Le registre des activités de traitement de données personnelles est un document très important de la mise en conformité au RGPD. Rendu obligatoire par l’article 30 du RGPD, ce document permet de consigner chacun des traitements réalisés par l’organisme concerné. Le registre permet également de documenter la conformité des traitements de données personnelles au RGPD, et donc de servir de preuve en cas de contrôle de la CNIL.
Le recensement des traitements
Le registre de traitement sert avant tout de document de recensement des traitements de données personnelles. Pour assurer ce recensement, le registre doit mentionner l’ensemble des traitements de données personnelles réalisés, les finalités qui en découlent et, selon celles-ci, les durées de conservation, les données concernées, les responsables et les bases légales.
Par exemple :
Le registre de traitement d’un ESSMS mentionne plusieurs traitements, dont la « gestion du dossier de la personne accompagnée ». Ce traitement se fait afin de répondre à plusieurs finalités, comme la gestion des demandes d’admission, l’adaptation du projet d’accompagnement ou encore le droit à l’image de la personne accompagnée. Ces finalités sont indiquées dans le traitement avec les durées de conservation associées, les responsables de celles-ci et la base légale pour chacune d’entre elle. Il peut s’agir de l’exécution du contrat conclu avec la personne accompagnée, ou l’intérêt légitime de l’organisme.
Le registre de traitement sert alors de documentation complète et à jour des traitements réalisés, accordant, par conséquent, une vue d’ensemble à l’ESSMS responsable et à son DPO sur les activités de traitement de l’organisme. Cette vue d’ensemble permet alors de mettre en évidence les écarts avec le RGPD.
La vérification de la conformité au RGPD
Le registre de traitement, dans le cadre du recensement, doit refléter la réalité des traitements de données personnelles que réalise l’ESSMS responsable du traitement. De ce fait, le registre permet de vérifier la conformité des traitements aux grands principes du RGPD. De ce fait, la mention des moyens de sécurité sur le registre permet d’évaluer les mesures existantes et leur suffisance. De plus, la mention des durées de conservation permet de vérifier si celles-ci sont bien raisonnables conformément au RGPD. Également, la description des données traitées permet de vérifier si celles-ci sont nécessaires au regard de la finalité concernée, et, par conséquent, de respecter le principe de minimisation.
Si le registre permet de mettre en lumière les écarts potentiels à la réglementation, il permet, dès lors, d’établir un plan d’action afin de remédier à ceux-ci, mais également de servir de preuve de votre conformité au RGPD en cas de contrôle de la CNIL.
