Aller au contenu principal
Quel logiciel RGPD

Le modèle de registre de la CNIL suffit-il encore ?

Pour qui : Vous démarrez votre registre sur le fichier ODS de la CNIL et vous voulez savoir ce qu’il couvre, ce qui a vieilli et ce que vous devez y ajouter.

Oui pour démarrer, si vous êtes responsable de traitement, c’est-à-dire si vous décidez pourquoi et comment les données sont utilisées. Ne prenez que le fichier ODS : la CNIL indique que ses modèles RTF et PDF ne sont plus mis à jour, alors que France Num les annonce encore le 3 février 2026.

Corrigez-le le jour du téléchargement : les métadonnées du fichier portent la date du 18 février 2020 et ses listes de transferts ont vieilli. Ajoutez ensuite deux colonnes, la base légale et la date de prochaine révision.

Notre avis

Oui pour démarrer, si vous êtes responsable de traitement. Il faut toutefois corriger le fichier le jour où vous le téléchargez : ses listes de pays sont périmées, et il ne prévoit ni base légale ni historique.

Pourquoi

  • Chaque élément de l’article 30, paragraphe 1, trouve sa place dans le fichier.
  • Le fichier propose encore « Privacy shield » comme garantie et classe mal plusieurs pays.
  • La base légale n’est pas exigée au registre par l’article 30, mais elle vous servira pour informer les personnes et traiter leurs demandes.

Ce qui change le choix

Vous êtes sous-traitant : changez de gabarit. Plusieurs personnes écrasent la dernière version, ou l’on vous demande un historique que vos copies ne donnent pas : comparez d’autres solutions.

L’ordre à suivre

  1. Responsable de traitement qui démarre : prenez le modèle et corrigez-le.
  2. Plusieurs contributeurs qui perdent la dernière version, ou historique à produire : comparez d’autres solutions.
  3. Sous-traitant : construisez un autre fichier.

Ce que le fichier couvre, élément par élément

Selon la CNIL, le modèle permet de satisfaire au socle de l’article 30. Notre lecture des onglets va dans ce sens.

Article 30, paragraphe 1, et emplacement dans le fichier ODS
Ce que le texte demandeOù cela se remplit
Coordonnées du responsable, du conjoint, du représentant, du déléguéOnglet 2 et bloc « Acteurs » de chaque fiche
FinalitésFinalité principale et cinq sous-finalités
Personnes et données concernéesListes de catégories, données sensibles à part
DestinatairesQuatre lignes par fiche
Transferts hors de l’UnionDestinataire, pays, type de garanties
Délais d’effacement, dans la mesure du possibleUne durée par catégorie de données
Mesures de sécurité, dans la mesure du possibleTrois lignes par fiche

La correction à faire vous-même : les pays et les garanties

L’onglet 5 propose « Privacy shield » comme garantie, alors que la Cour de justice de l’Union l’a invalidé le 16 juillet 2020. Il classe les États-Unis et le Canada en adéquat sans condition, alors que la Commission limite cette reconnaissance aux organisations commerciales, participant au Data Privacy Framework pour les États-Unis. Il classe aussi le Japon, la Corée du Sud et le Brésil en non adéquat et omet le Royaume-Uni, que la Commission reconnaît.

Avant de remplir un transfert, vérifiez le pays sur la page de la Commission. Le guide sur le tableur détaille la manipulation dans l’onglet.

Base légale : ce que le texte exige et ce qui vous servira

L’article 30 ne cite pas la base légale, c’est-à-dire la raison juridique qui autorise le traitement. Une fiche sans cette colonne répond donc à la liste du texte.

Notez-la tout de même. La CNIL propose de l’ajouter parmi les informations utiles pour informer les personnes et rappelle que ce choix conditionne l’exercice de certains droits. Remplissez d’abord les lignes dont vous êtes sûr : une case vide vous indique ce qu’il reste à trancher.

Le fichier garde une date et oublie le reste

Chaque fiche porte une date de création et une date de mise à jour, sans trace de ce qui a changé. Aucun texte lu n’impose d’archiver les versions. Notre avis : ajoutez une date de prochaine révision et gardez une copie datée à chaque révision.

Sous-traitant ou double rôle : changez de gabarit

Le tutoriel du fichier vise les traitements mis en œuvre « en tant que responsable de traitement ». Si vous agissez aussi pour des clients, la CNIL recommande deux registres : ce modèle pour vos traitements, un autre fichier pour votre activité de sous-traitant.

