Un registre de traitement des données personnelles comprend généralement un aperçu des traitements qui ont lieu chez vous, avec pour chaque traitement l'objectif, la base juridique, les catégories de données et les personnes concernées, la durée de conservation, qui reçoit les données et quelles mesures de sécurité s'y rattachent. Lorsque des données sont transmises à un tiers, une convention de traitement y est généralement associée. Quels documents sont précisément nécessaires dans votre cas et le degré de complétude du registre dépendent de l'Autorité de protection des données ou d'un juriste — cet article ne présente que le tableau général.
Le détail qui joue le plus grand rôle dans ce sujet, c'est que le registre n'est pas un instantané. Pour un dossier de sécurité des produits, vous rassemblez des certificats et des rapports de test qui, une fois reçus, restent valides un certain temps. Pour un registre de traitement, cela fonctionne différemment : dès que vous utilisez un nouvel outil, engagez un nouveau fournisseur ou collectez un nouveau type de données, le registre change en conséquence. C'est moins un dossier contenant des pièces justificatives et plus un journal continu de ce qui se passe dans votre entreprise avec les données personnelles.
Ce qui figure généralement dans le registre
Par traitement, vous consignez généralement pourquoi vous collectez les données, sur quelle base juridique vous le faites, quelles données et quelles personnes concernées sont impliquées, combien de temps vous les conservez et avec qui vous les partagez. Pensez à la paie du personnel, à un fichier client que vous utilisez à des fins de marketing, ou à des images de vidéosurveillance à l'entrée de vos locaux. Chacun de ces exemples est une ligne distincte du registre, avec un objectif propre et une durée de conservation propre. Un responsable des ressources humaines qui gère les dossiers du personnel et un gestionnaire d'immeuble qui tient à jour un registre des visiteurs complètent donc tous les deux une partie du même registre, même s'ils travaillent rarement à partir du même aperçu.
Les conventions de traitement comme pièce distincte
Dès qu'un tiers traite des données en votre nom — un cabinet comptable, un service cloud, une agence marketing — cela s'accompagne généralement d'un contrat distinct qui définit ce que ce tiers peut et ne peut pas faire. Ce document fait partie du registre, mais ne le remplace pas : le registre décrit ce qui se passe, le contrat définit qui en est responsable. Les entreprises qui travaillent avec plusieurs prestataires constatent que cette pile de contrats s'accumule aussi vite que le registre lui-même, et que le suivi des contrats encore valides devient une tâche à part entière.
Pourquoi ce dossier n'est jamais terminé
Parce que le registre évolue avec ce qui se passe dans votre entreprise, la question n'est pas seulement de savoir quels documents vous avez besoin, mais aussi qui veille à ce qu'ils restent à jour en cas de changement. Un nouvel outil RH, une succursale supplémentaire, un prestataire qui change : à chaque fois, la question se pose de savoir si le registre représente encore correctement la pratique. C'est une tâche différente que de collecter des documents une seule fois, et c'est précisément la raison pour laquelle de nombreuses entreprises laissent ce registre en marge de leur dossier de conformité global, alors qu'il chevauche substantiellement les données d'entreprise déjà contenues dans un dossier de sécurité des produits ou un dossier d'emballage.
Où cela a sa place et où l'aperçu aide
La question de fond concernant les traitements que vous devez enregistrer et le niveau de détail requis relève d'une plateforme spécialisée ou d'un avocat ; reglia ne prend pas position sur ce point. Ce que reglia fait, en revanche, c'est permettre aux données d'entreprise qui figurent dans un tel registre — votre numéro KvK, vos succursales, vos contacts — d'être saisies une seule fois et mises à disposition de la plateforme qui gère le registre, afin que vous n'ayez pas à les ressaisir à côté de votre dossier de sécurité des produits ou de votre dossier d'emballage. Sur la page des plateformes connectées vous voyez quelle plateforme s'occupe spécifiquement des données à caractère personnel et ce que cette plateforme attend ou n'attend pas de vous.
Si vous voulez savoir ce que reglia fait exactement avec vos données et ce qu'il ne fait pas, vous le lisez sur l'explication sur ce que reglia fait et ne fait pas avec vos données. Des questions sur la sécurité de ces données se trouvent sur la page sur la sécurité et la confidentialité, et les questions fréquemment posées sur le partage entre les plateformes se trouvent sur la page des questions fréquemment posées.
Consultez les plateformes connectées et identifiez celle qui convient le mieux pour tenir à jour votre registre de traitement ; cet aperçu vous donne une image claire en quelques minutes de l'endroit où vous pouvez obtenir de l'aide pour cette obligation.