Hors collection - Droit des données à caractère personnel - 1re - 225

CHAPITRE 4 - LE

PRINCIPE DE

« RESPONSABILITÉ »

225

II - Le registre des activités de traitement
470. Sources. Les registres des activités de traitement ont été introduits par le RGPD179 et par la
directive (UE) 2016/680 en matière de police-justice180 comme instrument de conformité. Un registre
peut être défini comme « un livre constituant un instrument de preuve ou de publicité, parfois doté
d'une valeur constitutive, sur lequel on note des informations d'un type qui le caractérise et sert généralement à le dénommer et dont la tenue incombe [...] parfois au principe intéressé »181. Les registres
des activités de traitement portent sur les traitements de données à caractère personnel et doivent
être tenus par les responsables de traitement et les sous-traitants. Au-delà du champ d'application de
cet instrument de conformité (a), il faut s'intéresser à son contenu (b) et à ses fonctions (c).
a) Champ d'application
471. Principe. Un registre des activités de traitement de données à caractère personnel doit être tenu
par chaque responsable du traitement et, le cas échéant, par son représentant s'il ne dispose pas d'établissement dans l'Union182. Un sous-traitant doit tenir un registre de toutes les catégories d'activités de
traitement réalisées pour le compte du responsable du traitement183. Par ailleurs, le sous-traitant ayant
par ailleurs certainement la qualité de responsable du traitement pour les traitements dont il détermine lui-même la finalité et les moyens, par un exemple pour la gestion des ressources humaines ou
la comptabilité, il peut être tenu, en cette qualité, de tenir un registre de ses activités de traitement.
472. Exception. Le champ d'application personnel de l'obligation de tenir un registre des activités de
traitement ne s'étend pas aux entreprises ou aux organisations de moins de 250 employés184. Le critère
du nombre d'employés a pour mérite de fixer un seuil concernant la taille des entreprises et des organismes visés. L'objectif est de ne pas faire peser une charge trop lourde sur les micro-, petites et moyennes
entreprises,185 mais aussi sur les associations. Elles peuvent toutefois décider d'en tenir un, ce qui s'inscrit
dans la logique du principe de responsabilité. Néanmoins, il ne reflète pas nécessairement l'étendue des
traitements de données à caractère personnel d'où l'introduction d'exceptions à cette exception.
473. Exceptions à l'exception. Trois exceptions sont prévues, entraînant un retour au principe et
donc à l'obligation pour le responsable du traitement ou le sous-traitant de tenir un registre des activités de traitement :
- la première est celle dans laquelle le traitement est susceptible de comporter un risque pour les
droits et libertés des personnes concernées, ce qui peut être le cas en raison de la nature des
données traitées. L'analyse du risque opérée par le responsable du traitement ou le sous-traitant
permettra de déterminer les cas dans lesquels le traitement est susceptible de créer un tel risque.
Attention, un risque élevé n'est pas exigé, le seuil est donc plus faible que s'agissant de l'obligation de réaliser une analyse d'impact ;
- la deuxième vise le cas où les activités de traitement ne sont pas occasionnelles. Sont visés
notamment les traitements de données en matière de ressources humaines, de gestion de la paie,
de données clients ou de paiement. Inversement, un traitement ponctuel, par exemple pour une

179.
180.
181.
182.
183.
184.
185.

RGPD, art. 30.
Dir. (UE) 2016/680, art. 24.
Cornu G., Vocabulaire juridique, Association Henri Capitant, 9e éd., 2011, PUF, Quadrige, vº « Registre ».
RGPD, art. 30, § 1 ; L., 6 janv. 1978, art. 57, al. 2.
RGPD, art. 30, § 2.
RGPD, art. 30, § 5.
RGPD, cons. 13.

Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re