FR
Demander une démo
Protection des données · art. 30 du RGPD

Le registre des traitements dans le système – pas dans un tableur.

Des bases juridiques sous forme de catalogue plutôt que de code alphabétique, des durées assorties d'un fait déclencheur plutôt qu'en texte libre, un contrôle des pays tiers qui avertit, et une traçabilité au champ près qui survit à la suppression du traitement.

Voir le registre en démonstration Toutes les fonctions
Art. 30 intégralement couverts 72 h délai de notification suivi PDF · CSV · JSON export pour l'autorité 
# Traitement : gestion des candidatures
Base juridique  art. 6, § 1, point b)
 └─ Loi spéciale  § 26 BDSG

Personnes concernées × données
 Candidats × Données de santé  art. 9 → contrôle
 Candidats × Coordonnées

Durée   6 mois à compter de la disparition de la finalité
Destinataire Portail de candidature (US)  Preuve DPF ?
Fondamentaux

Qu'est-ce qu'un registre des traitements ?

Le registre des activités de traitement est la documentation prescrite par l' art. 30 du RGPD pour toutes les opérations par lesquelles une organisation traite des données à caractère personnel – avec la finalité, la base juridique, les catégories de personnes concernées et de données, les destinataires, les transferts vers des pays tiers et les durées de conservation.

C'est en règle générale la première preuve qu'une autorité de contrôle réclame – et en même temps celle où l'on constate le plus souvent que la documentation ne correspond plus à la réalité depuis des années.

Qui doit en tenir un ?

Pratiquement toute organisation. L'exception souvent citée pour les entités de moins de 250 salariés ne joue guère : elle tombe dès lors que le traitement n'est pas occasionnel , qu'il existe un risque pour les personnes concernées ou que des catégories particulières au sens de l'art. 9 sont traitées. Qui emploie du personnel remplit normalement déjà la première condition.

Pourquoi un modèle ne suffit pas

Un modèle de tableur accepte n'importe quelle saisie. Il accepte « intérêt légitime » sans la mise en balance des intérêts qui devient alors obligatoire. Il admet un destinataire dans un pays tiers sans demander la garantie prévue au chapitre V. Et il ne conserve aucune trace de qui a modifié quel champ, quand, et de quelle valeur vers quelle autre.

Ce sont précisément ces trois points qu'une autorité de contrôle vérifie. Ordivis Platform les impose donc dans le déroulé, au lieu de les mentionner dans une notice de remplissage.

La différence : les traitements sont rattachés à des systèmes réels

Les outils purement dédiés à la protection des données tiennent leur propre registre, sans lien avec le paysage informatique. « Portail de candidature » y figure alors comme du texte, et personne ne remarque le remplacement du système sous-jacent. Dans Ordivis Platform, le registre se trouve à côté de la CMDB et SMSI – les mesures techniques et organisationnelles n'ont pas à être documentées deux fois, et les changements du paysage restent visibles.

Étendue fonctionnelle

Ce que fait le module de protection des données

Pas de module additionnel – compris dans l'ensemble des fonctions de chaque licence.

  • Rôle propre de délégué à la protection des données avec son propre espace dans le client
  • Registre au titre de l' art. 30, § 1 : finalité, base juridique, catégories, destinataires, durées
  • Bases juridiques au titre de l' art. 6, § 1 sous forme de catalogue – en clair, non en code alphabétique
  • En cas d'intérêt légitime (point f), la mise en balance des intérêts est obligatoire – sinon un constat est levé
  • Lois spéciales complétables : BDSG, LDSG, accords d'entreprise & de groupe avec référence
  • Catégories particulières (art. 9) et données pénales (art. 10) fournies sous forme de catalogue
  • Matrice groupe de personnes concernées × catégorie de données – « données de santé des candidats », et non deux listes séparées
  • Durées exprimées en durée + fait déclencheur (collecte, fin de contrat, fin d'année, disparition de la finalité, retrait), par catégorie de données
  • Destinataires & pays tiers (art. 30, § 1, points d/e) : rôle au sens des art. 28/26, pays d'établissement, garantie au titre du chapitre V
  • Avertissement en cas de pays tiers sans garantie (art. 44), et preuve DPF pour les États-Unis
  • Notification de violation de données (art. 33/34) avec un délai de 72 heures courant à compter de la prise de connaissance
  • Pas de clôture tant qu'une obligation de notification est ouverte ; ne pas notifier exige une justification (art. 33, § 5)
  • Export pour l'autorité de contrôle en PDF, CSV ou JSON – les lacunes y sont signalées
  • Traçabilité au champ près : qui, quand, quel champ, de quelle valeur vers quelle autre (art. 5, § 2)
  • La traçabilité survit à la suppression du traitement
  • Les services déclarent eux-mêmes : un assistant du portail en langage courant, le brouillon partant au délégué à la protection des données
  • Profils de public PME / grande entreprise / administration publique par traitement
Deux détails qui font la différence

Là où les registres échouent au contrôle

Le délai de 72 heures court à compter de la prise de connaissance

Non de l'incident. Cette confusion fait régulièrement manquer le délai, parce que le décompte interne part de la date de l'événement. Ordivis Platform fait courir l'horloge à partir de la connaissance des faits et n'autorise pas la clôture d'un dossier tant qu'une obligation de notification est ouverte.

