Fiche conseil. 13
À quoi sert un registre ?
Au-delà de la réponse à l’obligation prévue par l’article 30 du RGPD, le registre est un outil de pilotage et de démonstration de votre conformité au RGPD.
Il vous permet de documenter vos traitements de données et de vous poser les bonnes questions :
Ai-je vraiment besoin de cette donnée dans le cadre de mon traitement ?
Est-il pertinent de conserver toutes les données aussi longtemps ?
Les données sont-elles suffisamment protégées ?
Sa création et sa mise à jour sont ainsi l’occasion d’identifier et de hiérarchiser les risques au regard du RGPD. Cette étape essentielle vous permettra d’en déduire un plan d’action de mise en conformité de vos traitements aux règles de protection des données.
Quels sont les différents registres à tenir ?
- Le registre des activités de traitement permet de recenser vos traitements de données et de disposer d’une vue d’ensemble de ce que vous faites avec les données personnelles.
- Le registre des droits des personnes concernées permet de recenser toutes les demandes d’exercice de droit qui ont été faites.
- Le registre des violations de données permet au responsable de traitement de recenser toutes les violations de données afin d’avoir une vision globale sur l’efficacité des mesures de sécurité.
Les objectifs du registre :
- RECENSER
Identifier et rencontrer les responsables opérationnels des différents services susceptibles de traiter des données personnelles. Si l’organisme dispose d’un site internet, l’analyser et identifier les données collectées dans les formulaires en ligne (questionnaire, formulaire de contact, création d’un compte, etc.), les mentions d’information « protection des données », l’utilisation de cookies, etc. - LISTER
Lister dans un tableau de suivi, les différentes activités de l’organisme nécessitant le traitement de données personnelles. Les traitements de données doivent être identifiés par finalité et non par logiciel utilisé, car un même logiciel peut être utilisé pour différents traitements, et inversement. Sur la base des informations collectées lors des entretiens, remplir une fiche de registre par activité. - ANALYSER
Sur la base de ce registre, identifier et analyser les risques qui peuvent peser sur les traitements de données mis en oeuvre, et élaborer un plan d’action de mise en conformité au RGPD.
Que dit le RGPD ?
- • Le registre est prévu par l’article 30 du RGPD. Il participe à la documentation de la conformité
Le RGPD impose uniquement que le registre se présente sous une forme écrite. Le format du registre est libre et peut être constitué au format papier ou électronique.
Bonnes pratiques
- Identifier précisément les traitements, les demandes d’exercice de droit ou les données impactées ;
- Mettre régulièrement à jour le registre ;
- Documenter les durées de conservation ;
- Documenter les mesures de sécurité ;
- Centraliser le registre ;
- Préparer le registre en cas de contrôle CNIL.