Registre des traitements

Registre des traitements : Document obligatoire recensant les finalités, catégories de données, destinataires, durées et mesures de sécurité, tenu par le responsable comme par le sous-traitant.

Famille « Juridique et RGPD ». La définition ci-dessus suffit pour suivre une réunion. La suite sert à écrire une exigence que personne ne pourra interpréter à sa façon.

À quoi sert Registre des traitements

Registre des traitements relève du cadre légal applicable à l’application. Il ne se négocie pas avec le prestataire, et il se contrôle après coup, souvent au pire moment.

Dans la pratique, deux interlocuteurs qui n’ont pas la même définition en tête avancent d’accord pendant des semaines, puis découvrent le désaccord à la livraison.

Comment l’écrire dans un cahier des charges

Écrire « Registre des traitements » dans un cahier des charges implique une conséquence concrète : un écran, un réglage, un document ou une procédure. Sans cela, la mention reste un vœu.

À écrire noir sur blanc, dans le chapitre qui correspond :

• Les sous-traitants utilisés, nommés, avec le pays où sont hébergées les données.
• Les documents publiés : mentions légales, politique de confidentialité, conditions d’utilisation.
• Le niveau d’accessibilité visé, et le texte qui l’impose à votre activité.
• Le sort des données et du code à la fin du contrat.

Rien n’oblige à tout figer dès le premier jour. Ce qui reste ouvert doit alors être signalé comme tel, avec la date à laquelle la décision sera prise.

Pour le cadre général, le guide des prix donne les fourchettes constatées en France et le modèle de cahier des charges la structure qui les rend opposables.

Les contrôles à prévoir

Registre des traitements se recette comme une fonctionnalité : quelqu’un déroule le parcours et note ce qui manque.

• Dérouler le parcours d’exercice des droits, de la demande à la réponse.
• Demander le contrat de sous-traitance prévu par l’article 28, et le lire.
• Vérifier la présence et l’exactitude des mentions légales publiées.

Ce qui n’est pas vérifié à la recette ne sera pas vérifié du tout : le jour de la mise en ligne, plus personne n’a le temps.

Les pièges à éviter

Les mêmes causes reviennent d’un projet à l’autre, quel que soit le prestataire et quelle que soit la taille du budget.

• Ne pas tenir le registre des traitements, obligatoire dans la plupart des situations.
• Collecter des données par défaut, au motif qu’elles pourraient servir un jour.
• Confondre la responsabilité de l’éditeur de l’application et celle de son prestataire.
• Publier une application grand public sans avoir regardé les obligations d’accessibilité.
• Se contenter d’une réponse orale en réunion, jamais reprise dans le document contractuel.

Termes liés

Les entrées du glossaire déjà publiées sur des sujets voisins :

• Taxonomie d’événements
• Consentement
• DPA
• Suivi entre applications
• Registre des violations

Questions fréquentes

Registre des traitements : de quoi parle-t-on exactement ?

Document obligatoire recensant les finalités, catégories de données, destinataires, durées et mesures de sécurité, tenu par le responsable comme par le sous-traitant. La définition tient en une phrase, son application dépend du projet. C’est pour cette raison qu’elle doit figurer dans le cahier des charges plutôt que dans un échange de courriels.

Qui est responsable, l’éditeur ou l’agence ?

L’entreprise qui publie l’application répond du traitement des données devant l’autorité de contrôle. Le prestataire agit pour son compte et doit être encadré par un contrat de sous-traitance.

Où placer ce point dans le cahier des charges ?

Dans le chapitre qui correspond à sa nature, jamais dans une ligne fourre-tout. Le modèle de cahier des charges propose les rubriques attendues et l’ordre dans lequel les remplir.

Toutes les définitions publiées sont rassemblées dans l’index du glossaire, classées de A à Z et par famille.