La décision d'adéquation vise l'organisme, pas le pays

Dans le cadre du Data Privacy Framework pour les États-Unis, ce n'est pas le pays qui est certifié mais chaque entreprise. Une mention « USA – DPF » sans preuve pour le destinataire concret est donc sans valeur. Ordivis Platform demande la preuve par destinataire et avertit en cas de transfert vers un pays tiers sans garantie au titre de l'art. 44.

Questions fréquentes sur le registre des traitements

Réponses brèves et honnêtes

Qu'est-ce qu'un registre des traitements ?

Le registre des activités de traitement est la documentation prescrite par l'art. 30 du RGPD pour toutes les opérations par lesquelles une organisation traite des données à caractère personnel – avec la finalité, la base juridique, les catégories de personnes concernées et de données, les destinataires, les transferts vers des pays tiers et les durées de conservation. C'est la première preuve qu'une autorité de contrôle réclame.

Qui doit tenir un registre des traitements ?

Pratiquement toute organisation. L'exception souvent citée pour les entités de moins de 250 salariés ne joue guère : elle tombe dès lors que le traitement n'est pas occasionnel, qu'il existe un risque pour les personnes concernées ou que des catégories particulières au sens de l'art. 9 sont traitées. Qui emploie du personnel remplit en règle générale déjà le premier critère.

Pourquoi un modèle de tableur ne suffit-il pas ?

Un modèle ne vérifie rien. Il accepte « intérêt légitime » sans la mise en balance des intérêts alors obligatoire, il ne remarque pas qu'un destinataire dans un pays tiers est saisi sans garantie au titre du chapitre V, et il ne conserve aucune trace de qui a modifié quel champ et quand. Ce sont précisément ces trois points qu'une autorité de contrôle examine.

Comment Ordivis Platform gère-t-il les durées de conservation ?

Les durées ne sont pas saisies en texte libre, mais sous la forme d'une durée assortie d'un fait déclencheur – à compter de la collecte, de la fin du contrat, de la fin d'année, de la disparition de la finalité ou du retrait du consentement – et ce par catégorie de données plutôt que globalement par traitement. C'est la différence entre une indication applicable et une indication qui fait seulement bonne figure.

Que se passe-t-il en cas de violation de données ?

Le dispositif de notification au titre des art. 33 et 34 fait courir le délai de 72 heures à compter de la prise de connaissance – non de l'incident, ce qui est régulièrement confondu. Tant qu'une obligation de notification est ouverte, le dossier ne peut être clos ; une décision délibérée de ne pas notifier exige une justification documentée au titre de l'art. 33, § 5.

Les services peuvent-ils déclarer eux-mêmes ?

Oui. Un assistant du portail en libre-service demande en langage courant ce qu'un service sait de son traitement. La déclaration part en brouillon au délégué à la protection des données, qui vérifie et valide – le registre se constitue ainsi là où se trouve la connaissance, sans renoncer au contrôle spécialisé.

Que reçoit l'autorité de contrôle ?

Un export en PDF, CSV ou JSON. Il signale les lacunes existantes au lieu de les masquer – un registre d'apparence complète mais parsemé de blancs silencieux est le plus mauvais résultat lors d'un échange avec une autorité de contrôle.

Le logiciel remplace-t-il le délégué à la protection des données ?

Non. Il structure son travail, tient la traçabilité et évite les vices de forme classiques. L'appréciation juridique – par exemple la solidité d'une mise en balance des intérêts – demeure une décision spécialisée.

Dans le même esprit

La protection des données repose sur l'inventaire

Logiciel SMSI

Mesures techniques et organisationnelles et risques dans le même système – pas de documentation en double.

Logiciel CMDB

Les traitements sont rattachés à des systèmes réels – non à du texte libre dans un tableur.

Collectivités & infrastructures critiques

Pourquoi les administrations doivent penser ensemble registre, Grundschutz et prévisibilité.

Voyez le registre sur des traitements réels.

De la base juridique à l'export pour l'autorité en passant par la logique des durées – dans une démonstration en visioconférence.

Convenir d’une démonstration S’inscrire à la phase d’essai