Categories: Régulations

RGPD : la Cnil actualise son modèle de registre de traitements pour les PME

Exit les PDF et les fichiers texte, place au tableur.

La Cnil a choisi le format ODS (feuille de calcul OpenDocument) pour diffuser son nouveau modèle de « registre RGPD ».

L’article 30 du règlement européen impose la tenue d’un tel registre par les organismes qui, dans le cadre de leurs activités, traitent régulièrement des données personnelles.
L’obligation s’impose aussi aux sous-traitants.

Le document doit permettre d’identifier, pour chaque traitement :

– les parties prenantes (le responsable ou sous-traitant, son représentant, son DPO et les éventuels responsables conjoints) ;
– les finalités ;
– les catégories de données traitées et de personnes concernées ;
– les cas échéant, les destinataires des données et les transferts vers un pays tiers ou à une organisation internationale.

On spécifiera par ailleurs, « dans la mesure du possible », les mesures de sécurité techniques et organisationnelles assorties auxdits traitements. Par exemple, la sauvegarde, le chiffrement et la mise en place de systèmes de traçabilité.

Une dérogation pour les PME

Autre information recommandée, mais non obligatoire : les délais envisagés de conservation des données.

La Cnil avait intégré cet élément dans son précédent formulaire. Pas dans la version actualisée, censée répondre « en particulier » aux besoins des petites structures.

L’un des onglets du tableur permet de lister les activités qui nécessitent de traiter des données personnelles.
Un deuxième contient un modèle de fiche opérationnelle à reprendre pour chaque traitement.
Un troisième présente un exemple de mise en page et de saisie du registre.

Ledit registre doit être mis à disposition de la Cnil sur demande.

Les entreprises de moins de 250 salariés (c’est-à-dire les PME au sens de l’Insee) bénéficient d’une dérogation : il ne leur est pas imposé de lister les traitements mis en oeuvre de manière « occasionnelle et non routinière ». Typiquement, une campagne de communication pour l’ouverture d’un établissement.

Il leur appartient, en revanche, de renseigner les traitements susceptibles de comporter un risque pour les droits et libertés des personnes (géolocalisation, vidéosurveillance…). Ainsi que ceux qui impliquent des données sensibles (santé, infractions…).

Photo d’illustration © Andrea Danti – Shutterstock.com

Recent Posts

One Outlook : le plan de Microsoft pour unifier sa messagerie

Quelle forme prendra la stratégie One Outlook de Microsoft ? Un élément de réponse émerge…

1 semaine ago

Méthodes agiles : quels métiers sont les mieux rémunérés ?

Développeur, product owner ou scrum master... Quelles sont les rémunérations proposées aux professionnels des méthodes…

1 semaine ago

Certifications : gros changements chez Microsoft

Microsoft fait évoluer ses processus de certification. Le renouvellement pourra bientôt se faire en ligne,…

3 semaines ago

Cloud : qui s’impose dans les bases de données

Le segment des bases de données as a service - aussi appelées SGBD cloud managés…

1 mois ago

Flash Player : comment Adobe prépare l’extension du support

Fin 2020, c'en sera terminé du support de Flash Player... par Adobe. HARMAN reprendra le…

1 mois ago

Excel : vers une création plus simple des fonctions personnalisées

Microsoft ouvre aux bêtatesteurs d'Excel la possibilité de créer des fonctions personnalisées en utilisant le…

1 mois ago