Qui doit mettre à jour le registre dans votre organisation ?
Pour qui : Vous êtes DPO ou référent et vous tenez seul un registre qui se périme. Vous apprenez les changements par hasard, parfois après coup, et votre direction croit que le sujet est réglé puisque vous êtes là.
Le RGPD charge l’organisme de tenir le registre, sans dire qui le fait en interne. Notre réponse : un propriétaire par traitement dans le métier, qui signale les changements et relit sa fiche ; un référent, DPO ou autre, qui consolide ; une revue à date fixe.
La CNIL admet qu’une personne soit spécifiquement chargée de la tenue, et qu’il s’agisse du DPO. Cette tenue ne décharge ni la direction, ni les services : une fiche à jour suppose que quelqu’un dans le métier parle. Dans une très petite structure, une seule personne suffit.
Notre avis
Donnez à chaque traitement un propriétaire dans le métier, faites consolider par un référent et fixez une revue à date. Le registre se périme quand personne n’est chargé de signaler les changements, quel que soit le support.
Pourquoi
- L’article 30 charge le responsable du traitement. Le document de référence sur les DPO précise qu’une tenue confiée au DPO reste une décision d’organisation.
- La CNIL demande de reporter tout changement : nouvelle donnée, durée allongée, nouveau destinataire. Seul le service concerné le voit naître.
- Sans propriétaire, un logiciel enverra ses rappels à la personne qui ne sait rien du changement.
Ce qui change le choix
Une seule personne connaît tous les traitements : gardez-la seule et notez-le. Propriétaires nommés mais relances qui se perdent d’un trimestre à l’autre : là, un outil commence à servir.
L’ordre à suivre
- Très petite structure : une seule personne, sans circuit.
- Dès que plusieurs services traitent des données : propriétaires dans les métiers, référent qui consolide.
- Les relances se perdent malgré ce circuit : comparez un outil pour la relance.
Le DPO peut tenir le registre sans en porter l’obligation
Le texte du RGPD vise le responsable du traitement et le sous-traitant. Les lignes directrices européennes sur les DPO le disent explicitement : c’est l’organisme, et non le DPO, qui doit tenir le registre. Rien n’interdit de lui en confier la tâche. Elles relèvent aussi que les DPO construisent en pratique leur inventaire à partir des informations fournies par les services.
Utilisez ce point pour votre note à la direction : confier la plume au DPO ne dispense personne de lui transmettre l’information.
Trois rôles à écrire noir sur blanc
Le propriétaire est nommé par sa fonction et son nom : le nom permet de lui écrire, la fonction de retrouver son remplaçant après un départ.
| Rôle | Qui | Ce qu’il fait | Ce qu’il ne fait pas |
|---|---|---|---|
| Propriétaire de la fiche | Une personne du service qui décide du traitement, par exemple la responsable paie pour la paie | Signale tout changement avant sa mise en œuvre, relit sa fiche à la revue | Décider seul du cadre juridique |
| Référent | Le DPO ou la personne chargée du registre | Vérifie, met en forme, relance, garde les versions | Deviner ce qui se passe dans les services |
| Direction | Une personne désignée | Tranche les blocages, reçoit l’état des retards | Tenir les fiches |
Ce qui déclenche une mise à jour, et le rendez-vous qui rattrape le reste
Les exemples de changement donnés par la CNIL fixent le minimum : nouvelle donnée collectée, durée de conservation allongée, nouveau destinataire. Ajoutez-y les moments où ces changements se décident chez vous : achat d’un logiciel, nouveau prestataire, projet d’équipe, signature d’un contrat. Demandez aux achats et à l’informatique de vous prévenir à ces étapes.
La revue rattrape ce qui passe à travers. Exemple fictif : avec 24 fiches et 4 propriétaires, relire 6 fiches par trimestre couvre tout le registre en un an. Le rythme est le nôtre, aucun texte n’en fixe un.
Quand le circuit fonctionne, à quoi sert encore un logiciel ?
Il garde les relances, l’historique et l’état de chaque fiche, et donne à chacun un accès limité à ses propres lignes. Il n’apprendra pas seul qu’un service a changé d’outil, sauf intégration déjà en place. Faites donc tourner le circuit un trimestre dans votre fichier : si les propriétaires répondent et que seule la relance vous pèse, comparez. Si personne ne répond, un logiciel multipliera des rappels sans effet, et le sujet revient à la direction.
Limites de cette page
Ces rôles et ce rythme sont un avis d’organisation, sans source qui les impose. Dans un groupe, le circuit doit aussi répondre à la question de l’entité responsable de chaque traitement. Aucun logiciel n’a été essayé pour cette page.
Prochaine action
Nommez dès cette semaine un propriétaire pour vos cinq traitements principaux, envoyez-lui sa fiche et fixez la date de la première revue. Si vous êtes seul à tout connaître dans une petite structure, notez simplement que vous tenez ce rôle.
Preuves et sources
Lu le 5 novembre 2026 : l’article 30 du RGPD dans le texte publié par la CNIL, la page CNIL sur le registre, datée du 13 avril 2018, et les lignes directrices européennes sur les DPO (WP243 rév.01, adoptées le 13 décembre 2016 et révisées le 5 avril 2017).
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 30 du RGPD met la tenue du registre à la charge du responsable du traitement et du sous-traitant.
Portée : Article 30, paragraphes 1 et 2.
Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Les lignes directrices WP243 rév.01 précisent que l’obligation de tenir le registre pèse sur le responsable du traitement ou le sous-traitant et non sur le DPO, que rien n’empêche de confier cette tâche au DPO, et que les DPO construisent en pratique des inventaires à partir d’informations fournies par les services.
Portée : Section 4.5 et question 13 de WP243 rév.01.
Réserve : Lignes directrices, sans valeur de loi.
- G29 (archives Commission) : Guidelines on Data Protection Officers ('DPOs'), wp243rev.01 30 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, une personne de l’organisme peut être spécifiquement chargée de la tenue du registre, et le DPO interne ou externe peut l’être si l’organisme en a désigné un.
Portée : Page CNIL datée du 13 avril 2018.
Réserve : Possibilité, sans obligation.
- CNIL : Le registre des activités de traitement | CNIL 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, toute modification apportée aux conditions de mise en œuvre d’un traitement, comme une nouvelle donnée collectée, une durée de conservation allongée ou un nouveau destinataire, doit être portée au registre.
Portée : Organismes tenus au registre.
Réserve : Doctrine de la CNIL.
- CNIL : Le registre des activités de traitement | CNIL 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
Notre méthode. La répartition en propriétaire, référent et direction, ainsi que la revue trimestrielle d’un quart des fiches, sont des méthodes d’organisation proposées par cette page.
Portée : Exemple fictif : 24 fiches et 4 propriétaires, soit 24 divisé par 4 trimestres, 6 fiches par trimestre.
Réserve : Aucun texte lu ne fixe de fréquence chiffrée de revue.
Daté du 5 novembre 2026.
Notre calcul ou déduction. Un logiciel de registre n’apprend pas seul qu’un service a changé d’outil, sauf intégration déjà en place.
Portée : Déduction de la méthode de la CNIL fondée sur les entretiens avec les responsables opérationnels.
Réserve : Aucun logiciel n’a été essayé pour cette page.
- CNIL : Le registre des activités de traitement | CNIL 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.