Registre RGPD : sept rubriques, et la dérogation « moins de 250 salariés » ne vous couvre pas
Le registre des activités de traitement est le document que la CNIL met à sa disposition sur demande (art. 30.4 du RGPD). Il tient sur un tableur, il se remplit une fois, et il vous oblige surtout à répondre à une question que personne ne se pose : combien de temps gardez-vous quoi ? À partir de 120 €.
En bref. Le registre des activités de traitement recense, traitement par traitement, sept rubriques fixées par le paragraphe 1 de l'article 30 du RGPD, dont les délais prévus pour l'effacement de chaque catégorie de données. La dérogation du paragraphe 5, réservée aux organismes de moins de 250 employés, tombe dès qu'un traitement n'est pas occasionnel : la paie et le fichier clients la font tomber dans presque toutes les TPE. Le registre se présente sous forme écrite, y compris électronique (art. 30.3) : un tableur tenu à jour suffit. En 2025, la CNIL a rendu 259 décisions, dont 143 mises en demeure et 83 sanctions, et 67 de ces 83 sanctions ont été prononcées par la voie simplifiée, plafonnée à 20 000 €.
Le vrai sujet
Ce n'est pas un fichier de plus : c'est la carte de ce que vous détenez déjà
La phrase revient à chaque rendez-vous : « je ne fais pas de fichier ». Pourtant, un bulletin de paie contient un numéro de sécurité sociale et un RIB. Une boîte mail professionnelle conserve des CV reçus il y a quatre ans. Un logiciel de devis garde le nom, le téléphone et parfois l'adresse personnelle de chaque prospect. Un badge d'accès ou une caméra enregistre des passages. Rien de tout cela n'a été décidé : tout s'est accumulé.
Le registre ne crée aucune de ces données, il les met à plat. Et c'est l'exercice lui-même qui protège, parce qu'il force trois réponses que l'on n'écrit jamais spontanément : pourquoi je détiens ceci, qui y a accès, quand je l'efface. La troisième est celle qui coûte, parce qu'elle oblige à supprimer pour de bon des dossiers gardés « au cas où ».
L'erreur qu'on lit partout
« Moins de 250 salariés, je suis dispensé »
La dérogation existe, elle est écrite noir sur blanc au paragraphe 5 de l'article 30 du RGPD. Mais lisez-la en entier : les obligations « ne s'appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés, sauf si le traitement qu'elles effectuent est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte notamment sur les catégories particulières de données visées à l'article 9 ».
Ces trois cas ne sont pas cumulatifs : un seul suffit à faire tomber la dérogation. Or la paie tourne tous les mois, le fichier clients vit toute l'année, les fournisseurs sont enregistrés en continu : aucun de ces traitements n'est occasionnel. La CNIL le dit dans les mêmes termes : la dérogation est « limitée à des cas très particuliers ». Concrètement, elle vous dispense d'inscrire la liste d'émargement d'un pot de départ, pas votre gestion du personnel.
Deux conséquences pratiques. D'abord, l'effectif ne change rien : un salarié suffit. Ensuite, si vous travaillez pour le compte d'un autre — un prestataire informatique, un cabinet qui traite des dossiers clients — vous tenez en plus un registre de sous-traitant, prévu au paragraphe 2, dont le contenu est différent : il liste vos clients donneurs d'ordre, les catégories de traitements réalisés pour chacun, les transferts hors Union européenne et les mesures de sécurité.
Le contenu exact
Sept rubriques, et pas une de plus
Le paragraphe 1 de l'article 30 les énumère de a) à g). Tout ce qui s'ajoute est du confort ; tout ce qui manque est un manquement.
