Votre expert-comptable vous réclame votre registre des traitements pour boucler un audit, un prospect vous envoie un questionnaire de conformité avant de signer, ou un courrier de la CNIL annonce un contrôle de vos pratiques en matière de données personnelles. Et vous n’avez aucun registre. Cette situation, très fréquente dans les TPE et PME, n’est pas une simple formalité manquante : le registre des activités de traitement est le document par lequel vous démontrez que vos fichiers clients, vos dossiers salariés, votre prospection et vos outils informatiques respectent le règlement général sur la protection des données. Sans lui, un contrôle tourne vite à la mise en demeure puis à la sanction pécuniaire, comme l’ont appris à leurs dépens plusieurs petites entreprises sanctionnées en procédure simplifiée pour ce seul manquement parmi d’autres. Ce guide complet vous donne le cadre applicable en 2026, le contenu exact attendu fiche par fiche, la méthode pour construire votre registre en cinq étapes et la conduite à tenir face à un contrôle, avec les textes officiels et les positions de la CNIL à l’appui.
I. Le registre des traitements est obligatoire, y compris pour une petite entreprise
A. Qui doit tenir un registre, et pourquoi les moins de 250 salariés ne sont presque jamais exemptés
Le principe est large. La CNIL l’énonce sans ambiguïté sur sa page consacrée au registre : en pratique, tous les organismes, publics comme privés et quelle que soit leur taille, sont tenus de recenser leurs traitements dès lors qu’ils traitent des données personnelles. Ainsi que le rappelle la CNIL Une société de trois personnes qui gère un fichier clients, des bulletins de paie et une newsletter est donc concernée au même titre qu’un grand groupe. Le texte européen est tout aussi direct : chaque responsable de traitement tient un registre des activités effectuées sous sa responsabilité, comme l’impose l’article 30 du règlement Chaque sous-traitant tient de son côté un registre des catégories d’activités effectuées pour le compte de ses clients.
Beaucoup de dirigeants se croient à l’abri grâce au seuil de 250 salariés. C’est une fausse sécurité. Le paragraphe 5 de l’article 30 prévoit bien que les obligations de registre ne s’appliquent pas aux entreprises de moins de 250 employés, mais cette dérogation ne vise que les traitements occasionnels, sans risque pour les droits et libertés des personnes et ne portant ni sur des données sensibles ni sur des condamnations pénales. et la CNIL recommande dans le doute d’intégrer le traitement au registre Or la gestion de la paie, la gestion des clients et des prospects, la gestion des fournisseurs et la vidéosurveillance des locaux sont des traitements non occasionnels par nature : ils sont routiniers et permanents. La CNIL en tire la conséquence logique : en pratique, la dérogation ne couvre que des cas très particuliers de traitements occasionnels et non routiniers, comme une campagne de communication lors de l’ouverture d’un établissement. En cas de doute, elle recommande d’intégrer le traitement au registre. Concrètement, une TPE qui emploie des salariés, facture des clients et prospecte n’a quasiment aucun traitement à exclure : elle doit tenir un registre.
Pour visualiser concrètement, prenez une PME de vingt salariés dans le commerce ou les services : elle traite la paie et les dossiers du personnel, les candidatures reçues, les devis, les factures clients et les avoirs, un fichier prospects alimenté par le site internet et les salons, les tickets du service après-vente, les données de connexion de sa boutique en ligne, les badges d’accès aux locaux, et souvent une vidéosurveillance de la réserve ou du parking. Chacun de ces ensembles constitue un traitement distinct qui mérite sa fiche de registre, avec ses personnes concernées, ses données, ses destinataires et sa durée propre. La tentation est grande de tout regrouper en une fiche unique intitulée gestion commerciale, mais un registre fourre-tout ne permet ni de démontrer les durées ni de justifier les accès : le contrôleur y verra un document de façade. À l’inverse, un inventaire précis fait apparaître les traitements oubliés, comme l’outil de prise de rendez-vous en ligne qui transmet les coordonnées des clients à un prestataire étranger, ou l’application mobile de suivi des commerciaux qui enregistre leur localisation.
