Aller au contenu principal
Quel logiciel RGPD

Votre registre public est-il communicable, et comment le préparer ?

Pour qui : Votre mairie, votre établissement public ou votre organisme chargé d’une mission de service public reçoit une demande de copie de son registre des traitements. Vous avez un mois, et personne n’a jamais préparé de version à transmettre.

Oui. Selon la CNIL, un organisme public doit communiquer son registre à toute personne qui le demande, après occultation de ce qui porterait atteinte aux secrets protégés par la loi, notamment la sécurité des systèmes d’information. La CADA, la commission qui rend des avis sur l’accès aux documents administratifs, retient le même principe et cite aussi la vie privée.

Préparez la réponse avant qu’une demande arrive : prenez trois fiches, produisez-en une copie occultée et notez les choix faits. Si vous avez déjà une demande, le délai est d’un mois à compter de sa réception.

Notre avis

Oui, votre registre est communicable, après occultation. Préparez dès maintenant une version occultée sur trois fiches : c’est le test qui vous dira si votre fichier ou votre logiciel tient cette contrainte.

Pourquoi

  • La CNIL présente le registre d’un organisme public comme un document administratif communicable à tous. La CADA l’a confirmé en 2022, 2024 et 2025.
  • La CADA inclut les fiches de traitement, et considère aussi l’analyse d’impact comme communicable, sous les mêmes réserves.
  • Une rubrique de mesures de sécurité trop détaillée complique tout : à notre avis, la sécurité précise se documente mieux à part.
  • Sans réponse dans le mois, la demande est réputée refusée et le demandeur peut saisir la CADA.

Ce qui change le choix

Le document a été transmis à la CNIL dans le cadre d’une formalité préalable : il relève d’un autre régime. Les traitements de police ou de lutte contre les infractions demandent une analyse fiche par fiche, avec votre délégué.

L’ordre à suivre

  1. Vérifiez que le document relève bien du régime général, et n’a pas été transmis à la CNIL dans le cadre d’une formalité préalable.
  2. Occultez d’abord ce qui touche à la sécurité des systèmes, puis à la vie privée, puis les autres secrets protégés.
  3. Laissez le reste lisible, y compris en principe le nom des agents publics, sauf celui des policiers et gendarmes dans les documents qu’ils établissent.
  4. Si les demandes se répètent, envisagez de publier la version occultée.

Le texte à appliquer quand la demande arrive

Le régime vaut pour l’État, les collectivités, les établissements publics et les organismes privés chargés d’une mission de service public. Selon Service Public, l’administration a un mois à compter de la réception et le silence vaut refus. Le demandeur a ensuite deux mois pour saisir la CADA, qui rend un avis.

Une réserve : les documents soumis à la CNIL lors de formalités préalables suivent un régime particulier, hors du champ de la CADA.

Notre tri proposé, rubrique par rubrique

La CADA donne des catégories, et aucune liste de rubriques à occulter. Le tableau est notre lecture de ses avis. La CADA réserve aussi le cas où les occultations priveraient la communication de tout intérêt.

Tri proposé pour une fiche du modèle de la CNIL
RubriqueNotre triMotif
Responsable, service, délégué, coordonnées professionnellesLaissez lisible.Selon la CADA, le nom des agents publics n’a en principe pas à être occulté. Exception : dans un document établi par des policiers ou des gendarmes dans leurs missions, elle juge que leur nom porte par principe atteinte à la sécurité, et elle a étendu ce principe en décembre 2024 aux policiers municipaux sur une fiche de main courante. Elle tient compte de la nature du document et du contexte.
Finalités, personnes concernées, catégories de données, durées de conservationLaissez lisible.C’est l’objet même du registre. Occultez seulement une mention qui révélerait un secret protégé.
Destinataires et transfertsLaissez lisible en principe, puis relisez.Vérifiez qu’aucune ligne ne décrit un dispositif de sécurité ou de contrôle.
Mesures de sécuritéGardez le type de mesure, occultez versions, produits, architecture et précisions exploitables.La sécurité des systèmes d’information est le premier motif cité.
Commentaires libresRelisez ligne à ligne.Le nom d’un usager ou d’un agent mis en cause peut relever de la vie privée.
Lutte contre la fraude ou les infractionsAnalysez fiche par fiche avec le délégué.Dans un dossier de la Caisse nationale des allocations familiales, la CADA a ajouté cette occultation au regard de l’objet du traitement.