| Rubrique | Ce qu'on y écrit vraiment | Référence |
|---|---|---|
| Qui est responsableEt le délégué, si vous en avez un | Le nom et les coordonnées du responsable du traitement, du responsable conjoint le cas échéant, du représentant et du délégué à la protection des données. Dans une TPE, c'est le dirigeant, nommément. | art. 30, § 1, a) |
| PourquoiLa rubrique qui départage tout le reste | Les finalités du traitement. « Gestion de la paie » et « envoi de la newsletter » sont deux finalités distinctes : elles n'autorisent pas les mêmes données ni les mêmes durées, et se retrouvent donc sur deux lignes. | art. 30, § 1, b) |
| Sur qui, et quoiPar catégories, jamais nom par nom | Une description des catégories de personnes concernées (salariés, candidats, clients, prospects, fournisseurs) et des catégories de données. Le registre n'est pas la liste de vos salariés : il dit que vous traitez « identité, coordonnées, RIB, numéro de sécurité sociale ». | art. 30, § 1, c) |
| Qui d'autre y accèdeY compris vos prestataires | Les catégories de destinataires auxquels les données ont été ou seront communiquées. Votre expert-comptable, votre éditeur de paie, votre hébergeur : chacun est un destinataire, et chacun devrait être couvert par un contrat de sous-traitance. | art. 30, § 1, d) |
| Hors Union européenneSouvent vrai sans qu'on le sache | Les transferts vers un pays tiers ou une organisation internationale, avec l'identification du pays et la documentation des garanties. Un outil de visioconférence, une messagerie ou un stockage hébergés hors UE entrent dans cette case. | art. 30, § 1, e) |
| Combien de tempsLa rubrique la plus souvent vide | Les délais prévus pour l'effacement des différentes catégories de données. C'est la seule rubrique qui vous engage à faire quelque chose plus tard : sans elle, le registre décrit une accumulation sans fin. | art. 30, § 1, f) |
| Comment c'est protégéUne description générale suffit | Une description générale des mesures de sécurité techniques et organisationnelles : qui a un compte, qui a un mot de passe distinct, ce qui est sauvegardé, ce qui est chiffré, ce qui ferme à clé. | art. 30, § 1, g) |
Forme : le registre « se présente sous une forme écrite y compris la forme électronique » (art. 30, § 3), et il est mis « à la disposition de l'autorité de contrôle sur demande » (art. 30, § 4). Source : texte de l'article 30 sur cnil.fr.
Ce que vous risquez
Le chiffrage exact, article par article
Le plafond spectaculaire n'est pas celui qui vous concerne. Celui qui vous concerne tient en cinq chiffres.
| La situation | Ce que vous encourez | Référence |
|---|---|---|
| Pas de registre, ou registre incompletLe plafond théorique, celui des gros dossiers | L'article 30 figure parmi les « articles 25 à 39 » visés par le paragraphe 4 de l'article 83 : l'amende peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. | RGPD, art. 83, § 4, a) |
| Le montant réaliste pour une TPELa voie empruntée dans 8 sanctions sur 10 | La procédure de sanction simplifiée plafonne l'amende à 20 000 € et l'astreinte à 100 € par jour de retard. Un membre unique de la formation restreinte statue seul : la décision tombe vite. | loi n° 78-17 du 6 janvier 1978, art. 22-1 |
| Durées de conservation non respectéesLe principe, pas la formalité | Conserver au-delà de ce qui est nécessaire ne relève plus de l'article 30 mais des principes de l'article 5, sanctionnés par le paragraphe 5 de l'article 83 : 20 millions d'euros ou 4 % du chiffre d'affaires mondial. C'est le cas le plus fréquent : un registre qui annonce une durée que personne n'applique. | RGPD, art. 5 et art. 83, § 5 |
| Le volet pénal, distinct de la CNILIl vise la personne, pas seulement l'entreprise | Traiter des données sans respecter les formalités préalables prévues par la loi, y compris par négligence, est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. Traiter sans mettre en œuvre les mesures de sécurité prescrites est puni des mêmes peines. | code pénal, art. 226-16 et 226-17 |
| Une fuite de donnéesLe chronomètre démarre à la découverte | La violation est notifiée à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes. Sans registre, personne ne sait dire en 72 heures quelles données étaient concernées. | RGPD, art. 33, § 1 |
Sources : art. 226-16 du code pénal sur Légifrance (version en vigueur depuis le 17 février 2024) ; section « Mesures correctrices et sanctions » de la loi n° 78-17 ; art. 83 du RGPD sur cnil.fr.
Les chiffres réels
Ce que la CNIL a réellement fait en 2025
Le plafond de 10 millions d'euros alimente les titres de presse ; il ne dit rien de ce qui arrive à une entreprise de dix personnes. Le bilan publié par la CNIL le 9 février 2026 est plus utile. En 2025, la commission a rendu 259 décisions : 143 mises en demeure, 83 sanctions pour un total de 486 839 500 €, 31 rappels des obligations légales et 2 avertissements.
Le point qui compte pour une TPE tient dans la répartition : sur ces 83 sanctions, 67 ont été prononcées par la procédure simplifiée — celle qui plafonne à 20 000 € — contre 16 par la formation restreinte en procédure ordinaire. Autrement dit, huit sanctions sur dix empruntent la voie rapide, celle qui vise les manquements courants de structures ordinaires. Les trois motifs les plus fréquents par cette voie : la sécurisation insuffisante des données, l'absence de coopération avec la CNIL, et le non-respect des droits des personnes — demandes d'effacement, d'opposition ou d'accès restées sans réponse.