Cet inventaire croise directement vos obligations envers vos salariés. Dès lors que vous recensez un dispositif qui collecte des informations les concernant personnellement, vous devez l’avoir porté préalablement à leur connaissance : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Et lorsque le dispositif permet un contrôle de leur activité, comme une badgeuse, un logiciel de temps ou un outil de supervision, [« Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. » Le registre est le bon endroit pour tracer ces formalités : ajoutez à chaque fiche concernée la date de l’information individuelle et, le cas échéant, celle de la consultation du comité social et économique. Le jour du contrôle, cette traçabilité fera la différence entre un dispositif assumé et une surveillance clandestine.
Le registre n’est pas un document décoratif. Il participe à ce que le règlement appelle la responsabilité du responsable de traitement : le responsable de traitement doit mettre en œuvre des mesures appropriées pour garantir et démontrer la conformité de ses traitements, selon l’article 24 du règlement Le registre est l’instrument de cette démonstration. La CNIL le présente comme un outil de pilotage qui permet de se poser les bonnes questions : ai-je vraiment besoin de cette donnée, est-il pertinent de la conserver aussi longtemps, est-elle suffisamment protégée. Un registre bien tenu identifie les parties prenantes, les catégories de données, leur utilité, leurs destinataires, leurs durées de conservation et leur sécurité. C’est aussi le point de départ de tout plan d’action de mise en conformité : on ne corrige bien que ce que l’on a recensé.
B. Ce que risque une entreprise sans registre quand la CNIL contrôle
Le registre est l’une des premières pièces que la CNIL réclame lors d’un contrôle, et son absence figure parmi les manquements sanctionnés en routine. Le 8 octobre 2024, la Commission a annoncé que, depuis juin 2024, la CNIL a rendu onze décisions de sanctions en procédure simplifiée pour 129 000 euros d’amendes cumulées, dont plusieurs pour absence de registre de traitement, aux côtés de la collecte excessive de données, du défaut de coopération et du non-respect des droits des personnes. La procédure simplifiée vise des affaires sans difficulté particulière et des PME : le message est que même les petites structures sont contrôlées et sanctionnées sur ces fondamentaux.
L’absence de registre ne vient d’ailleurs presque jamais seule dans les décisions. Elle accompagne typiquement la minimisation bafouée, comme une vidéosurveillance des salariés ou des enregistrements téléphoniques systématiques et intégraux, l’information des clients et des salariés négligée, et des réponses aux demandes d’accès ou d’effacement restées lettre morte. Chaque manquement documenté dans le rapport de contrôle aggrave la suivante : sans registre, vous ne pouvez ni démontrer vos durées de conservation, ni justifier vos destinataires, ni prouver vos mesures de sécurité. Et le défaut de coopération, lui aussi sanctionné dans cette vague de décisions, peut naître d’une simple inertie face aux demandes du rapporteur.
Le registre conditionne aussi votre capacité à répondre aux personnes qui exercent leurs droits. Quand un client exige la copie de ses données ou qu’un ancien salarié demande leur effacement, vous devez localiser toutes leurs occurrences : fichier commercial, sauvegardes, outils du prestataire, archives. Sans registre, la recherche est artisanale et le délai d’un mois court pendant que vous improvisez. Avec un registre à jour, vous identifiez en quelques minutes les traitements concernés, leurs destinataires et leurs durées, et vous produisez une réponse complète et traçable. C’est exactement le parcours décrit dans notre guide de la demande d’accès restée sans réponse : l’entreprise qui ne répond pas ou répond à côté s’expose à la plainte devant la CNIL puis au juge, alors qu’un registre bien tenu aurait permis de traiter la demande dans les temps.
