Article 30 RGPD : registre, modèle et exemples 2026
Article 30 RGPD : qui tient un registre des traitements, mentions obligatoires, modèle et exemples de fiches remplies. Guide 2026.
- Qu’est-ce que le registre des activités de traitement ?
- Qui est concerné ? L’exemption des 250 salariés en question
- Les mentions obligatoires : registre RT (30.1) vs registre ST (30.2)
- Exemple de fiche de registre remplie
- Transferts hors UE : ce qui change en 2026
- Durées de conservation et minimisation
- Comment construire son registre : checklist
- Les sanctions en cas de manquement
- Le texte de l’article 30 du RGPD
- FAQ
L’essentiel. L’article 30 du RGPD impose au responsable de traitement et au sous-traitant de tenir un registre des activités de traitement — un inventaire, tenu par écrit, de tous les traitements de données personnelles de l’organisation. L’exemption des organismes de moins de 250 salariés est en pratique très étroite : dès qu’un traitement est non occasionnel (paie, clients, prospection…), le registre redevient obligatoire. Il constitue la pièce maîtresse de l’accountability et la première chose que la CNIL demande lors d’un contrôle.
Le registre des activités de traitement est le document de référence de toute démarche de conformité RGPD. Il ne recense pas les données personnelles elles-mêmes, mais les activités qui engendrent leur traitement : le site web, la newsletter, le CRM, la paie, le recrutement… Bien tenu, il devient un véritable tableau de bord de la conformité ; négligé, il est le premier manquement que constate la CNIL.
Avant l’entrée en application du RGPD en 2018, il fallait déclarer ses traitements à la CNIL, qui centralisait un registre national. Cette logique déclarative a disparu. Désormais, chaque organisation tient elle-même son registre et doit être capable de le présenter à tout moment. Cet article détaille qui est concerné, quelles mentions sont obligatoires, comment remplir une fiche, et propose des exemples concrets.
Qu’est-ce que le registre des activités de traitement ?
L’article 30 impose de tenir un registre des activités de traitement effectuées sous sa responsabilité. Concrètement, il s’agit d’un ensemble de fiches, chacune décrivant une activité qui met en œuvre des données personnelles. L’objectif : fournir une vue complète et à jour de toutes les opérations impliquant des données, pour faciliter la gestion des risques et démontrer la conformité.
Typiquement, une entreprise recense dans son registre :
- Activités liées au marketing : prospection commerciale, site web, newsletter (collecte d’emails), réseaux sociaux, événements (collecte de cartes de visite).
- Activités liées aux RH : gestion du personnel (paie, déclarations sociales, avancement), formation, recrutement (base de CV).
- Activités liées à l’exploitation : gestion des clients, facturation, support, sécurité des locaux (vidéosurveillance, contrôle d’accès).
Les mêmes obligations s’imposent aux sous-traitants qui traitent des données pour le compte de responsables de traitement. Le registre se présente sous forme écrite, y compris électronique, et doit être mis à la disposition de l’autorité de contrôle sur demande.
Voici un exemple de registre rempli :
Qui est concerné ? L’exemption des 250 salariés en question
L’article 30(5) prévoit une exemption pour les organismes de moins de 250 salariés. Mais cette exemption est assortie de trois exceptions qui, en pratique, la vident de sa substance. Le registre redevient obligatoire dès qu’une seule des situations suivantes est rencontrée.
| Situation | Registre obligatoire ? |
|---|---|
| Moins de 250 salariés, traitements purement occasionnels et sans risque | Exemption possible |
| Traitement susceptible de comporter un risque pour les droits et libertés | Obligatoire |
| Traitement non occasionnel (paie, clients, prospection récurrente…) | Obligatoire |
| Traitement de données sensibles (art. 9) ou de données pénales (art. 10) | Obligatoire |
Comme la gestion de la paie ou d’un fichier clients constitue par nature un traitement non occasionnel, la quasi-totalité des organisations doit tenir un registre. La CNIL le rappelle d’ailleurs constamment. Même dans l’hypothèse résiduelle où l’exemption s’appliquerait, tenir un registre reste vivement recommandé au titre de la bonne gouvernance et de l’accountability. La CNIL propose du reste un modèle de registre simplifié destiné aux petites structures.
