de vos traitements : fichier clients, formulaires, lettre d'information, salariés, outils intégrés au site.
3. Remplissez une fiche par traitement, datez-la, puis fixez dans votre agenda une relecture annuelle. Si vous faites créer un site, comptez une fiche par formulaire, par outil de réservation ou de statistiques prévu, et signalez ces outils dès votre demande de devis.