Face à l’autorité de contrôle, l’obligation de coopération est d’ailleurs écrite dans le texte : responsables de traitement et sous-traitants doivent coopérer avec l’autorité de contrôle à sa demande, en application de l’article 31 du règlement Concrètement, quand la CNIL demande votre registre, il faut le produire : le registre doit pouvoir être mis à la disposition de l’autorité de contrôle sur sa demande, conformément à l’article 30 du règlement Un registre inexistant ou manifestement bâclé à ce stade transforme un contrôle de routine en procédure de sanction. Le risque n’est pas seulement administratif. Certains outils recensés au registre touchent au pénal lorsqu’ils sont détournés. La localisation d’une personne captée ou transmise sans son consentement est punie d’un an d’emprisonnement et de 45 000 euros d’amende, car la loi vise : « En captant, enregistrant ou transmettant, par quelque moyen que ce soit, la localisation en temps réel ou en différé d’une personne sans le consentement de celle-ci. » Une application de suivi des commerciaux activée en dehors du temps de travail, sans information ni consentement, expose donc l’entreprise au-delà du champ de la CNIL. Recenser ces outils au registre, avec leurs plages d’activation et leurs destinataires, est aussi une manière de vérifier qu’aucun d’eux ne franchit cette ligne rouge.
À l’inverse, un registre complet, daté et tenu à jour crédibilise toute la suite des échanges et ouvre la voie à la mise en conformité négociée plutôt qu’à la sanction.
II. Construire un registre qui passe le contrôle de la CNIL
A. Les mentions obligatoires, fiche par fiche, côté responsable et côté sous-traitant
La première étape consiste à distinguer vos deux casquettes, car beaucoup de PME cumulent les deux rôles : vous êtes responsable de traitement pour votre paie, vos clients et votre prospection, et sous-traitant quand vous hébergez, maintenez ou routez les données de vos propres clients. La CNIL recommande dans ce cas de tenir deux registres distincts. Le registre du responsable recense l’ensemble des traitements mis en oeuvre par votre organisme, avec une fiche par activité : gestion du personnel, gestion des clients, prospection commerciale, gestion des fournisseurs, vidéosurveillance, gestion du site internet, et ainsi de suite.
Pour chaque fiche du registre du responsable, huit rubriques au moins sont attendues : le nom et les coordonnées de votre organisme, de votre représentant hors Union européenne et de votre délégué à la protection des données si vous en avez un ; les finalités du traitement, c’est-à-dire l’objectif précis pour lequel les données ont été collectées ; les catégories de personnes concernées, comme les clients, les prospects ou les employés ; les catégories de données personnelles, comme l’identité, la situation familiale ou financière, les données bancaires, de connexion ou de localisation ; les catégories de destinataires, y compris les sous-traitants auxquels vous recourez ; les transferts vers un pays tiers ou une organisation internationale avec, dans certains cas, les garanties prévues ; les délais d’effacement, c’est-à-dire les durées de conservation ou les critères permettant de les déterminer ; et, dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles. Ces huit rubriques reprennent les lettres a à g du paragraphe 1 de l’article 30, dont le texte officiel figure au chapitre IV du règlement publié par la CNIL.
Le registre du sous-traitant obéit à une logique différente : il recense les catégories d’activités effectuées pour le compte de vos clients, comme l’hébergement de données, la maintenance informatique ou l’envoi de messages de prospection. Pour chaque catégorie, cinq éléments minimaux sont requis : le nom et les coordonnées de chaque client responsable de traitement et de son représentant ; le nom et les coordonnées des sous-traitants auxquels vous faites vous-même appel ; les catégories de traitements effectués pour chaque client, c’est-à-dire les opérations réellement réalisées, comme la collecte des adresses, l’envoi sécurisé ou la gestion des désabonnements ; les transferts vers un pays tiers avec les garanties applicables ; et, dans la mesure du possible, la description générale des mesures de sécurité. Si votre entreprise fournit des prestations informatiques ou SaaS à des clients, ce second registre est aussi important que le premier, et il doit s’articuler avec les contrats de sous-traitance conclus en application de l’article 28, comme l’explique notre analyse des clauses à imposer à un prestataire qui traite des données personnelles.
B. La méthode en cinq étapes et la vie du registre après un contrôle
Première étape : désigner un pilote et mobiliser les services. Le registre ne peut pas être rédigé par une seule personne isolée, car les traitements vivent dans les métiers : la comptabilité connaît la paie et la facturation, le commercial connaît le fichier prospects et les campagnes, l’informatique connaît les sauvegardes, les journaux de connexion et les prestataires d’hébergement. Désignez un responsable interne du projet, associez votre délégué à la protection des données si vous en avez désigné un, et demandez à chaque service la liste des fichiers, logiciels et prestataires qu’il utilise. Sans ce tour d’horizon, le registre restera théorique et le contrôleur s’en apercevra au premier écart entre le document et la réalité des systèmes.