Les mentions obligatoires : registre RT (30.1) vs registre ST (30.2)
L’article 30 distingue deux registres, selon que l’organisation agit comme responsable de traitement ou comme sous-traitant. Une même entreprise peut être concernée par les deux (par exemple une agence qui traite ses propres données RH et des données pour le compte de ses clients).
| Mention | Registre RT (art. 30.1) | Registre ST (art. 30.2) |
|---|---|---|
| Identité et coordonnées (RT, représentant, DPO) | Oui | Oui (RT + ST + DPO) |
| Finalités du traitement | Oui | — (catégories de traitements) |
| Catégories de personnes et de données | Oui | — |
| Catégories de destinataires | Oui | — |
| Transferts hors UE + garanties | Oui | Oui |
| Durées de conservation / d’effacement | Oui (dans la mesure du possible) | — |
| Description des mesures de sécurité (art. 32) | Oui (dans la mesure du possible) | Oui (dans la mesure du possible) |
| Catégories de traitements effectués pour chaque RT | — | Oui |
Le registre sous-traitant est plus léger : il décrit les catégories de traitements réalisées pour chaque client plutôt que les finalités détaillées. Ces obligations se combinent avec celles du contrat de sous-traitance imposé par l’article 28 du RGPD : le registre documente, le contrat encadre.
Exemple de fiche de registre remplie
En pratique, voici à quoi ressemble une fiche de registre responsable de traitement (art. 30.1) pour la gestion de paiements en ligne :
On y retrouve le détail des finalités, ainsi que l’ensemble des éléments exigés par l’article 30. Chaque fiche doit préciser :
Pour le responsable de traitement (art. 30.1)
- Nom et coordonnées du responsable, du responsable conjoint, du représentant et du DPO
- Finalités du traitement (et base légale associée, en bonne pratique)
- Catégories de personnes concernées et de données personnelles
- Catégories de destinataires, y compris dans des pays tiers
- Le cas échéant, transferts hors UE et garanties encadrant ces transferts
- Dans la mesure du possible, durées de conservation
- Dans la mesure du possible, description générale des mesures de sécurité
Pour le sous-traitant (art. 30.2)
- Nom et coordonnées du/des sous-traitants, de chaque responsable pour le compte duquel il agit, et le cas échéant du représentant et du DPO
- Catégories de traitements effectués pour le compte de chaque responsable
- Le cas échéant, transferts hors UE et garanties
- Dans la mesure du possible, description générale des mesures de sécurité
Renseigner correctement la base légale de chaque traitement est une excellente discipline : elle oblige à s’interroger, dès la conception du registre, sur la licéité de chaque activité.
Transferts hors UE : ce qui change en 2026
La rubrique « destinataires » et « transferts » du registre est celle qui évolue le plus vite. Trois points d’attention en 2026 :
- Data Privacy Framework (DPF). Les transferts vers des organismes américains certifiés au titre du EU-US Data Privacy Framework bénéficient de la décision d’adéquation adoptée en juillet 2023. Selon l’état du droit consulté en juillet 2026, cette décision reste en vigueur, la juridiction de l’Union ayant rejeté le premier recours en annulation dirigé contre elle. Le registre doit indiquer si le prestataire (hébergeur, outil SaaS…) est effectivement certifié DPF.
- Clauses contractuelles types (CCT). Pour les transferts vers des pays tiers non couverts par une décision d’adéquation, les CCT de la décision d’exécution (UE) 2021/914 restent le mécanisme de référence, accompagnées le cas échéant d’une analyse d’impact des transferts.
- Cartographie précise. Chaque destinataire situé hors UE doit être identifié, avec le mécanisme de transfert applicable. C’est souvent dans cette rubrique que se cachent les non-conformités (outils de mail, analytics, support externalisé).
Bien renseignée, cette section du registre alimente directement l’analyse des risques et, le cas échéant, une analyse d’impact (AIPD).
Durées de conservation et minimisation
Le registre est le meilleur endroit pour matérialiser deux principes clés du RGPD :
- Le principe de minimisation : chaque fiche liste les catégories de données réellement traitées, ce qui met en évidence les collectes excessives.
- Les durées de conservation : elles doivent être définies traitement par traitement. Notre tableau des durées de conservation fournit des repères par finalité (RH, clients, prospection, comptabilité…).
Documenter les durées « dans la mesure du possible » ne signifie pas s’en dispenser : c’est au contraire l’un des points que la CNIL vérifie le plus systématiquement.
Comment construire son registre : checklist
- Cartographier les traitements service par service (RH, marketing, commercial, IT, direction).
- Créer une fiche par activité, en remplissant les mentions de l’article 30.1 ou 30.2 selon le rôle.
- Renseigner la base légale de chaque finalité (utile même si l’article 30 ne l’exige pas expressément).
- Cartographier les destinataires et sous-traitants, en identifiant les transferts hors UE et leurs garanties.
- Définir les durées de conservation et les modalités d’effacement.
- Décrire les mesures de sécurité (art. 32) associées à chaque traitement.
- Dater et versionner chaque fiche ; prévoir une revue périodique.
- Rattacher au registre les documents liés : contrats de sous-traitance (art. 28), AIPD, mentions d’information.
