Comment organiser votre registre : par finalité ou par logiciel ?
Pour qui : Vous commencez votre registre et le point de départ le plus simple semble être la liste des applications fournie par l’informatique. Vous voulez savoir si une fiche par logiciel convient.
Organisez le registre par finalité, c’est-à-dire par objectif poursuivi : payer les salariés, gérer les contrats clients, recruter. La CNIL l’écrit sans détour : les traitements s’identifient par finalité et non par logiciel, car un même logiciel peut servir différents traitements et inversement.
Gardez pourtant votre liste d’applications, dans un onglet séparé. Elle ne remplace pas le registre, elle le contrôle : toute application qui n’est reliée à aucune fiche signale un traitement oublié ou un outil sans données personnelles à confirmer.
Notre avis
Écrivez une fiche par finalité et tenez à côté un tableau des applications, chacune reliée aux fiches qu’elle sert. N’achetez rien pour cela : deux onglets suffisent.
Pourquoi
- La CNIL demande d’identifier les traitements par finalité, car un logiciel peut servir plusieurs traitements, et un traitement plusieurs logiciels.
- Une fiche par logiciel mélange des personnes, des durées et des destinataires qui n’ont rien à voir entre eux.
- Le tableau des applications révèle les oublis : une application rattachée à aucune fiche est une question à poser.
Ce qui change le choix
Si vos fiches et vos applications se comptent par dizaines et que chaque changement de logiciel oblige à retoucher de nombreuses lignes à la main, un outil qui relie les deux vues commence à servir. Si vous êtes sous-traitant, partez des catégories d’activité et de vos clients.
L’ordre à suivre
- Responsable de traitement : une fiche par finalité.
- Inventaire informatique existant : gardez-le comme tableau de contrôle.
- Sous-traitant : une fiche par catégorie d’activité menée pour vos clients.
Trois lignes applicatives réécrites
Exemple fictif : une société de services de 40 salariés a reçu de son informatique une liste d’applications. Une ligne peut se scinder en plusieurs fiches, et deux lignes peuvent se réunir en une seule.
| Ligne de départ | Fiches à écrire | Ce qui change |
|---|---|---|
| Outil de relation client | Gérer les contrats clients ; envoyer la lettre commerciale | Une même application, deux objectifs : un refus de la lettre ne touche pas le contrat. |
| Logiciel de paie et tableur des primes | Établir la paie | Deux outils pour un seul objectif : une seule fiche les cite tous les deux. |
| Messagerie | Aucune fiche propre à ce stade : cherchez quelles fiches s’en servent | La messagerie transporte des données pour plusieurs objectifs. Si elle est surveillée ou analysée, cet objectif appelle sa fiche. |
Quand séparer deux fiches, quand les réunir
Aucun texte lu ne fixe le degré de détail d’une fiche. Le contrôle que nous proposons part des rubriques exigées par l’article 30 : séparez dès qu’une réponse diffère sur l’objectif, les personnes concernées, les destinataires ou la durée de conservation. Réunissez quand tout coïncide et qu’une seule personne dans le métier peut répondre pour l’ensemble.
Prenez le recrutement et la gestion du personnel. Ils passent parfois par le même logiciel de ressources humaines, mais ni les personnes, ni les durées ne sont les mêmes : deux fiches. Un candidat non retenu et un salarié ne relèvent pas du même objectif.
Évitez l’excès inverse. Une fiche par formulaire ou par écran produit un registre que personne ne relira.
Le tableau des applications qui sert de contrôle
Dans un second onglet, listez chaque application avec quatre colonnes : son nom, le service qui s’en sert, son prestataire, les fiches qu’elle alimente. Passez ensuite la liste en revue une fois par an, avec l’informatique.
- Application sans fiche. Demandez au service quel objectif elle sert. Écrivez la fiche, ou notez qu’elle ne traite aucune donnée personnelle.
- Fiche sans application. Vérifiez si le traitement existe encore ou s’il passe par du papier ou un fichier local.