Deuxième étape : inventorier les traitements par service et qualifier chacun d’eux. Pour chaque fichier ou outil, notez qui est concerné, quelles données sont collectées, pour quel objectif précis, sur quel fondement, qui y accède, à qui elles sont transmises et combien de temps elles sont conservées. C’est à ce stade que les mauvaises habitudes apparaissent : base prospects jamais purgée depuis dix ans, copies de pièces d’identité conservées sans besoin, accès administrateur partagés, prestataire américain sans encadrement du transfert, durées de conservation identiques pour tout. Chaque anomalie relevée devient une action de mise en conformité à planifier, avec un responsable et un délai. La CNIL souligne que la création et la mise à jour du registre sont l’occasion d’identifier et de hiérarchiser les risques, et d’en déduire un plan d’action.
Un point mérite une vigilance particulière : les traitements à risque élevé, comme la vidéosurveillance permanente, la géolocalisation des véhicules, les données de santé gérées par un service social interne ou l’évaluation systématique des personnes, appellent une analyse d’impact relative à la protection des données avant leur mise en oeuvre, en plus de leur inscription au registre. Repérez ces traitements dès l’inventaire, documentez la nécessité et la proportionnalité de chacun au regard de [l’exigence légale selon laquelle « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. », et conservez cette analyse avec le registre : le contrôleur la demandera en même temps que la fiche correspondante.
Troisième étape : fixer les durées de conservation et sécuriser les accès. Le registre doit indiquer, pour chaque catégorie de données, le délai d’effacement ou les critères permettant de le déterminer. Appuyez-vous sur les référentiels de durées publiés par la CNIL pour les données de ressources humaines, de clients et de prospects, et traduisez-les en règles opérationnelles : archivage, suppression automatique, purge annuelle. Décrivez ensuite les mesures de sécurité en termes généraux mais vérifiables : mots de passe robustes et individualisés, habilitations limitées aux personnes qui en ont besoin pour leurs missions, chiffrement des postes nomades, journalisation des accès, sauvegardes testées. Évitez les formules creuses comme la sécurité assurée par notre prestataire : le contrôleur demandera le contrat et les mesures précises.
Enfin, ne négligez pas le registre de votre propre sous-traitance interne : centraux téléphoniques, outils de ticketing, plateformes d’e-mailing, hébergeurs et cabinets comptables traitent vos données pour votre compte. Listez-les dans le registre comme destinataires, vérifiez leurs engagements contractuels et leurs lieux d’hébergement, et mettez à jour la fiche dès que vous changez de prestataire. Un registre qui ignore les sous-traitants est incomplet sur l’une des rubriques que le contrôleur vérifie en premier.
Quatrième étape : mettre en forme et dater le registre. Le règlement impose uniquement une forme écrite, papier ou électronique, et le format est libre. La CNIL propose un modèle de registre simplifié au format tableur, destiné aux petites structures comme les TPE, les PME, les associations et les petites collectivités, qui couvre le socle d’exigences de l’article 30. Partez de ce modèle plutôt que d’une page blanche, puis enrichissez-le des mentions complémentaires qui en feront un outil de pilotage : fondement juridique de chaque traitement, analyse des risques, suites données aux demandes de droits des personnes. Datez chaque version et conservez l’historique : un registre créé la veille du contrôle, sans trace d’actualisation, discrédite la démarche.
Prévoyez aussi la traçabilité des demandes que vous recevez des personnes concernées : date de réception, traitement visé, réponse apportée et délai. La CNIL sanctionne régulièrement l’absence de réponse dans les délais, et ce journal des droits exercés complète utilement le registre lors d’un contrôle. Une entreprise capable de montrer qu’elle répond vite et bien aux demandes d’accès et d’effacement présente un dossier de conformité vivant, ce qui compte autant que le registre lui-même dans l’appréciation du rapporteur.
