Le registre des traitements : la base du RGPD
Le RGPD. Par où commencer ?
Le document obligatoire dans toutes les entreprises, associations ou collectivités (à Dijon, en Bourgogne Franche-Comté ou dans toute la France !) c'est : le registre de traitements.
C'est à la fois le document central, le document obligatoire et celui qui va vous aider à vous poser toutes les bonnes questions autour du RGPD.
Le registre des traitements (registre des activités de traitement dans sa terminologie exacte) va permettre aussi d'impliquer vos équipes et prendre du recul dans les traitements de données à caractère personnel de votre structure.
« Le RGPD, c'est vraiment compliqué. Comment je l'applique à ma structure ? »
Depuis des années, on vous répète qu'il faut « être en conformité RGPD ».
Vous avez peut-être mis un bandeau sur votre site, une case à cocher à la fin de vos formulaires, et vous pensez que ça suffit.
Mais comment en être sûr ?
Le RGPD vous semble un texte très complexe, réservé aux juristes que vous ne savez pas comment prendre.
Et ce n'est clairement pas votre priorité !
C'est normal. Le RGPD n'est pas simple. Ce n'est pas 1/2 journée ou une journée de formation qui vous permettra de vous mettre en conformité.
C'est pour cela que vous avez besoin d'être guidé sur ce que vous devez faire pour vous approprier le RGPD.
☎️ Un premier appel de 30 minutes, sans engagement
En 30 minutes au téléphone pour évoquer votre registre des traitements ?
« Le RGPD, ça me gonfle. Je sais qu'on doit faire des choses mais je ne sais pas quoi.
On a désigné quelqu'un dans l'entreprise pour s'en occuper.
Il a téléchargé le document de la CNIL mais je ne sais pas s'il est rempli.
Je pense qu'il a besoin d'un coup de main pour le remplir. »
J'ai accompagné plusieurs entreprises sur leur registre des traitements.
Dans presque tous les cas, il n'y a pas de document ou juste la trame de la CNIL à peine remplie car les responsables ne savent pas ce qu'il faut faire de ce document et comment le remplir.
Mon travail a consisté à faire d'abord l'état des lieux des logiciels et procédures utilisés. On a listé l'ensemble des données personnelles traitées et soit on remplit la trame de la CNIL (dans les cas simples), soit on utilise un logiciel pour piloter sa conformité (c'est plus facile et conforme quand on commence à avoir un peu plus de données traitées).
Pourquoi faire un registre des traitements ?
Le registre des traitements est un document obligatoire (article 30 du RGPD). C'est un document qui recense tout ce que vous faites des données personnelles que vous traitez (salariés, clients, prospects, …) : quelles données vous utilisez, dans quel but, combien de temps vous les gardez, et qui y a accès, ...
Beaucoup de structures pensent en être dispensées (« On est trop petit », « On n'a pas de données personnelles »).
A partir du moment où vous êtes une entreprise (TPE / PME), une association ou une collectivité, que vous avez des salariés, des adhérents ou des clients, vous traitez de la donnée personnelle et êtes soumis au RGPD.
Mais au-delà de l'obligation, le registre vous apporte un vrai plus :
- Vous savez enfin quelles données vous détenez, où elles sont, et pourquoi vous les utilisez.
- Vous pouvez répondre sereinement si un client, un salarié ou la CNIL vous interroge.
- Vous identifiez les risques et pouvez mettre en place les mesures de protection nécessaires.
- Vous rassurez vos clients et partenaires sur la façon dont vous protégez leurs données.
- Vous êtes conforme à la réglementation et évitez ainsi d'éventuelles sanctions.
Comment on travaille ensemble sur votre registre des traitements
En pratique :
- Un premier échange de 30 min pour comprendre votre structure, savoir quelles données vous traitez et avec quels types de logiciels.
- Le recensement de vos données et de vos traitements, ensemble, en partant de votre quotidien (paie, clients, prospects, site web, RH, CV, caméras, …).
- La rédaction de votre registre (ou mise en place d'un outil et remplissage du contenu), avec vous pour que vous compreniez comment ça marche et comment le mettre à jour.
- L'identification des actions de sécurisation que votre registre fait apparaître.
Le registre des traitements et la démarche RGPD
Lorsque l'on travaille à être conforme avec le RGPD, on va travailler sur plusieurs documents.
Le principal est le registre des traitements.
Si c'est le pilier de votre conformité RGPD, ce n'est pas le seul document à avoir.
D'autres registres vont permettre de documenter cette conformité :
- Le registre des violations (les incidents qui concernent les données personnelles)
- Le registre des sous-traitants
- Le registre des demandes (les demandes des personnes qui veulent faire exercer leurs droits conformément au RGPD)
- La liste des logiciels et outils
Travailler sur son registre, c'est, pour un traitement donné, renseigner les informations suivantes :
- Types de données traitées
- Finalités de ce traitement
- Base légale (et justification)
- Combien de temps les données seront conservées
- Qui gère ces données et qui y a accès
- Les données personnelles sont-elles traitées par un ou plusieurs sous-traitants
- Quelles sont les mesures de sécurité mises en place pour protéger les données
- Quels sont les risques associés
- ...
Exemple de logiciel utilisé par Numaxion (MADIS - https://madis.app)
Les questions que vous vous posez...
Combien de temps prend la mise en place d'un registre des traitements ?
Travailler sur son registre, c'est d'abord lister les données à caractère personnel que l'on traite, les logiciels, les sous-traitants et les traitements. Ensuite on travaille sur la création / remplissage du registre voire des registres complémentaires.
Pour les très petites structures, ce travail peut prendre 1 à 2 jours.
Pour les organisations plus importantes, ce travail peut prendre plusieurs semaines.
On est une petite équipe, est-ce vraiment utile ?
Que l'on soit 2 ou 200, on traite presque tous des données à caractère personnel.
Un registre des traitements est à faire, quelle que soit sa taille.
Par contre, en fonction de sa taille et du volume de données traitées, le travail à fournir sera plus ou moins important.
Mes données et mes informations sont-elles en sécurité avec vous ?
C'est une question importante qui doit être posée.
Sur l'entretien gratuit, je rentre peu dans le détail de vos données.
Par contre, nous allons travailler sur vos données (même si je n'y accède pas directement). A ce titre, j'agis en tant que prestataire (et je suis donc un sous-traitant sur vos données du point de vue du RGPD).
Ma prestation contractualisée avec vous est encadrée par un contrat, signé par vous et moi. Dans ce contrat, je spécifie bien la façon dont je protège toutes les informations auxquelles j'ai accès et le respect de la confidentialité et du RGPD que j'applique auprès de mes clients.