Votre registre des traitements, enfin tenu à jour.

Toute organisation qui traite des données personnelles, quelle que soit sa taille (art. 30 du RGPD). Les entreprises de moins de 250 salariés bénéficient d'une dispense partielle, mais elle tombe dès que le traitement n'est pas occasionnel, qu'il présente un risque pour les personnes ou qu'il porte sur des données sensibles. La paie, le fichier clients et la prospection suffisent à la faire tomber : en pratique, presque toutes les TPE et PME doivent en tenir un.

Pour chaque activité : la finalité poursuivie, les catégories de personnes concernées et de données traitées, les destinataires, les transferts hors Union européenne, les durées de conservation et une description générale des mesures de sécurité. Les coordonnées du responsable de traitement et, s'il existe, du délégué à la protection des données figurent en tête du registre.

Non. La désignation d'un délégué à la protection des données n'est obligatoire que pour les organismes publics, pour un suivi régulier et systématique des personnes à grande échelle, ou pour le traitement à grande échelle de données sensibles. Le registre, lui, est dû dans tous les cas : c'est le responsable de traitement qui en répond.

Non, il ne se dépose pas. Il se tient par écrit, y compris sous forme électronique, et se présente à la CNIL sur demande lors d'un contrôle. C'est pour cette raison qu'il doit être daté et à jour à tout moment, et non reconstitué le jour du contrôle.

L'absence de registre est un manquement au RGPD que la CNIL peut sanctionner : avertissement, mise en demeure, puis amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. C'est aussi la toute première pièce réclamée en cas de contrôle.

L'article 35 du RGPD impose une analyse d'impact relative à la protection des données lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Trois cas sont nommés par le texte lui-même : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, sur laquelle se fondent des décisions produisant des effets juridiques ; le traitement à grande échelle de données sensibles ou relatives aux condamnations pénales ; la surveillance systématique à grande échelle d'une zone accessible au public. La CNIL publie en outre une liste de traitements pour lesquels l'analyse est requise (délibération n° 2018-327 du 11 octobre 2018) et une liste de ceux qui en sont dispensés (délibération n° 2019-118 du 12 septembre 2019).

LegalProof pose neuf questions par fiche d'activité et rend un verdict motivé : analyse requise, non requise, ou à examiner. La réponse est conservée avec sa date, son auteur et la règle appliquée. C'est le point important : en contrôle, la question n'est presque jamais « où est votre analyse », mais « pourquoi n'en avez-vous pas ». Une case cochée ne répond rien ; une justification datée, si.

Le règlement ne fixe aucune périodicité. L'article 35.11 impose un réexamen « au moins quand il se produit une modification du risque » : nouvel outil, nouvelle finalité, nouveau sous-traitant, incident de sécurité. C'est un déclencheur, pas un calendrier. LegalProof propose une échéance de trois ans, qui est une pratique et non une règle, et signale surtout le vrai déclencheur : quand la fiche du registre change sous une analyse déjà validée, l'écran le dit.

Non, sauf un cas. L'analyse se conserve et se présente sur demande, comme le registre. Mais si le risque reste élevé malgré les mesures prévues, l'article 36 impose de consulter la CNIL avant de mettre le traitement en œuvre ; elle répond dans un délai de huit semaines, prolongeable de six. LegalProof produit alors le dossier de consultation, qui reprend les six informations exigées par l'article 36.3. Le dépôt, lui, appartient au responsable du traitement : rien n'est transmis à notre initiative.

Le registre des traitements recense ce que vous faites de vos données : une fiche par activité, au titre de l'article 30. Le registre des sous-traitants recense qui les traite pour votre compte - hébergeur, logiciel de paie, service d'emailing - et les garanties exigées par l'article 28. Les deux sont attendus lors d'un contrôle, et LegalProof les tient séparément.