Cinquième étape : faire vivre le registre et préparer le contrôle. Tout nouveau traitement, tout nouveau prestataire, tout nouvel outil modifie le registre : prévoyez une revue au moins annuelle et une mise à jour à chaque changement notable, comme le passage à un nouveau logiciel de paie, l’ouverture d’une boutique en ligne ou le recours à un outil d’intelligence artificielle qui exploite des données de salariés ou de clients. Constituez un dossier de contrôle prêt à produire : registre à jour, contrats de sous-traitance, mentions d’information remises aux clients et aux salariés, procédure de réponse aux demandes d’accès, de rectification et d’effacement, registre des violations de données. En région parisienne, où se concentrent sièges sociaux, prestataires et sous-traitants, les contrôles sur place et sur pièces de la CNIL sont fréquents et les échanges se font dans des délais courts : à Paris et en Île-de-France, faites relire le dossier par une personne extérieure au service qui l’a constitué, vérifiez que chaque traitement cité existe réellement dans vos systèmes, et tenez à disposition les coordonnées de votre interlocuteur unique pour répondre aux demandes du rapporteur sans délai.
La jurisprudence donne au registre une portée qui dépasse le contrôle administratif. D’abord, les dispositifs que vous y recensez, comme la vidéosurveillance ou la géolocalisation, sont jugés à l’aune de la proportionnalité : dans son arrêt du 19 décembre 2018 sur le système de géolocalisation des distributeurs, la chambre sociale a cassé une décision qui validait un boîtier enregistrant la position toutes les dix secondes, en retenant que l’utilisation d’un tel système pour contrôler la durée du travail n’est licite que lorsqu’aucun autre moyen ne le permet et n’est pas justifiée quand le salarié organise librement son travail. Ensuite, l’information préalable conditionne l’usage en justice des données collectées : dans son arrêt du 10 novembre 2021, la même chambre a rappelé que les salariés doivent être informés avant tout traitement de leurs données et que le comité d’entreprise doit être consulté avant tout moyen de contrôle de leur activité, tout en précisant que l’illicéité d’une preuve n’entraîne pas automatiquement son rejet, le juge mettant en balance le droit au respect de la vie personnelle et le droit à la preuve. Enfin, l’arrêt du 21 mai 2025 sur la vidéosurveillance en aéroport a validé des preuves issues d’images parce que les finalités étaient déterminées, les accès limités, la conservation courte et les salariés informés : c’est exactement ce qu’un bon registre documente. Tenez vos fiches comme si un juge devait les lire, car un jour peut-être il les lira.
Enfin, le registre protège aussi contre les demandes de réparation. Toute personne lésée par une violation peut agir : comme l’a rappelé la chambre sociale le 24 juin 2026 au visa de l’article 82 du règlement, « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », même si la simple violation ne suffit pas et que le préjudice doit être démontré sans seuil de gravité. Un client prospecté sans base légale, un salarié fiché au-delà du nécessaire, un candidat conservé sans information : chacun peut chiffrer son préjudice devant le juge. Un registre complet, adossé à des durées respectées et à des droits traités dans les délais, est votre meilleure démonstration qu’aucune violation n’est établie.
En conclusion, le registre des activités de traitement n’est ni une formalité ni un document que l’on rédige une fois pour l’oublier dans un tiroir. C’est la pièce maîtresse de votre conformité : il prouve que vous savez quelles données vous détenez, pourquoi, pour qui, pour combien de temps et avec quelles protections. Les TPE et PME n’échappent pas à l’obligation, la dérogation des moins de 250 salariés ne couvrant en pratique que des traitements occasionnels et sans risque, et la CNIL sanctionne l’absence de registre y compris en procédure simplifiée. Construisez-le méthode par méthode, fiche par fiche, à partir du modèle officiel, articulez-le avec vos contrats de sous-traitance et vos durées de conservation, puis maintenez-le à jour à chaque évolution de vos outils. Le jour où le contrôleur demandera votre registre, ce document fera la différence entre une mise en conformité accompagnée et une sanction pécuniaire.