Limites de cette page

Le fichier a été lu sans être rempli sur un cas réel. La liste de la Commission et le modèle peuvent changer : vérifiez leur état avant usage.

Prochaine action

Téléchargez le fichier ODS depuis la page de la CNIL, ajoutez les colonnes base légale et prochaine révision, puis corrigez la liste de pays d’après la page de la Commission. Si vous agissez pour des clients, ouvrez un second fichier.

Preuves et sources

Lu le 5 novembre 2026 : le fichier ODS de la CNIL, ses cinq onglets et ses listes ; la page CNIL sur le registre, datée du 13 avril 2018 ; l’article 30 du RGPD dans le texte publié par la CNIL ; la liste de la Commission européenne des pays reconnus adéquats ; la fiche France Num sur le modèle.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Déclaration de l’éditeur. La CNIL écrit que son modèle ODS permet de satisfaire au socle d’exigences de l’article 30 et que ses anciens modèles RTF et PDF ne sont plus mis à jour.

    Portée : Page CNIL datée du 13 avril 2018.

    Réserve : Position de la CNIL sur un modèle de base, qu’elle recommande d’enrichir.

  • Fait lu. La fiche France Num, mise à jour le 3 février 2026, annonce encore les formats RTF et PDF du modèle.

    Portée : Fiche France Num lue le 5 novembre 2026.

    Réserve : Sur le format, la page de la CNIL prime.

  • Fait lu. Le fichier ODS contient cinq onglets et prévoit des champs pour les acteurs, les finalités, les catégories de personnes et de données, les durées de conservation, les destinataires, les mesures de sécurité et les transferts hors de l’Union.

    Portée : Fichier ODS téléchargé le 5 novembre 2026, métadonnée du 18 février 2020.

    Réserve : Une copie modifiée par un organisme peut différer.

  • Fait lu. L’article 30, paragraphe 1, du RGPD liste les coordonnées, les finalités, les catégories de personnes et de données, les destinataires, les transferts et, dans la mesure du possible, les délais d’effacement et une description générale des mesures de sécurité ; il ne cite pas la base légale.

    Portée : Texte français publié par la CNIL.

    Réserve : Numéros de paragraphe rétablis d’après l’ordre du texte.

  • Fait lu. L’onglet 5 du modèle propose « Privacy shield », classe les États-Unis et le Canada en adéquat sans condition, le Japon, la Corée du Sud et le Brésil en non adéquat, et ne contient pas le Royaume-Uni.

    Portée : Listes de l’onglet 5 du fichier ODS.

    Réserve : État du fichier au jour de la lecture.

  • Fait lu. La Commission européenne reconnaît comme adéquats notamment le Brésil, le Japon, la République de Corée, le Royaume-Uni, le Canada pour les organisations commerciales et les États-Unis pour les organisations commerciales participant au Data Privacy Framework.

    Portée : Page de la Commission lue le 5 novembre 2026.

    Réserve : Liste évolutive, à vérifier pays par pays.

  • Fait lu. La Cour de justice de l’Union européenne a invalidé le Privacy Shield le 16 juillet 2020.

    Portée : Présentation de l’arrêt par la CNIL.

    Réserve : Arrêt lui-même non lu.

  • Déclaration de l’éditeur. La CNIL propose d’ajouter au registre les informations nécessaires pour informer les personnes, dont la base légale, et indique que le choix de la base légale conditionne l’exercice de certains droits.

    Portée : Bonne pratique de la page registre et page CNIL sur les droits.

    Réserve : Recommandation, sans obligation au titre de l’article 30.

  • Notre avis. Ajouter une date de prochaine révision et garder une copie datée à chaque révision est un avis éditorial : aucun texte lu ne l’impose.

    Portée : Textes et pages lus au 5 novembre 2026.

    Réserve : Une exigence d’un client, d’un audit ou d’un secteur peut aller plus loin.

    Daté du 5 novembre 2026.

  • Fait lu. Le tutoriel du modèle vise les traitements mis en œuvre en tant que responsable de traitement, et la CNIL recommande deux registres à un organisme qui a aussi le rôle de sous-traitant.

    Portée : Onglet tutoriel et page CNIL.

    Réserve : La recommandation de deux registres relève de la pratique de la CNIL.