Registre des Activités de Traitement (Art. 30)
Le Registre des Activités de Traitement (Art. 30)
Le registre documente les caractéristiques des traitements (qui, quoi, pourquoi, où, combien de temps). C'est le socle de la responsabilité démontrable (accountability).
Le mythe de l'exemption
L'article 30.5 prévoit que les organisations de moins de 250 salariés sont exemptées de registre, sauf si le traitement présente un risque, s'il porte sur des données sensibles ou pénales, ou s'il n'est pas occasionnel (ex: paie, gestion clients). En pratique, l'exemption ne s'applique presque jamais.
Contenu obligatoire (Art. 30.1)
Identité du RT (et du DPO), finalités, catégories de personnes et de données, destinataires, transferts hors UE (avec garanties), durées de conservation, et description générale des mesures de sécurité.
Note pour les sous-traitants : L'article 30.2 impose aux sous-traitants de tenir un registre spécifique listant les catégories de traitements effectués pour le compte de chaque responsable du traitement.