Registre des activités de traitement : les champs de l'article 30 expliqués simplement

Le registre des activités de traitement est un inventaire des processus de données d'une organisation. Il répond à une seule question : que faisons-nous réellement des données des personnes. Pas quels documents nous détenons ni quelles règles nous avons adoptées, mais ce qui se passe concrètement au quotidien — ce qui est collecté, pour quoi, où c'est conservé et à qui c'est transmis.

Le registre n'est donc pas un texte juridique. C'est un tableau dont chaque ligne est un processus et dont les colonnes posent les mêmes questions pour chaque processus.

Toute la documentation restante — règles internes, mentions d'information, liste des contrats — s'écrit à partir de lui. Commencer par les règles oblige à décrire des choses que l'on n'a pas encore recensées.

Les premiers champs sont simples : qui est le responsable du traitement, ses coordonnées, celles de son représentant s'il en a désigné un, et celles du délégué à la protection des données si l'organisation en a un. Ces champs sont identiques dans tout le registre et se remplissent donc une seule fois.

Mieux vaut indiquer un contact fonctionnel plutôt que l'adresse personnelle d'un salarié précis. Le personnel change, et le registre doit rester exact un an plus tard.

Chaque finalité se voit attribuer une base. Dans notre exemple, le calcul de la paie et les déclarations aux administrations reposent sur une obligation légale, l'exécution du contrat de travail repose sur le contrat lui-même, et, disons, la photo d'un salarié dans un annuaire interne repose le plus souvent sur le consentement ou l'intérêt légitime, selon les cas.

La base n'est pas un champ décoratif. Elle détermine les droits dont dispose la personne : on peut s'opposer à un intérêt légitime, retirer un consentement, alors que ni l'un ni l'autre n'est possible face à une obligation légale.

Si la base choisie est erronée, la mention d'information qui en découle l'est aussi. Voir la liste des bases légales à [À VÉRIFIER : référence légale].

Les destinataires sont toutes les personnes qui voient les données en dehors de votre organisation. Dans notre exemple, il s'agit du prestataire comptable ou de l'éditeur du logiciel, de la banque, des administrations, de l'assureur, de l'organisme médical qui réalise les visites obligatoires, et parfois d'un cabinet d'audit.

Chaque destinataire soulève une seconde question : agit-il comme responsable de traitement indépendant ou comme sous-traitant. Les sous-traitants exigent un contrat, si bien que la liste des destinataires sert aussi, en pratique, de liste de contrôle des contrats. C'est souvent là qu'on découvre qu'un ou deux systèmes n'ont pas de contrat.

La durée ne se fixe pas pour l'ensemble du processus mais par groupe de données. Dans notre exemple, le contrat de travail et le dossier du personnel sont conservés longtemps selon les obligations d'archivage, le suivi du temps de travail moins longtemps, et la correspondance courante sur les plannings encore moins.

Chaque durée doit être accompagnée d'un motif : une obligation légale, un risque de litige ou un choix de l'organisation. Une durée sans motif n'est qu'un chiffre qu'on ne peut ni justifier ni réviser.

Le registre est terminé lorsqu'on peut l'imprimer et expliquer chaque ligne à des collègues sans questions supplémentaires. Chaque processus a une finalité, une base, des catégories, des destinataires, une durée et des mesures, et les questions non résolues sont notées comme telles, sans être masquées par des formules générales.

Ensuite commence l'entretien courant : une révision chaque fois qu'un système, un fournisseur ou un processus change. Les organisations qui utilisent le registre comme un outil de travail y consacrent quelques dizaines de minutes par trimestre. Celles qui l'oublient repartent presque de zéro deux ans plus tard.

Le chemin le plus rapide passe par trois entretiens : avec la comptabilité, avec l'administration, et avec la personne qui gère les systèmes. En une heure, chacune d'elles en dit plus que n'importe quel document, car elles savent où se trouvent réellement les données.

Une deuxième source est la liste des contrats et les factures. On y retrouve tous les prestataires, y compris ceux que personne n'avait en tête : le service d'archivage, la destruction de documents, la plateforme marketing, l'outil de sondage.

Une troisième source est constituée par les systèmes eux-mêmes. La liste des comptes utilisateurs montre qui a accès, et souvent aussi que des personnes ayant changé de poste ou quitté l'organisation depuis longtemps ont encore un accès.

Le registre est une source de réponses lorsqu'un événement survient. Une personne demande une copie de ses données — le registre indique dans quels systèmes chercher.

Un incident se produit — le registre en montre l'ampleur et les destinataires concernés. Une demande arrive — le registre en est la première pièce jointe.

C'est aussi un outil d'achat. Avant de déployer un nouveau système, il suffit de poser au fournisseur les questions du registre : quelles données il verra, où elles seront stockées, qui y aura accès, ce qu'il advient à la fin du contrat. C'est le meilleur moment pour obtenir des réponses.

Enfin, le registre sert de support de formation pour les nouveaux arrivants. Au lieu de vingt pages de règles, ils voient un seul tableau qui montre clairement ce que l'organisation fait des données et pourquoi.