Protection des données

BELGIQUE. Commission de la protection de la vie privée (CPVP). Recommandation  relative au Registre des activités de traitement (article 30 du RGPD) no 06/2017 du 14 juin 2017 [en ligne]. [Consulté le 23.01.2019]

CNIL. Le registre des activités de traitement

CNIL. Exemple de registre

Le registre des activités de traitement (art. 30 RGPD) est un outil permettant au DPO d’exercer ses missions de contrôle du respect des règles ainsi que d’information et de conseil du responsable du traitement ou du sous-traitant.

C'est un document interne qui doit être mise à disposition de l'autorité de contrôle en cas de demande. Il est obligatoire depuis le 25 mai 2018 et concerne tous les traitements en cours y compris ceux entrepris avant cette date.

Le registre des activités de traitement répertorie au minimum ces informations:

• identité du responsable du traitement
• les finalités du traitement
• la base légale sur laquelle s’appuie le traitement
• les catégories de données récoltées
• les catégories de personnes concernées
• les délais prévus pour la conservation des données ou les critères pour déterminer la durée de conservation
• les destinataires internes et externes des données
• en cas de communications des données à l'étranger, le nom de l'Etat en question et les garanties prévues
• une description générale des mesures de sécurité

C’est le responsable du traitement ou le sous-traitant qui est tenu de tenir un registre de ces opérations. Le registre tenu par le sous-traitant contient les mêmes informations que le registre du responsable du traitement à l’exception des délais prévus pour la conservation des données. C’est le responsable du traitement qui décide des délais de conservation.