Le registre des activités de traitement est l’élément central et obligatoire dans la mise en conformité au RGPD d’une structure. Il consiste en un document de recensement et d’analyse permettant de disposer d’une vue d’ensemble de ce qui est fait avec les données à caractère personnel.
Il constitue un outil de pilotage et de démonstration de votre conformité au RGPD. Il vous permet de documenter vos traitements de données et de vous poser les bonnes questions :
Ai-je vraiment besoin de cette donnée dans le cadre de mon traitement ?
Est-il pertinent de conserver toutes les données aussi longtemps ?
Les données sont-elles suffisamment protégées ?
Etc.
Le registre de traitement doit recenser l’ensemble des traitements mis en œuvre par votre organisme.
En pratique, une fiche de registre doit donc être établie pour chacune de ces activités.
Ce registre doit comporter le nom et les coordonnées de votre organisme ainsi que, le cas échéant, de votre représentant, si votre organisme n’est pas établi dans l’Union européenne, et de votre délégué à la protection des données si vous en disposez.
En outre, pour chaque activité de traitement, la fiche de registre doit comporter au moins les éléments suivants :
- le cas échéant, le nom et les coordonnées du responsable conjoint du traitement mis en œuvre
- les finalités du traitement, l’objectif en vue duquel vous avez collecté ces données
- les catégories de personnes concernées (client, prospect, employé, etc.)
- les catégories de données personnelles (exemples : identité, situation familiale, économique ou financière, données bancaires, données de connexion, donnés de localisation, etc.)
- les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les sous-traitants auxquels vous recourez
- les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale et, dans certains cas très particuliers, les garanties prévues pour ces transferts ;
- les délais prévus pour l’effacement des différentes catégories de données, c’est-à-dire la durée de conservation, ou à défaut les critères permettant de la déterminer
- dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles que vous mettez en œuvre