RGPD Article 30 : le registre des activités de traitement qu’une PME peut bâtir

Un registre des activités de traitement (RoPA) est le document unique qui prouve que vous savez quelles données personnelles vous détenez, pourquoi, qui les voit, où elles vont, et quand vous les supprimez. C’est la première chose qu’une autorité de contrôle demande après une fuite. La plupart des PME sont techniquement exemptées d’en tenir un — et ont presque toujours tort de s’appuyer sur cette exemption.

L’article 30 du RGPD exige des responsables et des sous-traitants qu’ils tiennent un registre des activités de traitement. Le principe de responsabilité (article 5(2)) fait du responsable le garant de la démonstration de conformité, et le RoPA en est l’instrument principal. C’est l’artefact qui transforme « nous pensons être conformes » en « voici ce que nous traitons et pourquoi. »

La liste d’éléments ci-dessous reflète le texte public de l’article 30 du RGPD (règlement (UE) 2016/679). Confirmez le libellé exact contre le texte officiel sur EUR-Lex avant de déposer — le règlement est une loi publique et stable, mais citez la version consolidée actuelle.

L’exemption que la plupart des PME lisent mal

L’article 30(5) exempte une organisation de l’obligation de documentation lorsque :

• le traitement est **occasionnel**,
• il **n’est pas susceptible d’engendrer un risque pour les droits et libertés** des personnes concernées, et
• il ne porte pas sur des **catégories particulières de données** (article 9) ni sur des **données relatives aux condamnations et infractions pénales** (article 10).

L’exemption portait aussi historiquement un cadre de seuil de 250 employés dans les lignes directrices ; les conditions ci-dessus sont le test opératoire. Le piège : quasi aucune PME qui traite ne remplit les trois. Si vous exploitez un CRM, envoyez des e-mails marketing, gérez la paie, ou tenez un site avec analytique, votre traitement n’est pas « occasionnel » et une fuite risquerait les droits des personnes. Si vous stockez des données de santé, d’appartenance syndicale, ou toute catégorie article 9, l’exemption est indisponible quelle que soit la taille. Les sous-traitants ne sont jamais exemptés de tenir leur propre registre article 30(2) — l’exemption est un allègement pour le responsable seul.

Lecture pratique : tenez un RoPA. L’exemption est plus étroite qu’elle n’y paraît, et le document est l’actif de conformité le moins cher que vous bâtirez.

Ce que le RoPA d’un responsable doit contenir (article 30(1))

Chaque activité de traitement obtient une ligne (ou section) avec :

1. L’identité et les coordonnées du responsable et, le cas échéant, du co-responsable, du représentant du responsable, et du délégué à la protection des données. 2. Les finalités du traitement. 3. Une description des catégories de personnes concernées et des catégories de données personnelles. 4. Les catégories de destinataires auxquels les données ont été ou seront communiquées (y compris les destinataires dans des pays tiers ou des organisations internationales). 5. Les transferts vers des pays tiers, le cas échéant, et la documentation des garanties appropriées (article 46). 6. Les délais prévus d’effacement des différentes catégories de données (conservation). 7. Une description générale des mesures techniques et organisationnelles de sécurité visées à l’article 32 (lorsque c’est possible).

C’est toute la liste. Un tableur avec une ligne par activité de traitement et ces sept colonnes est un RoPA conforme.

Ce que le RoPA d’un sous-traitant doit contenir (article 30(2))

Le registre d’un sous-traitant est plus court. Il contient, pour chaque activité de traitement effectuée pour le compte d’un responsable :

1. L’identité et les coordonnées du sous-traitant et de chaque responsable pour lequel il agit, du représentant du sous-traitant, et du DPD. 2. Les catégories de traitements effectués pour chaque responsable. 3. Les transferts vers des pays tiers et les garanties appropriées. 4. Une description générale des mesures de sécurité article 32 (lorsque c’est possible).

Un sous-traitant n’enregistre pas les finalités ni la conservation — ce sont les choix du responsable. Le sous-traitant enregistre ce qu’il fait, pour qui, et comment c’est sécurisé.

