Aller au contenu principal
Quel logiciel RGPD

Le registre est-il obligatoire pour votre organisme ?

Pour qui : Vous dirigez ou administrez une petite structure. Vous avez lu quelque part « dispense sous 250 salariés », ou entendu que l’Europe allait supprimer le registre, et vous voulez savoir si vous pouvez ne pas en tenir.

Oui, dans presque tous les cas. La CNIL écrit que l’obligation concerne tous les organismes, publics comme privés, quelle que soit leur taille, dès lors qu’ils traitent des données personnelles. La dérogation pour moins de 250 salariés existe, mais elle tombe dès que le traitement n’est pas occasionnel, présente un risque ou porte sur des données sensibles ou d’infraction.

Une structure qui paie un salarié ou facture un client a donc déjà un traitement à inscrire. Le projet européen Omnibus IV pourrait changer cette règle. Au 5 novembre 2026, il n’est pas adopté : appliquez le droit actuel.

Notre avis

Tenez un registre, même très court. Commencez par les traitements qui reviennent : paie, clients, fournisseurs. La dérogation pour moins de 250 salariés ne vous en dispense presque jamais, et le projet européen n’est pas du droit.

Pourquoi

  • L’article 30 pose trois conditions alternatives : une seule suffit à faire tomber la dérogation pour le traitement concerné.
  • La CNIL donne pour exemple de traitement dérogatoire une campagne ponctuelle à l’ouverture d’un établissement, sous réserve d’absence de risque.
  • Le travail reste bref si l’activité est simple. Vous n’avez besoin ni d’un logiciel ni d’un format imposé.
  • Si vous devez un jour montrer ce que vous faites, cette liste est la pièce qui répond.

Ce qui change le choix

L’adoption et la publication d’Omnibus IV au Journal officiel de l’Union changeraient l’obligation pour certains. Un seul traitement occasionnel sans risque peut déjà rester hors registre aujourd’hui, si votre analyse le justifie.

La phrase complète de l’article 30

Le résumé « pas de registre sous 250 salariés » coupe la phrase. Le paragraphe 5 écrit que les obligations ne s’appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés, « sauf si le traitement qu’elles effectuent est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s’il n’est pas occasionnel ou s’il porte notamment sur les catégories particulières de données visées à l’article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10 ».

Le Comité européen de la protection des données (CEPD) et le Contrôleur européen de la protection des données (EDPS) le constatent eux-mêmes : l’exception ne joue typiquement pas pour une très petite structure, même d’une ou de quelques personnes, dès que le traitement n’est pas occasionnel.

Faites le test traitement par traitement

La dérogation se lit pour chaque traitement. Posez ces questions dans l’ordre, et arrêtez-vous au premier oui.

  1. Comptez-vous 250 employés ou plus ? Oui : la dérogation ne vous concerne pas.
  2. Ce traitement revient-il de façon régulière ? Oui : inscrivez-le. La CNIL cite la paie, les clients, les prospects, les fournisseurs.
  3. Peut-il comporter un risque pour les personnes ? Oui : inscrivez-le. La CNIL cite la géolocalisation et la vidéosurveillance.
  4. Porte-t-il sur des données sensibles ou d’infraction ? Oui : inscrivez-le. La CNIL cite la santé et les infractions.
  5. Quatre non, et un traitement ponctuel ? Il peut rester hors registre. En cas de doute, la CNIL recommande de l’inscrire, et nous aussi.

Trois situations où la règle se complique

Si vous êtes sous-traitant, vous traitez des données pour le compte de clients. L’article 30 prévoit un registre propre, par catégorie de traitement effectuée pour chaque responsable, et la même dérogation s’y applique. Si vous êtes aussi responsable pour vos salariés, votre registre doit distinguer les deux rôles, et la CNIL recommande d’en tenir deux.

Si vous êtes un organisme public, le registre n’est pas seulement interne. Selon la CNIL, il doit être communiqué à toute personne qui le demande, après occultation notamment de ce qui touche aux secrets protégés et à la sécurité des systèmes. Préparez une version communicable, sans toucher à l’original. Un organisme privé non chargé d’une mission de service public n’a pas cette obligation de communication au public.

Pour une commune, l’absence de registre peut être relevée avec d’autres griefs. Le tableau de la CNIL mentionne une commune sanctionnée le 13 septembre 2024 en procédure simplifiée, à 20 000 euros d’amende avec injonction, pour la licéité, la durée de conservation, le registre, l’absence de DPO et le défaut de coopération. Une autre, le 11 septembre 2025, à 10 000 euros et un rappel à l’ordre, pour la conservation, la sécurité et le registre. Ces deux cas réunissent plusieurs griefs : ils ne chiffrent pas le prix d’un registre manquant.

