Registre RGPD : qui doit le tenir ?

Le registre RGPD auto-entrepreneur : une obligation de principe

Le registre des activités de traitement est prévu par l'article 30 du RGPD. La CNIL le décrit comme un document de recensement et d'analyse, qui doit refléter la réalité de vos traitements de données personnelles. Il sert aussi d'outil de pilotage et de démonstration de votre conformité. La CNIL parle d'une démarche de revue dynamique, et non d'un document figé une fois pour toutes.

Le champ d'application est large. Selon la CNIL, l'obligation de tenir un registre concerne tous les organismes, publics comme privés et quelle que soit leur taille, dès lors qu'ils traitent des données personnelles. Le critère retenu est donc le traitement lui-même, pas la taille de l'organisme. Une liste de clients, un fichier de prospects ou des messages de contact entrent dans ce critère dès qu'ils contiennent des données sur des personnes.

Pour un auto-entrepreneur, la question utile est simple : quels fichiers de personnes je tiens, et dans quel but ? Le registre doit permettre de les identifier précisément. Il décrit qui intervient dans le traitement, à quoi servent les données, qui y accède, combien de temps elles sont conservées et comment elles sont sécurisées. Cette liste reprend les éléments que la CNIL présente comme essentiels, et elle sert de checklist avant de rédiger quoi que ce soit.

La CNIL ne mentionne qu'une seule dérogation, celle des organismes de moins de 250 salariés. Un auto-entrepreneur sans salarié entre dans cette catégorie, mais les limites de cette dérogation déterminent ce qui doit réellement être inscrit. C'est le point suivant, et c'est celui qui change le plus le contenu de votre registre.

La dérogation des 250 salariés : ce qu'elle couvre vraiment

Les entreprises de moins de 250 salariés bénéficient d'une dérogation. Elles doivent alors inscrire au registre seulement les traitements non occasionnels, ceux qui peuvent comporter un risque pour les droits et libertés des personnes, et ceux qui portent sur des données sensibles. La CNIL donne comme exemples, pour les traitements non occasionnels, la gestion de la paie ou celle des clients, des prospects et des fournisseurs.

Cette dérogation est plus étroite qu'il n'y paraît. La CNIL la limite à des cas très particuliers, mis en œuvre de manière occasionnelle et non routinière, comme une campagne de communication à l'ouverture d'un nouvel établissement. Encore faut-il que ces traitements ne soulèvent aucun risque pour les personnes concernées. Un auto-entrepreneur sans salarié compte bien moins de 250 salariés, mais cela ne le dispense pas de tenir un registre pour ses fichiers permanents.

En cas de doute sur un traitement, la CNIL recommande de l'intégrer au registre. La méthode la plus sûre consiste donc à inscrire d'abord tout ce qui revient régulièrement, puis à examiner les opérations ponctuelles une à une. La dérogation sert de filet pour l'exceptionnel, et non de règle pour vos fichiers de tous les jours.

Ce que la fiche doit contenir, point par point

Le registre comporte une fiche par activité de traitement. Selon la CNIL, chaque fiche doit au minimum donner la désignation de l'activité, l'identité et les coordonnées du responsable de traitement, les finalités poursuivies, les catégories de personnes concernées et de données, les catégories de destinataires et l'existence éventuelle de transferts hors de l'Union européenne. Elle indique aussi, dans la mesure du possible, la durée de conservation, ainsi qu'une description générale des mesures de sécurité.

Le délégué à la protection des données ne figure dans la fiche que « si vous en disposez », précise la page de la CNIL. Un créateur sans DPO peut donc tenir son registre sans en désigner un. En revanche, les coordonnées du responsable de traitement doivent apparaître. Le cas échéant, il faut aussi indiquer le représentant d'un organisme non établi dans l'Union européenne et le nom du responsable conjoint.

La CNIL ajoute des informations qui ne sont pas obligatoires au titre de l'article 30, mais qui servent à informer les personnes. Il s'agit de la base légale, de la source des données, du caractère obligatoire ou facultatif du recueil et de ses conséquences, de l'existence d'une décision automatisée, des droits des personnes et de la manière de les exercer, ainsi que du droit de recours auprès de la CNIL. Ces éléments alimentent aussi les mentions d'information adressées aux personnes.