Le test sur trois fiches

Choisissez des fiches qui posent des questions différentes.

  1. Copiez trois fiches : une simple, comme l’état civil, une liée à la sécurité, comme la vidéoprotection, une sensible, comme l’aide sociale. Ne touchez jamais à l’original.
  2. Appliquez le tri et notez chaque occultation avec son motif. Cette note servira si la CADA est saisie.
  3. Produisez le document final et essayez de copier le texte masqué. Si le texte réapparaît, l’occultation n’a pas eu lieu.
  4. Faites relire par votre délégué et chronométrez. Multipliez ce temps par votre nombre de fiches pour voir si le mois suffit.

Tableur ou logiciel : le critère à vérifier

Le tableur convient si vous produisez une copie sans toucher à l’original. Dans un logiciel, vérifiez que vous pouvez sortir le registre complet et ses fiches sous une forme modifiable. La documentation de Madis annonce des sorties Word, Excel et PDF, sans décrire de version occultée toute prête dans ce que nous avons lu. Demandez à votre éditeur de le montrer sur vos trois fiches.

À notre avis, ne changez pas d’outil pour cette seule raison. Revoyez plutôt votre rédaction : une description générale des mesures de sécurité, comme le prévoit l’article 30, demande moins d’occultation qu’une rubrique très détaillée.

Si les demandes reviennent, publiez la version occultée

Rien de ce que nous avons lu ne l’impose. Selon la CADA, une demande d’avis qui lui est adressée est irrecevable si le document fait déjà l’objet d’une diffusion publique, et Service Public admet la mise en ligne d’un document communicable et anonymisé si nécessaire. Datez alors la version publiée.

Limites de cette page

Nous n’avons pas pu lire le code des relations entre le public et l’administration sur Légifrance, qui a refusé notre lecture : ses articles sont cités à travers la CNIL, Service Public et la CADA. Les avis de la CADA éclairent et ne remplacent pas un juge. Dans un dossier sensible, notamment police ou contentieux, faites valider la version occultée par votre délégué et un conseil.

Prochaine action

Prenez trois fiches de votre registre, produisez une copie occultée selon le tableau, notez le motif de chaque occultation et chronométrez. Si vous avez déjà une demande, notez sa date de réception et préparez la réponse dans le mois.

Preuves et sources

Lu le 5 novembre 2026 : la page CNIL sur le registre, datée du 13 avril 2018 ; trois textes de la CADA, du 15 décembre 2022 (Caisse nationale des allocations familiales), du 18 avril 2024 (série de demandes à des ministères, agences et organismes) et du 13 février 2025 (commune de Chambly) ; la fiche Service Public sur l’accès aux documents administratifs, vérifiée le 13 août 2026 ; le modèle de registre de la CNIL ; la documentation de Madis.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Déclaration de l’éditeur. Selon la CNIL, les organismes du secteur public doivent communiquer le registre à toute personne qui le demande, car il s’agit d’un document administratif, après occultation de toute information dont la divulgation pourrait porter atteinte aux secrets protégés par la loi, notamment à la sécurité des systèmes d’information ; les organismes privés non chargés d’une mission de service public n’y sont pas tenus.

    Portée : Page CNIL datée du 13 avril 2018.

    Réserve : Code des relations entre le public et l’administration non lu en source propre.

  • Fait lu. Dans son avis 202400645 du 18 avril 2024, la CADA estime que le registre tenu par une autorité administrative au titre de l’article 30 du RGPD est un document communicable à toute personne qui le demande, après occultation de toute information portant atteinte aux secrets protégés par la loi, notamment la sécurité des systèmes d’information ou la protection de la vie privée.

