Que faire si la CNIL vous demande votre registre ?
Pour qui : Vous imaginez recevoir une demande de la CNIL, ou votre direction vous pose la question. Vous voulez savoir ce qu’il faudrait sortir, sous quelle forme, et si votre fichier tiendrait le choc.
Transmettez la version en vigueur de votre registre, sous une forme lisible, datée et sans retouche. L’article 30 vous oblige à le mettre à la disposition de la CNIL lorsqu’elle le demande. Le format reste libre : un fichier bien tenu répond à cette obligation.
Préparez-vous avant que la question ne se pose. Le contrôle que nous proposons : sortir le registre à jour en moins d’une heure, avec ses annexes. Ce repère vient de nous, aucun texte ne fixe de durée. Il sert à voir ce qui coince pendant qu’il est encore temps de le corriger.
Notre avis
Un fichier propre suffit. Faites l’exercice : sortez votre registre à jour en moins d’une heure, avec sa date, et notez ce qui vous a ralenti. Après une demande, figez la version envoyée et portez les corrections dans une nouvelle version datée.
Pourquoi
- L’article 30 exige un registre écrit, y compris électronique, mis à disposition de l’autorité sur demande. Il ne cite aucun logiciel.
- La CNIL présente quatre formes de contrôle et demande les documents utiles : le registre ouvre le dossier sans le clore.
- La CNIL range dans l’entrave la communication d’informations non conformes au contenu tel qu’il était au moment de la demande, et la présentation d’un contenu non directement accessible.
Ce qui change le choix
Si votre exercice bute sur plusieurs copies concurrentes, réparez le fichier d’abord. Si plusieurs entités ou un grand nombre de fiches empêchent de produire un document cohérent, testez l’export d’un logiciel sur vos données.
L’ordre à suivre
- Exercice à blanc avec votre fichier actuel.
- Corrigez ce que l’exercice révèle : version, emplacement, annexes.
- Comparez un outil seulement si l’export reste impossible à produire proprement.
Comment la demande peut arriver
La CNIL décrit quatre formes de contrôle : sur place, sur audition, en ligne et sur pièces. Sur pièces, ses agents envoient un courrier et un questionnaire, et l’organisme répond en joignant les documents utiles. Sur audition, la convocation parvient au moins 8 jours avant. Sur place, la décision est notifiée au début du contrôle : vous n’aurez pas le temps de préparer quoi que ce soit ce jour-là.
Le registre ne sera sans doute pas seul. La délégation peut demander tout document nécessaire à sa mission, dont des contrats, des formulaires ou des bases de données. La suite la plus simple reste une clôture par courrier si les constats n’appellent pas d’observation. Un registre impeccable ne protège pas d’un manquement sur un traitement réel : il décrit vos traitements et ne les corrige pas.
L’exercice à blanc, chronomètre en main
- Demandez à quelqu’un d’autre de le lancer sans prévenir. Le référent absent, le remplaçant doit trouver le fichier. Une procédure connue d’une seule personne s’arrête avec elle.
- Sortez la liste des traitements et toutes les fiches, en un seul document. Si le fichier a plusieurs onglets, vérifiez que l’export les contient tous.
- Vérifiez la date et la version. Un seul exemplaire doit faire foi. S’il en existe plusieurs, tranchez avant de continuer.
- Ouvrez le résultat sans votre logiciel habituel. Il doit se lire directement. Pas de colonnes coupées, de cellules masquées ou de liens vers un dossier interne.
- Ajoutez les pièces rattachées à trois fiches au hasard. Contrat de sous-traitance, mention d’information, analyse d’impact si elle existe. La CNIL suggère, parmi ses bonnes pratiques, d’y recenser les contrats de sous-traitance.
- Notez le temps passé et ce qui a manqué. Corrigez le manque, puis refaites l’exercice l’année suivante.
Le jour où la demande est réelle
Pour un contrôle sur pièces ou une audition, répondez dans le délai indiqué dans le courrier. Lors d’un contrôle sur place, la délégation peut demander les documents sur le moment et en prendre copie : remettez la version en vigueur telle qu’elle est. Aucun délai général n’apparaît à l’article 30. Prévenez la direction et, si vous en avez un, le DPO.
Envoyez le registre tel qu’il est au moment de la demande. Si vous découvrez une erreur, gardez cette version intacte et créez-en une nouvelle, datée, avec la correction. Vous pouvez signaler la différence dans votre réponse. Notre lecture repose sur la page de la CNIL : l’entrave vise notamment le refus de communiquer, la dissimulation ou la destruction de documents utiles, la communication d’informations non conformes au contenu tel qu’il était lors de la demande, et un contenu non directement accessible. Le code pénal punit l’entrave d’un an d’emprisonnement et de 15 000 euros d’amende, selon la même page. Ce rappel sert à fixer le geste : aucune retouche silencieuse.
En cas de contrôle réel, faites-vous conseiller : la convocation à une audition rappelle d’ailleurs le droit d’être assisté.