La tenue à jour est le vrai défi : un registre figé perd toute valeur. Un audit RGPD périodique permet de vérifier que le registre reflète la réalité des traitements. Quand le volume de fiches augmente, un logiciel RGPD permet d’industrialiser la rédaction des fiches et de disposer de métriques claires sur le niveau de conformité réel de l’organisation.
Les sanctions en cas de manquement
Le défaut de tenue d’un registre conforme relève des amendes de l’article 83 : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà du montant, l’absence de registre est un signal négatif fort : lors d’un contrôle, l’incapacité à produire un registre à jour est traitée comme un manquement structurel à l’accountability, qui fragilise l’ensemble de la démarche de conformité. Pour un panorama des risques, voir notre article sur les sanctions RGPD à connaître.
Au-delà de la sanction, un registre absent ou incomplet prive l’organisation d’un outil de pilotage : impossible de répondre efficacement à une demande de droit d’accès, de mener une AIPD ou de réagir sereinement à un contrôle sans savoir précisément quels traitements existent. Pour suivre l’évolution de la doctrine de la CNIL, consultez notre actualité RGPD 2026.
Le texte de l’article 30 du RGPD
Article 30 — Registre des activités de traitement
Chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement tiennent un registre des activités de traitement effectuées sous leur responsabilité. Ce registre comporte toutes les informations suivantes : a) le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données ; b) les finalités du traitement ; c) une description des catégories de personnes concernées et des catégories de données à caractère personnel ; d) les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales ; e) le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l’article 49, paragraphe 1, deuxième alinéa, les documents attestant de l’existence de garanties appropriées ; f) dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données ; g) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l’article 32, paragraphe 1.
Chaque sous-traitant et, le cas échéant, le représentant du sous-traitant tiennent un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable du traitement, comprenant : a) le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les noms et les coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données ; b) les catégories de traitements effectués pour le compte de chaque responsable du traitement ; c) le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale (…) ; d) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l’article 32, paragraphe 1.
Les registres visés aux paragraphes 1 et 2 se présentent sous une forme écrite y compris la forme électronique.
Le responsable du traitement ou le sous-traitant et, le cas échéant, leur représentant mettent le registre à la disposition de l’autorité de contrôle sur demande.
Les obligations visées aux paragraphes 1 et 2 ne s’appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés, sauf si le traitement qu’elles effectuent est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s’il n’est pas occasionnel ou s’il porte notamment sur les catégories particulières de données visées à l’article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10.
FAQ
Le registre des activités de traitement est-il obligatoire pour une TPE ?
En pratique, oui, dans la quasi-totalité des cas. L’exemption des moins de 250 salariés ne joue que pour des traitements strictement occasionnels et sans risque. Or dès qu’une TPE gère une paie, un fichier clients ou une prospection récurrente, le traitement est non occasionnel : le registre redevient obligatoire. La CNIL propose un modèle simplifié adapté aux petites structures.
Quelle différence entre le registre du responsable et celui du sous-traitant ?
Le registre du responsable (art. 30.1) décrit les finalités détaillées de chaque traitement. Le registre du sous-traitant (art. 30.2) décrit les catégories de traitements réalisées pour le compte de chaque client. Une même organisation peut devoir tenir les deux si elle traite à la fois ses propres données et des données pour autrui.
Faut-il indiquer la base légale dans le registre ?
L’article 30 ne l’exige pas expressément, mais renseigner la base légale de chaque traitement est une excellente pratique : cela oblige à vérifier la licéité de chaque activité et facilite les réponses aux demandes de la CNIL ou des personnes concernées.
Le registre doit-il être public ?
Non. Le registre est un document interne. Il doit simplement être mis à la disposition de la CNIL sur demande. Il n’a pas à être publié, contrairement à la politique de confidentialité destinée aux personnes concernées.
À quelle fréquence mettre à jour le registre ?
Le registre doit refléter la réalité des traitements en temps réel : toute création, modification ou suppression de traitement doit y être répercutée. Au minimum, une revue complète annuelle est recommandée, idéalement couplée à un audit de conformité.
Quel lien entre le registre et l’AIPD ?
Le registre identifie les traitements ; l’analyse d’impact intervient ensuite pour ceux qui présentent un risque élevé. Un registre bien tenu permet de repérer immédiatement les traitements qui nécessitent une AIPD (données sensibles, profilage à grande échelle, surveillance systématique).
Le registre de l’article 30 n’est pas une formalité administrative de plus : c’est la colonne vertébrale de la conformité RGPD. Il documente ce que fait l’organisation, révèle les zones de risque et prouve la démarche de responsabilisation. Commencez par le construire — le reste de la conformité s’y rattache naturellement.