Registre RGPD : vous détenez des données, donc vous êtes concerné

Q: Combien de temps puis-je conserver un CV ?

Il n'existe pas de durée légale unique : vous devez définir et justifier une durée proportionnée, et informer la personne. La CNIL recommande deux ans après le dernier contact pour un candidat non retenu. C'est exactement ce que le registre formalise.

Un fichier de paie, un fichier clients, des CV reçus par mail : vous traitez des données personnelles. Le registre des traitements est la première chose demandée par la CNIL en cas de contrôle ou de plainte. À partir de 120 €.

Demander un devis Tester ma conformité (3 min)

Votre obligation. Obligatoire dès lors que vous traitez des données personnelles : salariés, clients, prospects, candidats.

Le vrai sujet

« Je ne fais pas de fichier, je ne suis pas concerné »

Si vous avez un salarié, vous détenez son adresse, son numéro de sécurité sociale et ses coordonnées bancaires. Si vous avez des clients, vous détenez les leurs. Si vous recevez des CV, vous conservez des données de candidats. Vous traitez des données personnelles.

Le registre n'est pas une formalité de grande entreprise. C'est un document court, structuré, qui recense qui traite quoi, pourquoi et combien de temps. Il se rédige une fois et se met à jour rarement : c'est l'un des meilleurs rapports effort/protection de toute la conformité.

Ce que vous risquez

CNIL : jusqu'à 2 % du chiffre d'affaires

L'absence de registre des traitements relève de l'article 83.4 du RGPD, dont le plafond est de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond vise évidemment les grands groupes ; pour une TPE, le risque réel est ailleurs : une plainte d'un salarié ou d'un client suffit à déclencher un contrôle, et le registre est la première pièce réclamée.

Sources : règlement (UE) 2016/679 (RGPD), art. 30 et 83 ; cnil.fr.

Ce que je fais pour vous

Concrètement, vous recevez quoi ?

Registre des activités de traitement, prêt à présenter
Cartographie des données que vous détenez réellement
Durées de conservation définies pour chaque traitement
Mentions d'information pour vos salariés, clients et candidats
Cadrage des accès et des sous-traitants

À partir de 120 €. Registre et mentions d'information. La désignation d'un DPO, lorsqu'elle est requise, est traitée à part.
Devis écrit avant tout démarrage. TVA non applicable, art. 293 B du CGI.

Demander mon devis

Rarement seul en retard

Cette obligation fait partie du Pack Conformité : les 8 obligations traitées ensemble pour 990 €, au lieu de 1 249 € à la carte.

Voir le Pack Conformité

Questions fréquentes

Suis-je concerné avec un seul salarié ?

Oui. Dès que vous traitez des données personnelles — et un bulletin de paie en est un traitement — le registre s'impose. Il n'y a pas de seuil d'effectif protecteur.

Faut-il désigner un délégué à la protection des données ?

Pas dans la majorité des TPE et PME. La désignation d'un DPO est obligatoire dans des cas précis (organisme public, suivi à grande échelle, données sensibles à grande échelle). Le registre, lui, reste dû dans tous les cas.

Combien de temps puis-je conserver un CV ?

Il n'existe pas de durée légale unique : vous devez définir et justifier une durée proportionnée, et informer la personne. La CNIL recommande deux ans après le dernier contact pour un candidat non retenu. C'est exactement ce que le registre formalise.

Un doute sur votre situation ?

20 minutes offertes pour faire le point, sans jargon et sans engagement.

Réserver un échange offert Voir le Pack Conformité