Le choix de la base légale est souvent le point le plus délicat. La page de la CNIL sur le registre donne des exemples concrets sur ce sujet, et la CNIL publie par ailleurs des cas pratiques pour l'illustrer. Prenez-les comme une aide à la lecture, car la fiche doit refléter votre propre situation.

Registre des traitements créateur de contenu : les cas courants

Pour un créateur de contenu, un formateur ou un indépendant, les traitements réguliers sont en général ceux que la CNIL cite en exemple : la gestion des clients, des prospects et des fournisseurs. Chacun doit avoir sa fiche, car il ne relève pas de la dérogation des traitements occasionnels. Ces fichiers servent tout au long de l'activité, et c'est précisément ce caractère régulier qui les fait entrer au registre.

La lettre d'information fonctionne de la même façon. La CNIL tient elle-même une fiche pour la gestion de sa lettre d'information, et cet exemple illustre la manière de découper : une activité, une fiche. Une liste d'abonnés envoyée régulièrement n'est pas un envoi ponctuel. Elle doit donc être décrite avec ses propres finalités, durées de conservation et destinataires.

Il vaut mieux découper par finalité que tenir un seul fichier « mes données ». Un fichier de clients et une liste de prospects peuvent avoir des durées de conservation et des destinataires différents. Un registre global serait trop vague pour servir au pilotage. La CNIL présente d'ailleurs le registre comme un outil de questionnement : ai-je vraiment besoin de cette donnée, est-il pertinent de la conserver si longtemps, est-elle suffisamment protégée ?

Ces questions sont utiles avant même la rédaction. Si une donnée n'a pas de finalité claire, la fiche le révèle, et la donnée devient alors un candidat à la suppression plutôt qu'à la description.

Sous-traitant ou responsable : les cas particuliers

Le registre du sous-traitant est un document distinct. Les organismes qui traitent des données pour le compte d'un autre, comme un prestataire informatique ou une agence de communication, doivent aussi tenir un registre de leurs activités de sous-traitance. Un indépendant qui administre la liste de contacts d'un client se trouve dans ce cas de figure.

Si vous êtes à la fois responsable de vos propres fichiers et sous-traitant pour un client, la CNIL recommande de tenir 2 registres : un pour les traitements dont vous êtes responsable, un autre pour ceux que vous opérez pour le compte de vos clients. Votre registre doit distinguer clairement les deux catégories, car l'article 30 prévoit des obligations spécifiques pour chacun des deux.

Un traitement mené avec un co-responsable doit aussi être identifié dans la fiche, avec le nom et les coordonnées de ce co-responsable. Cette mention figure parmi les éléments du registre du responsable de traitement, et il faut la prévoir dès le départ plutôt que de la reconstituer plus tard.

Le représentant mentionné dans la fiche vise les organismes non établis dans l'Union européenne. Si ce n'est pas votre cas, cette rubrique ne vous concerne pas, mais la page de la CNIL la présente comme un élément à vérifier.

Format, mise à jour et limites de ce que disent les sources

La CNIL ne prescrit pas de format. Le registre peut être un fichier texte, un tableur, un PDF ou une application dédiée, selon la page. Pour démarrer, la CNIL propose un modèle de base qui répond aux conditions posées par le RGPD. Vous pouvez le consulter sur la page de la CNIL consacrée au registre des activités de traitement.

Le registre n'est pas figé. Il peut être mis à jour régulièrement. La CNIL publie le sien, qui compte 56 fiches, dans une version datée de mai 2026, et l'article de présentation a été mis à jour le 20 mai 2026. Ce registre n'est pas prescriptif et va au-delà du minimum exigé par les textes, ce qui en fait un exemple plutôt qu'un modèle à copier.

Les pages consultées ne traitent ni des sanctions ni d'une éventuelle transmission du registre. Pour ces points, la page de la CNIL reste la référence, et il vaut mieux la consulter avant de considérer le sujet comme réglé.