Comment une PME bâtit un RoPA en un après-midi

1. Inventoriez vos activités de traitement. Parcourez l’entreprise : site/analytique, e-mail marketing, CRM, RH/paie, support client, comptabilité, sauvegardes, CCTV le cas échéant. Chaque activité distincte est une ligne. 2. Remplissez les sept colonnes. Pour chaque activité : qui est le responsable (généralement vous), quelle finalité, de qui et quelles catégories de données, qui les reçoit, tout transfert transfrontalier, combien de temps vous conservez, quelle sécurité protège. 3. Faites émerger les transferts vers des pays tiers. Services cloud hébergés aux États-Unis, un outil d’analytique américain, un support hébergé hors UE. Chacun est un transfert et exige une garantie nommée (CCP, décision d’adéquation, BCR). C’est la colonne que les PME laissent vide et que les autorités visitent en premier. 4. Nommez les mesures de sécurité. Pas une déclaration ISO 27001 complète — « TLS en transit, AES-256 au repos, MFA sur l’accès admin, sauvegardes chiffrées » par activité est la « description générale » qu’exige l’article 30. Si vous exploitez ISO 27001, pointez sur le SMSI — voir l’article implémentation conjointe. 5. Fixez la conservation. Une colonne avec « 6 ans » pour les enregistrements comptables (légal), « durée du contrat + 1 an » pour les données client, « jusqu’au retrait du consentement » pour le marketing. Un RoPA sans conservation est incomplet. 6. Revoyez-le au changement. Un nouvel outil SaaS, un nouveau canal marketing, un nouveau fournisseur hors UE — mettez la ligne à jour. Revue annuelle minimum.

Le RoPA comme colonne vertébrale du programme RGPD

Le RoPA n’est pas un document autonome. C’est l’index que le reste du programme RGPD référence :

• **Les droits des personnes** (articles 15–22) s’exercent contre ce que le RoPA dit que vous détenez. Vous ne pouvez pas répondre à une demande d’accès (article 15) sans connaître vos activités de traitement — l’article droits des personnes et horloge 72 heures s’appuie sur le RoPA.
• **L’AIPD** (article 35) est déclenchée pour les traitements à haut risque identifiés dans le RoPA. Le modèle d’AIPD part de la liste d’activités du RoPA.
• **La notification de fuite** (article 33, 72 heures) exige de savoir quelles données et de qui — le RoPA répond en minutes, pas en jours.
• **Les traces de consentement et la licéité du traitement** sont référencées depuis la colonne finalité du RoPA.

Bâtissez le RoPA d’abord ; tous les autres artefacts RGPD deviennent plus faciles.

Le chevauchement article 30 / article 32

L’article 30(1)(g) demande une description générale des mesures de sécurité article 32. L’article 32 lui-même exige une sécurité adaptée au risque — pseudonymisation/chiffrement, confidentialité/intégrité/disponibilité, résilience, tests réguliers. Vous n’avez pas besoin d’une évaluation de sécurité complète dans le RoPA — une description générale suffit. Les contrôles détaillés vivent dans votre programme de sécurité ; si vous exploitez ISO 27001, l’analyse de risque SMSI et les contrôles Annexe A sont la substance, et la colonne sécurité du RoPA pointe dessus. C’est le point de fusion entre RGPD et ISO 27001 — une description de sécurité, citée depuis le RoPA et auditée sous ISO 27001.

Erreurs courantes des PME

• **Sauter le RoPA sur l’exemption.** Les trois conditions tiennent rarement simultanément ; les sous-traitants ne qualifient jamais.
• **Colonne pays tiers vide.** Chaque SaaS hébergé aux États-Unis est un transfert. Nommez la garantie (généralement les Clauses contractuelles types).
• **Pas de conservation.** « On garde tant que nécessaire » n’est pas une entrée de RoPA. Fixez une limite par catégorie.
• **Une ligne pour toute l’entreprise.** L’e-mail marketing et la paie sont des activités différentes avec finalités, destinataires et conservation différents. Lignes séparées.
• **RoPA figé.** Un RoPA écrit une fois et jamais mis à jour dérive de la réalité et échoue au test de responsabilité au changement.

Comment cela s’intègre dans la série

C’est le compagnon cas d’usage du pilier RGPD. C’est le premier artefact à bâtir après avoir établi que vous êtes concerné — les droits des personnes et l’horloge 72 heures, le modèle d’AIPD, et l’implémentation conjointe ISO 27001 le référencent tous. Si vous exploitez aussi PCI DSS, la colonne sécurité du RoPA est la vue RGPD des mêmes contrôles que l’évaluation PCI examine.

Que faire ensuite

Ouvrez un tableur. Listez vos activités de traitement — vous en aurez entre 5 et 15 en PME. Remplissez les sept colonnes article 30(1) pour chacune. Prêtez une attention particulière aux colonnes transfert pays tiers et conservation — ce sont les deux que les autorités vérifient. Si une activité semble à haut risque (à grande échelle, catégorie particulière, profilage, surveillance systématique), signalez-la pour AIPD. Ce tableur, revu à chaque changement d’outil ou de fournisseur, est un RoPA article 30 conforme — bâti en un après-midi, maintenu pour la vie de l’entreprise.

Vous voulez une revue de votre RoPA contre les éléments article 30 ? Réservez une **évaluation d’applicabilité RGPD** de 30 minutes — nous cartographions vos activités de traitement, signalons les transferts sans garanties, et fixons le calendrier de conservation. Bilingue FR/EN, sans obligation.

→ /contact · téléchargez le guide de conformité RGPD pour PME