Notez aussi le rapport entre les deux nombres : 143 mises en demeure pour 83 sanctions. La mise en demeure arrive d'abord, avec un délai pour se mettre en règle. Une entreprise qui a son registre sous la main et qui répond dans les temps s'arrête presque toujours à cette étape ; celle qui ne répond pas tombe dans le deuxième motif de sanction de la liste.
Source : « Sanctions et mesures correctrices : la CNIL présente le bilan 2025 », cnil.fr, publié le 9 février 2026, consulté le 23 septembre 2026.
À surveiller cette année
Le recrutement est un thème de contrôle prioritaire en 2026
Chaque année, la CNIL annonce les sujets sur lesquels elle concentre ses contrôles. Pour 2026, elle en a retenu trois, annoncés le 3 avril 2026 : le recrutement, le répertoire électoral unique, et les fédérations sportives. Seul le premier concerne une entreprise ordinaire, et il la concerne dès qu'elle a publié une annonce.
La CNIL vise nommément trois points : les systèmes de prise de décision automatisée (un outil qui trie les candidatures selon des critères), l'information des candidats, et les durées de conservation. Ces trois points se rangent exactement dans les rubriques b), c) et f) de votre registre.
Sur la durée, il n'existe aucun délai légal unique. La CNIL admet la conservation d'une candidature non retenue pour alimenter un vivier, à condition d'en informer le candidat et que la durée « n'excède en principe pas deux ans à compter du dernier contact ». Deux ans est donc une borne raisonnable, pas un droit acquis : c'est à vous de justifier la durée que vous inscrivez, et de la tenir. La boîte mail qui garde encore les candidatures de 2021 est, à elle seule, un manquement.
Sources : thématiques prioritaires de contrôle 2026, cnil.fr, publié le 3 avril 2026 ; recrutement et gestion du personnel, cnil.fr. Consultées le 23 septembre 2026.
Ce que je fais pour vous
Concrètement, vous recevez quoi ?
- Le registre des activités de traitement, une ligne par finalité, avec les sept rubriques de l'article 30 remplies
- L'inventaire de ce que vous détenez réellement : logiciels, boîtes mail, tableurs, armoires, badges, caméras
- Une durée de conservation écrite et justifiée pour chaque catégorie, et la date du prochain ménage
- Les mentions d'information à remettre aux salariés, aux clients et aux candidats
- La liste de vos destinataires et sous-traitants, et les transferts hors Union européenne qu'ils impliquent
- La conduite à tenir en cas de violation de données, pour que les 72 heures de l'article 33 ne soient pas découvertes le jour J
90 € pour le diagnostic RGPD express seul : une heure, un état des lieux de vos cookies, de votre site, de votre prospection et de vos outils, et un rapport de risque priorisé, avant même d'écrire le registre.
À partir de 150 € avec le volet recrutement : candidatures et CVthèque, durées de conservation, information des candidats, décisions automatisées — les trois points que la CNIL contrôle en priorité cette année.
La désignation d'un délégué à la protection des données, lorsqu'elle est requise, est traitée à part.
Devis écrit avant tout démarrage. TVA non applicable, art. 293 B du CGI.
Rarement seul en retard
Cette obligation fait partie du Pack Conformité : les 8 obligations traitées ensemble pour 990 €, au lieu de 1 379 € à la carte.
Voir le Pack ConformitéZone d'intervention : Lyon et tout le Rhône (Villeurbanne, Vénissieux, Vaulx-en-Velin, Caluire-et-Cuire, Bron, Saint-Priest, Rillieux-la-Pape, Meyzieu, Décines-Charpieu, Oullins-Pierre-Bénite, Saint-Genis-Laval, Givors, Villefranche-sur-Saône, Tarare), sur place ou à distance selon la prestation.
Questions fréquentes
Suis-je concerné avec un seul salarié ?
Que doit contenir le registre, exactement ?
Combien coûte réellement l'absence de registre ?
Faut-il désigner un délégué à la protection des données ?
Combien de temps puis-je conserver un CV ?
Que faire si je perds des données ou si on me les vole ?
Un doute sur votre situation ?
20 minutes offertes pour faire le point, sans jargon et sans engagement.
Page mise à jour le 23 septembre 2026. Références vérifiées sur Légifrance et cnil.fr à cette date.