- Nouvelle application. Son arrivée déclenche une relecture des fiches citées : destinataire, sous-traitant et transferts ont pu changer.
Le cas du sous-traitant, qui suit une autre logique
Si vous traitez des données pour le compte de clients, l’article 30 vous demande un autre registre. La CNIL le décrit par catégorie d’activité : hébergement, maintenance, envoi de messages. Chaque fiche nomme les clients concernés et les opérations menées pour eux. Vous ne définissez pas leurs finalités. Si vous avez les deux rôles, la CNIL recommande de tenir deux registres.
Un logiciel relie applications et fiches, il ne découpe pas les finalités
Un logiciel peut stocker une seule fois chaque application et la relier à plusieurs fiches. Un changement de prestataire se répercute alors partout, alors que deux onglets demandent une recherche dans le fichier. Il ne décide pas à votre place où finit une finalité : ce découpage reste un travail à faire avec les services. Lors d’une démonstration, demandez à l’éditeur de saisir votre ligne « outil de relation client » et de montrer comment elle se relie aux deux fiches.
Limites de cette page
Le découpage proposé est notre méthode : ni la CNIL ni le RGPD ne donnent de règle chiffrée. L’exemple est fictif et les bonnes fiches dépendent de ce que font réellement vos services. La page de la CNIL date de 2018 : relisez-la si elle est mise à jour.
Prochaine action
Prenez trois lignes de votre liste d’applications et réécrivez-les en objectifs, avec un verbe. Placez la liste d’origine dans un onglet séparé et reliez chaque application à ses fiches. Si vous êtes sous-traitant, repartez de vos catégories d’activité.
Preuves et sources
Lu le 5 novembre 2026 : la page CNIL sur le registre, datée du 13 avril 2018, et les articles 5 et 30 du RGPD dans le texte publié par la CNIL.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Déclaration de l’éditeur. Selon la CNIL, les traitements de données doivent être identifiés par finalité et non par logiciel utilisé, car un même logiciel peut être utilisé pour différents traitements et inversement.
Portée : Constitution du registre du responsable de traitement.
Réserve : Méthode de la CNIL, page datée du 13 avril 2018 ; ce n’est pas le texte de l’article 30.
- CNIL : Le registre des activités de traitement | CNIL 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 30 du RGPD demande au responsable du traitement de consigner notamment les finalités, les catégories de personnes et de données, les catégories de destinataires, les transferts et, dans la mesure du possible, les délais d’effacement.
Portée : Article 30, paragraphe 1.
Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon la CNIL, le registre du sous-traitant comporte une fiche par catégorie d’activité menée pour le compte de clients, avec le nom de chaque client et les opérations effectuées pour lui.
Portée : Article 30, paragraphe 2, et page CNIL.
Réserve : Exemples d’activités repris de la CNIL : hébergement, maintenance, envoi de messages de prospection.
- CNIL : Le registre des activités de traitement | CNIL 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. La CNIL recommande à un organisme qui agit à la fois comme responsable de traitement et comme sous-traitant de tenir deux registres.
Portée : Organismes à double rôle.
Réserve : Recommandation : le texte exige que les deux catégories d’activités soient distinguées selon la lecture de la CNIL.
- CNIL : Le registre des activités de traitement | CNIL 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
Notre méthode. Le test de découpage des fiches et la revue annuelle du tableau des applications sont des méthodes proposées par cette page, sans valeur légale.
Portée : Registre du responsable de traitement.
Réserve : À ajuster à la taille de l’organisation.
Daté du 5 novembre 2026.
Notre calcul ou déduction. Un logiciel peut relier une application à plusieurs fiches mais ne décide pas du découpage des finalités.
Portée : Déduction de la méthode de la CNIL, fondée sur les entretiens avec les responsables opérationnels.
Réserve : Aucun logiciel n’a été essayé pour cette page.
- CNIL : Le registre des activités de traitement | CNIL 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.