Votre registre des traitements, enfin tenu à jour.

Toute organisation qui traite des données personnelles, quelle que soit sa taille (art. 30 du RGPD). Les entreprises de moins de 250 salariés bénéficient d'une dispense partielle, mais elle tombe dès que le traitement n'est pas occasionnel, qu'il présente un risque pour les personnes ou qu'il porte sur des données sensibles. La paie, le fichier clients et la prospection suffisent à la faire tomber : en pratique, presque toutes les TPE et PME doivent en tenir un.

Pour chaque activité : la finalité poursuivie, les catégories de personnes concernées et de données traitées, les destinataires, les transferts hors Union européenne, les durées de conservation et une description générale des mesures de sécurité. Les coordonnées du responsable de traitement et, s'il existe, du délégué à la protection des données figurent en tête du registre.

Non. La désignation d'un délégué à la protection des données n'est obligatoire que pour les organismes publics, pour un suivi régulier et systématique des personnes à grande échelle, ou pour le traitement à grande échelle de données sensibles. Le registre, lui, est dû dans tous les cas : c'est le responsable de traitement qui en répond.

Non, il ne se dépose pas. Il se tient par écrit, y compris sous forme électronique, et se présente à la CNIL sur demande lors d'un contrôle. C'est pour cette raison qu'il doit être daté et à jour à tout moment, et non reconstitué le jour du contrôle.

L'absence de registre est un manquement au RGPD que la CNIL peut sanctionner : avertissement, mise en demeure, puis amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. C'est aussi la toute première pièce réclamée en cas de contrôle.

Le registre des traitements recense ce que vous faites de vos données : une fiche par activité, au titre de l'article 30. Le registre des sous-traitants recense qui les traite pour votre compte - hébergeur, logiciel de paie, service d'emailing - et les garanties exigées par l'article 28. Les deux sont attendus lors d'un contrôle, et LegalProof les tient séparément.