    Portée : Série de demandes adressée à vingt-trois ministères, agences, établissements et organismes chargés d’une mission de service public.

    Réserve : Avis consultatif.

  • Fait lu. Dans son conseil 202205787 du 15 décembre 2022, la CADA inclut les fiches de traitement dans le registre communicable, considère qu’une analyse d’impact portant sur un traitement mené par ou pour un organisme visé par le code des relations entre le public et l’administration est un document administratif, et demande d’occulter les mentions touchant à la sécurité des systèmes et à la vie privée, sauf si l’occultation prive la communication d’intérêt.

    Portée : Traitements de la CNAF en matière de lutte contre la fraude, documents non transmis à la CNIL dans le cadre de formalités.

    Réserve : Dossier particulier, réserves des articles L311-5 et L311-6 citées.

  • Fait lu. La CADA considère que le nom des agents publics n’a en principe pas à être occulté, sauf dans un document établi par des agents des forces de l’ordre dans leurs missions, où sa communication porte par principe atteinte à la sécurité publique ou des personnes, principe étendu le 12 décembre 2024 aux agents de police municipale figurant dans une fiche de main courante ; elle considère aussi que, dans le dossier de la Caisse nationale des allocations familiales, les mentions portant atteinte à la recherche et à la prévention des infractions devaient aussi l’être.

    Portée : Conseil du 15 décembre 2022.

    Réserve : La CADA tient compte de la nature du document et du contexte : dans l’avis de 2025, elle n’a pas retenu l’occultation pour des documents généraux d’organisation d’un service de police municipale.

  • Fait lu. Dans son avis 202408609 du 13 février 2025, sur un registre de vidéoprotection demandé à une commune, la CADA estime les registres non transmis à la CNIL communicables sous réserve d’occulter les mentions relevant de la vie privée et de la sécurité des systèmes, et rappelle que les documents soumis à la CNIL lors des formalités préalables suivent un régime particulier hors de sa compétence.

    Portée : Commune de Chambly.

    Réserve : Avis consultatif, rendu en l’absence de réponse du maire.

  • Fait lu. Selon Service Public, l’administration doit communiquer le document dans le délai d’un mois suivant la réception de la demande, le silence vaut refus, le demandeur a deux mois pour saisir la CADA, et cette saisine est obligatoire avant un recours contentieux, sauf exceptions.

    Portée : Documents administratifs de l’État, des collectivités, des établissements publics et des organismes privés chargés d’une mission de service public.

    Réserve : Fiche vérifiée le 13 août 2026, code non lu sur Légifrance.

  • Fait lu. Selon Service Public, une administration peut communiquer un document en le mettant en ligne s’il est communicable à toute personne et anonymisé si nécessaire ; selon la CADA, une demande d’avis qui lui est adressée est irrecevable si le document fait déjà l’objet d’une diffusion publique.

    Portée : Accès aux documents administratifs.

    Réserve : Nous n’avons pas lu d’obligation de publier le registre lui-même.

  • Fait lu. Le modèle de registre de la CNIL comporte une rubrique de mesures de sécurité avec un type de mesure et une zone de précisions.

    Portée : Fichier ODS téléchargé le 5 novembre 2026.

    Réserve : Un organisme a pu modifier sa copie.

  • Déclaration de l’éditeur. La documentation de Madis annonce des sorties Word, Excel et PDF ; nous n’y avons pas trouvé de version occultée toute prête dans ce que nous avons lu le 5 novembre 2026.

    Portée : Documentation utilisateur.

    Réserve : Logiciel non essayé. Absence constatée dans la documentation lue.

  • Notre méthode. Le tri rubrique par rubrique et le test sur trois fiches sont une méthode proposée par cette page à partir des catégories de la CADA.

    Portée : Organismes publics.

    Réserve : Aucune autorité n’a validé ce tableau.

  • Fait lu. L’article 30 du RGPD prévoit, dans la mesure du possible, une description générale des mesures de sécurité dans le registre.

    Portée : Registre du responsable de traitement.

    Réserve : Texte reproduit par la CNIL.