Où en est le projet Omnibus IV

Ce projet porte la procédure 2025/0130(COD). La Commission l’a publié le 21 mai 2025. Il ne faut pas le confondre avec le Digital Omnibus, autre texte, qui ne vise pas le registre dans le mandat du Conseil que nous avons lu.

Statut d’Omnibus IV, lecture du 5 novembre 2026
ÉtapeCe que dit la fiche du Parlement
Proposition de la CommissionPubliée le 21 mai 2025.
Commissions parlementairesVote le 25 février 2026, puis approbation le 2 juillet 2026 du texte issu des négociations.
Statut affiché« Awaiting Parliament’s position in 1st reading » : en attente de la position du Parlement.
Prochaine dateSéance plénière indicative le 23 novembre 2026.
Adoption et publicationNon. Le texte n’est pas en vigueur.

Les deux issues possibles

La proposition de la Commission remplace le paragraphe 5 : les obligations ne s’appliqueraient pas à une entreprise ou une organisation employant moins de 750 personnes, sauf si le traitement est susceptible d’engendrer un risque élevé au sens de l’article 35. Ce chiffre est celui de la proposition de 2025 : lisez le seuil final dans le texte voté, sans vous fier à cette version ni à un résumé.

Si le texte est adopté, une structure sans risque élevé pourrait être dispensée, et le critère « non occasionnel » disparaîtrait de cette version. Le CEPD et l’EDPS précisent qu’il faudrait encore évaluer le risque pour savoir si la dérogation joue, et encouragent les structures dispensées à choisir la méthode adaptée pour soutenir leur conformité. Vous garderiez un inventaire simple, car il sert à répondre aux demandes de droits, à rédiger vos mentions et à repérer un traitement à risque.

Si le texte n’est pas adopté ou tarde, rien ne change : l’article 30 reste tel que cité plus haut.

Dans les deux cas, votre liste actuelle garde son utilité. Notre avis : ne supprimez rien tant que la publication au Journal officiel n’a pas eu lieu et que le texte n’est pas applicable.

Limites de cette page

Le RGPD a été lu dans le texte publié par la CNIL, sans les numéros de paragraphe affichés, et EUR-Lex n’a pas répondu. La fiche CNIL date de 2018. Nous citons la proposition de la Commission et la fiche du Parlement : le seuil final et le sort du secteur public se liront dans le texte voté. Cette page changera à la première étape nouvelle. Pour un traitement précis et douteux, une analyse par un conseil peut valoir la peine.

Prochaine action

Listez vos traitements qui reviennent : paie, clients, fournisseurs, site, candidatures. Cette liste est le point de départ de votre registre. Complétez ensuite toutes les rubriques du modèle de la CNIL, notamment l’objectif, les données, les destinataires, les durées et la sécurité. Sous-traitant ou organisme public, ajoutez le registre ou la version communicable qui vous concerne.

Preuves et sources

Lu le 5 novembre 2026 : l’article 30 du RGPD dans le texte publié par la CNIL ; la fiche de la CNIL sur le registre, datée du 13 avril 2018 ; la proposition de la Commission COM(2025) 501 ; la fiche de procédure 2025/0130(COD) du Parlement européen ; l’avis conjoint 1/2025 du CEPD et de l’EDPS ; le tableau des sanctions de la CNIL, page datée du 14 avril 2026.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Déclaration de l’éditeur. La CNIL écrit que l’obligation de tenir un registre concerne tous les organismes, publics comme privés et quelle que soit leur taille, dès lors qu’ils traitent des données personnelles.

    Portée : Page CNIL datée du 13 avril 2018.

    Réserve : La même page détaille ensuite la dérogation pour moins de 250 salariés.

  • Fait lu. L’article 30, paragraphe 5, du RGPD écarte les obligations des paragraphes 1 et 2 pour une entreprise ou une organisation comptant moins de 250 employés, sauf si le traitement est susceptible de comporter un risque pour les droits et libertés, n’est pas occasionnel ou porte notamment sur des données des articles 9, paragraphe 1, ou 10.

    Portée : Droit en vigueur au 5 novembre 2026.

    Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis d’après l’ordre du texte.