Ce qui diffère avec ou sans logiciel
| Point à tenir | Dans un fichier | Avec un logiciel |
|---|---|---|
| Version datée | Copie en lecture seule, nommée avec sa date | Export daté : demandez à le voir sur vos fiches |
| Annexes | Dossier rangé par fiche, liens vérifiés | Pièces jointes : vérifiez qu’elles sortent avec l’export |
| Remplaçant | Emplacement et accès écrits quelque part | Compte de secours : vérifiez ses droits avant d’en avoir besoin |
Limites de cette page
La page de la CNIL sur les contrôles porte la date de 2016 tout en citant des décisions de 2026 ; le code pénal et la loi n’ont pas été relus en source propre, Légifrance n’ayant pas répondu lors de nos lectures. Si le contrôle est réel, cette page ne remplace pas un conseil.
Prochaine action
Faites l’exercice cette semaine : demandez à une autre personne de sortir le registre à jour et trois fiches avec leurs pièces, chronométrez, puis corrigez ce qui a coincé. Si un contrôle est déjà annoncé, gardez votre version intacte et parlez d’abord à votre conseil.
Preuves et sources
Lu le 5 novembre 2026 : les articles 30 et 31 du RGPD dans le texte publié par la CNIL, la page CNIL sur le registre datée du 13 avril 2018 et sa page « Comment se passe un contrôle de la CNIL ? », datée du 5 janvier 2016 et citant des décisions de 2026.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 30 du RGPD prévoit que le registre se présente sous une forme écrite, y compris électronique, et que le responsable du traitement ou le sous-traitant le met à la disposition de l’autorité de contrôle sur demande.
Portée : Article 30, paragraphes 3 et 4.
Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis. Aucun délai ni format n’y figure.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. L’article 31 du RGPD impose au responsable du traitement et au sous-traitant de coopérer avec l’autorité de contrôle à la demande de celle-ci.
Portée : Article 31.
Réserve : Texte reproduit par la CNIL.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. La CNIL décrit quatre formes de contrôle : sur place, sur audition, en ligne et sur pièces ; le contrôle sur pièces passe par un courrier et un questionnaire auxquels l’organisme répond en joignant tout document utile.
Portée : Organismes contrôlés par la CNIL.
Réserve : Page datée du 5 janvier 2016, citant des décisions de 2026.
- CNIL : Comment se passe un contrôle de la CNIL ? 5 janvier 2016, page citant des habilitations de 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, la convocation à une audition doit parvenir au moins 8 jours avant le contrôle et rappelle le droit d’être assisté d’un conseil ; lors d’un contrôle sur place, la décision est notifiée au début du contrôle au responsable des lieux.
Portée : Audition et contrôle sur place.
Réserve : Le procureur est par ailleurs informé 24 heures avant un contrôle sur place, ce qui ne vaut pas information de l’organisme.
- CNIL : Comment se passe un contrôle de la CNIL ? 5 janvier 2016, page citant des habilitations de 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, une délégation peut demander communication de tous documents nécessaires à sa mission, quel qu’en soit le support, dont des contrats, des formulaires, des dossiers papier et des bases de données.
Portée : Mission de contrôle.
Réserve : Sous réserve des secrets opposables décrits par la CNIL, comme les correspondances entre un avocat et son client.
- CNIL : Comment se passe un contrôle de la CNIL ? 5 janvier 2016, page citant des habilitations de 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL indique que l’article 226-22-2 du code pénal punit l’entrave à son action d’un an d’emprisonnement et de 15 000 euros d’amende, l’entrave comprenant le refus de communiquer, la dissimulation ou la destruction de documents utiles, la communication d’informations non conformes au contenu des enregistrements tel qu’il était au moment de la demande et la présentation d’un contenu sous une forme qui n’est pas directement accessible.
Portée : Contrôles de la CNIL.
Réserve : Code pénal non relu en source propre, Légifrance ayant répondu 403 à nos lectures du lot de droit.
- CNIL : Comment se passe un contrôle de la CNIL ? 5 janvier 2016, page citant des habilitations de 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, lorsque les constatations n’appellent pas d’observation particulière, la procédure de contrôle est clôturée par un courrier de sa présidence ; en cas de manquements peu significatifs, le courrier s’accompagne d’observations.
Portée : Suites d’un contrôle.
Réserve : D’autres suites sont possibles, dont la mise en demeure et la sanction.
- CNIL : Comment se passe un contrôle de la CNIL ? 5 janvier 2016, page citant des habilitations de 2026. Lu le 5 novembre 2026. Document d’origine.
Notre méthode. L’exercice en moins d’une heure, le gel de la version envoyée et la création d’une version corrigée distincte sont des méthodes proposées par cette page.
Portée : Préparation et réponse à une demande de la CNIL.
Réserve : Aucun texte lu ne fixe de durée de production. Le gel de la version est une déduction prudente de la description de l’entrave.
- CNIL : Comment se passe un contrôle de la CNIL ? 5 janvier 2016, page citant des habilitations de 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Parmi ses bonnes pratiques, la CNIL indique que l’on peut aussi recenser dans le registre les documents liés aux transferts hors de l’Union et aux sous-traitants, comme les contrats de sous-traitance.
Portée : Page CNIL sur le registre datée du 13 avril 2018, rubrique « Bonnes pratiques ».
Réserve : Suggestion, sans obligation.
- CNIL : Le registre des activités de traitement | CNIL 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.