Une PME de moins de 250 salariés doit-elle tenir un registre ?

Oui, avec une dérogation limitée. Selon la CNIL, elle inscrit au moins les traitements non occasionnels (gestion du personnel, des clients et des fournisseurs…), ceux qui présentent un risque pour les personnes et ceux qui portent sur des données sensibles. En cas de doute, la CNIL recommande d'inscrire le traitement.

Faut-il envoyer le registre à la CNIL ?

Non. C'est un document interne, mais il doit pouvoir être communiqué à la CNIL si elle le demande.

Registre des traitements RGPD : prompts pour le préparer

Le registre des activités de traitement recense, fiche par fiche, ce que votre entreprise fait des données personnelles : pourquoi, sur qui, quelles données, avec qui elles sont partagées, combien de temps elles sont gardées. Tous les organismes qui traitent des données personnelles doivent en tenir un, rappelle la CNIL. Un assistant d'IA aide surtout à faire l'inventaire (il pose les questions auxquelles on ne pense pas) et à remplir les fiches dans un format régulier. Il ne sait rien de vos traitements réels et peut se tromper sur une base légale ou une durée : faites relire le registre par votre DPO, un juriste ou un avocat.

Ce que la CNIL demande dans chaque fiche

D'après la page de la CNIL sur le registre, une fiche de responsable de traitement contient :

Rubrique	Exemple de question
Nom et coordonnées de l'organisme (et du DPO, s'il y en a un)	Qui est responsable ?
Responsable conjoint éventuel	Partagez-vous ce traitement avec une autre structure ?
Finalités	À quoi servent ces données ?
Catégories de personnes concernées	Clients, prospects, salariés, candidats, visiteurs ?
Catégories de données	Identité, coordonnées, données bancaires, données sensibles ?
Catégories de destinataires, sous-traitants compris	Qui y a accès, en interne et chez vos prestataires ?
Transferts hors Union européenne et garanties	Un prestataire est-il établi hors de l'Union ?
Délais d'effacement ou critères	Combien de temps gardez-vous ces données ?
Mesures de sécurité, si possible	Qui a les accès, comment sont-ils protégés ?

La CNIL conseille d'identifier les traitements par finalité et non par logiciel, de remplir une fiche par activité et de mettre le registre à jour à chaque modification d'un traitement. Elle propose un modèle simplifié au format ODS pour les petites structures.

Étape 1 : l'inventaire

Tu es un consultant en protection des données qui aide une PME à préparer son registre des traitements. Tu poses des questions ; tu ne remplis rien à ma place.

Mon entreprise : [activité, effectif, nombre de sites, canaux de vente].

Tâche : interroge-moi pour lister mes activités de traitement, service par service : direction, ventes et relation client, marketing, ressources humaines et recrutement, comptabilité et fournisseurs, informatique et sécurité, locaux (accès, vidéosurveillance).
Pose une à trois questions à la fois et attends mes réponses.
À la fin, propose la liste des activités, nommées par finalité (exemple : « gestion des commandes clients » et non « logiciel de caisse »).

À vérifier dans la réponse :

Chaque activité est nommée par ce qu'elle sert à faire, pas par l'outil.
Les traitements discrets apparaissent : formulaire de contact du site, fichier des candidatures reçues, badges d'accès, carnet d'adresses du logiciel de messagerie.
L'assistant n'a pas ajouté d'activités que vous n'avez pas confirmées.

Étape 2 : une fiche par activité

Pour l'activité « [nom de l'activité] », remplis une fiche avec les rubriques de la CNIL ci-dessous, à partir de mes réponses uniquement :
[coller le tableau des rubriques]

Mes réponses : [finalité, personnes, données, destinataires et prestataires, durées, transferts, sécurité].

Pour la base légale, ne choisis pas : liste les bases possibles et la question à poser au juriste.
Pour les durées, écris ma pratique actuelle et ajoute « à valider ».
Marque [à compléter] toute rubrique sans réponse.

Étape 3 : le plan d'action

La CNIL recommande, une fois les fiches remplies, d'analyser les risques de chaque traitement et d'en tirer un plan d'action.

À partir des fiches ci-dessus, liste les points qui méritent une action : rubriques vides, durées non définies, prestataires sans contrat connu, données sensibles, transferts hors Union européenne.
Présente un tableau : point | fiche concernée | action proposée | qui s'en charge (fonction) | échéance.

Garder le registre vivant

Un registre écrit une fois puis oublié ne sert à rien. Chaque fois qu'un traitement change (nouvelle donnée collectée, durée allongée, nouveau destinataire, nouvel outil), reprenez la fiche :

Voici la fiche actuelle : [coller]. Ce qui change : [décrire].
Indique les rubriques à modifier et propose la nouvelle rédaction. Rappelle-moi si la politique de confidentialité doit aussi être mise à jour.

Le registre alimente aussi la politique de confidentialité et facilite la réponse à une demande de droit d'accès.

Le registre et l'assistant

Pour écrire une fiche, l'assistant a besoin de catégories (« clients particuliers », « coordonnées »), pas d'exemples réels. N'y collez jamais un extrait de base de données. La CNIL rappelle par ailleurs qu'un organisme peut encadrer par une charte interne ce que ses équipes saisissent dans un outil d'IA générative : si vous en adoptez une, elle a sa place dans les mesures de sécurité de vos fiches.