  • Déclaration de l’éditeur. Selon la CNIL, cette dérogation est limitée à des cas très particuliers mis en œuvre de manière occasionnelle et non routinière, avec pour exemple une campagne de communication à l’ouverture d’un établissement sous réserve d’absence de risque ; paie, clients, prospects et fournisseurs relèvent des traitements non occasionnels, géolocalisation et vidéosurveillance des traitements à risque, santé et infractions des données sensibles ; en cas de doute, elle recommande d’inscrire le traitement.

    Portée : Organismes de moins de 250 salariés.

    Réserve : Page CNIL datée du 13 avril 2018.

  • Déclaration de l’éditeur. Le CEPD et l’EDPS relèvent que l’exception de l’article 30, paragraphe 5, n’est typiquement pas applicable aux très petites entreprises ou organisations d’un ou de quelques employés dès que le traitement n’est pas occasionnel.

    Portée : Avis conjoint 1/2025, point 9.

    Réserve : Avis rendu sur la proposition de 2025.

  • Fait lu. Le registre se présente sous une forme écrite, y compris électronique, et se met à la disposition de l’autorité de contrôle sur demande ; aucun logiciel n’est imposé par le texte.

    Portée : Article 30, paragraphes 3 et 4.

    Réserve : Texte reproduit par la CNIL.

  • Fait lu. L’article 30, paragraphe 2, prévoit un registre du sous-traitant par catégories de traitements effectués pour chaque responsable ; la CNIL demande de distinguer clairement les deux catégories d’activités et recommande deux registres à un organisme ayant les deux rôles.

    Portée : Sous-traitants.

    Réserve : La pratique des deux registres vient de la CNIL. Dérogation du paragraphe 5 applicable aussi.

  • Déclaration de l’éditeur. Selon la CNIL, un organisme public doit communiquer son registre à toute personne qui le demande, après occultation notamment de ce qui touche aux secrets protégés et à la sécurité des systèmes, tandis qu’un organisme privé non chargé d’une mission de service public n’a pas à le communiquer au public.

    Portée : Secteur public et privé.

    Réserve : Code des relations entre le public et l’administration non relu en source propre.

  • Fait lu. Le tableau des sanctions de la CNIL mentionne le 13 septembre 2024 une commune, en procédure simplifiée, à 20 000 euros d’amende et une injonction pour licéité, durée de conservation, registre, désignation d’un DPO et défaut de coopération, et le 11 septembre 2025 une commune à 10 000 euros d’amende et un rappel à l’ordre pour conservation, sécurité et registre.

    Portée : Page CNIL datée du 14 avril 2026.

    Réserve : Plusieurs griefs réunis, décisions non publiques : le montant ne se rapporte pas au seul registre.

  • Fait lu. La fiche du Parlement européen sur la procédure 2025/0130(COD) indique au 5 novembre 2026 « Awaiting Parliament’s position in 1st reading », une proposition du 21 mai 2025, un vote en commission du 25 février 2026, une approbation en commission du 2 juillet 2026 et une séance plénière indicative le 23 novembre 2026.

    Portée : PROJET non adopté.

    Réserve : Date indicative, statut lu à cette date.

  • Fait lu. La proposition COM(2025) 501 de la Commission remplacerait l’article 30, paragraphe 5 : obligations non applicables à une entreprise ou organisation employant moins de 750 personnes sauf si le traitement est susceptible d’engendrer un risque élevé au sens de l’article 35.

    Portée : PROJET : proposition de la Commission, pas le texte final.

    Réserve : Ce seuil n’est ni du droit ni un chiffre final.

  • Déclaration de l’éditeur. Le CEPD et l’EDPS indiquent que le responsable devrait encore évaluer le risque pour savoir si la dérogation proposée joue, et encouragent les organismes concernés à choisir la méthode adaptée pour soutenir leur conformité.

    Portée : Avis conjoint 1/2025, sur la proposition à 750 personnes.

    Réserve : Avis sur la proposition, pas sur le texte final.

  • Notre calcul ou déduction. Le Digital Omnibus, procédure 2025/0360(COD), est un texte distinct d’Omnibus IV, et les amendements lus dans le mandat du Conseil ne visent pas l’article 30.

    Portée : Mandat du 21 octobre 2026.

    Réserve : Lecture du mandat en extraction de texte, biffures vérifiées sur une partie des pages.

  • Notre avis. Garder un inventaire simple même si le texte est adopté, et ne rien supprimer avant sa publication, sont des avis éditoriaux.

    Portée : Structures qui seraient dispensées.

    Réserve : Aucun texte lu n’imposerait cet inventaire à une structure dispensée.