Registre des données : votre obligation RGPD

Il y a quelques mois, un client entrepreneur m'a posé une question qui m'a marqué : "Je suis en micro-entreprise, est-ce que le RGPD me concerne vraiment ?" Il avait un site internet, une newsletter avec 400 abonnés, un formulaire de contact, et il stockait les coordonnées de ses clients dans un fichier Excel. La réponse était évidente : oui, le RGPD le concernait. Et il lui manquait un document essentiel, le registre des données.

Ce registre, c'est le premier document que la CNIL vous demandera en cas de contrôle. Et pourtant, la majorité des indépendants et des TPE n'en ont jamais entendu parler. Ou alors, ils pensent que c'est réservé aux grandes entreprises. C'est faux. Si vous collectez ne serait-ce qu'une adresse email, vous êtes concerné.

Dans cet article, je vous explique ce qu'est le registre des données, pourquoi il est obligatoire, comment le créer concrètement, et ce que vous risquez si vous ne l'avez pas.

Table des matières

• Qu'est-ce que le registre des données ?
• Qui est concerné par cette obligation ?
• Ce que votre registre doit contenir
• Comment créer votre registre pas à pas
• Les erreurs les plus fréquentes
• Les sanctions en cas d'absence de registre
• Registre des données et conformité globale
• L'histoire de Franck, artisan à Nantes
• Pour aller plus loin
• FAQ
• Conclusion

Qu'est-ce que le registre des données ?

Le registre des données, ou registre des activités de traitement, est un document prévu par l'article 30 du RGPD (Règlement Général sur la Protection des Données). Il recense toutes les opérations que vous effectuez sur des données personnelles dans le cadre de votre activité.

Concrètement, chaque fois que vous collectez un nom, un email, un numéro de téléphone, une adresse postale, ou toute information qui permet d'identifier directement ou indirectement une personne, vous effectuez un "traitement de données". Le registre est le document qui liste et décrit tous ces traitements.

Ce n'est pas un formulaire unique à remplir une seule fois. C'est un document vivant, que vous devez mettre à jour à chaque fois que vous ajoutez ou modifiez un traitement. Si vous lancez une newsletter, vous ajoutez une ligne. Si vous changez d'outil CRM, vous mettez à jour la fiche correspondante.

Dans ma pratique d'accompagnement, je constate que les indépendants sous-estiment le nombre de traitements qu'ils effectuent au quotidien. Quand on commence à lister, on réalise vite qu'il y en a bien plus qu'on ne le pensait.

Qui est concerné par cette obligation ?

La réponse courte : tout le monde, ou presque.

Le RGPD s'applique dès que vous traitez des données personnelles dans le cadre d'une activité professionnelle. Que vous soyez auto-entrepreneur, en SARL, en SAS, ou en profession libérale, vous êtes concerné.

Voici des exemples concrets de situations où le registre est obligatoire :

• Vous avez un site internet avec un formulaire de contact
• Vous envoyez une newsletter à vos clients ou prospects
• Vous stockez des coordonnées clients (même dans un simple tableur)
• Vous utilisez un outil de facturation qui contient des données personnelles
• Vous avez des salariés dont vous gérez les fiches de paie
• Vous utilisez des cookies de suivi sur votre site
• Vous faites de la prospection commerciale par email ou téléphone

Si vous cochez ne serait-ce qu'une de ces cases, le registre des données vous concerne. Et si vous n'êtes pas sûr de votre situation, vous pouvez tester votre conformité en 2 minutes avec le quiz que j'ai créé.

L'article 30 du RGPD prévoit une exemption pour les entreprises de moins de 250 salariés, mais uniquement pour les traitements occasionnels. En pratique, dès que vous avez un fichier client, une newsletter ou un site web, vos traitements sont considérés comme réguliers. L'exemption ne s'applique donc quasiment jamais.

Ce que votre registre doit contenir

Le registre n'est pas un document libre. Le RGPD impose des informations précises pour chaque traitement. Voici les éléments obligatoires :

Les coordonnées du responsable de traitement

C'est vous. Nom, prénom, adresse professionnelle, email de contact. Si vous avez désigné un DPO (Délégué à la Protection des Données), ses coordonnées doivent aussi apparaître. Pour la plupart des indépendants, un DPO n'est pas obligatoire, mais un référent RGPD en interne est recommandé.

La finalité de chaque traitement

Pourquoi collectez-vous ces données ? Chaque traitement doit avoir un objectif précis et légitime. Par exemple : "Gestion de la relation client", "Envoi de la newsletter mensuelle", "Établissement des factures", "Recrutement".

Attention : "Pour mon activité" n'est pas une finalité acceptable. Soyez précis. Un même outil peut servir plusieurs finalités distinctes, et chacune doit être documentée séparément.

Les catégories de personnes et de données

Qui est concerné (clients, prospects, salariés, fournisseurs) et quelles données vous collectez pour chaque catégorie. Par exemple : "Clients : nom, prénom, email, téléphone, adresse de facturation."

Les destinataires des données

À qui transmettez-vous ces données ? Votre comptable, votre hébergeur web, votre outil d'emailing, votre prestataire de paiement. Chaque sous-traitant qui accède aux données doit être mentionné.

C'est un point que beaucoup d'indépendants oublient. Si vous utilisez Mailchimp pour votre newsletter, Stripe pour vos paiements, et Google Analytics pour vos statistiques, ces trois prestataires sont des destinataires de données personnelles. Ils doivent figurer dans votre registre.

Les durées de conservation

Combien de temps gardez-vous chaque catégorie de données ? Le RGPD impose de ne pas conserver les données au-delà de ce qui est nécessaire. Par exemple : les données d'un prospect qui n'a pas donné suite peuvent être conservées 3 ans maximum. Les données de facturation doivent être conservées 10 ans (obligation comptable).

Les mesures de sécurité

Comment protégez-vous ces données ? Mot de passe, chiffrement, sauvegarde, contrôle d'accès. Pas besoin d'un système complexe, mais vous devez pouvoir montrer que vous avez pris des mesures raisonnables.

Comment créer votre registre pas à pas

Maintenant que vous savez ce qu'il doit contenir, passons à la pratique. Voici la méthode que je recommande à mes clients.

Étape 1 : lister tous vos traitements

Prenez une feuille blanche et posez-vous ces questions :

• Quels outils j'utilise pour gérer mes clients ? (CRM, tableur, carnet)
• Est-ce que j'envoie des emails commerciaux ou une newsletter ?
• Comment je facture ? (logiciel, Excel, papier)
• Est-ce que mon site collecte des données ? (formulaire, cookies, inscription)
• Est-ce que j'ai des salariés ou des sous-traitants dont je gère les données ?
• Est-ce que je fais de la prospection ?

Chaque réponse positive correspond à au moins un traitement à documenter.

Étape 2 : remplir une fiche par traitement

Pour chaque traitement identifié, créez une fiche avec toutes les informations listées dans la section précédente. La CNIL propose un modèle de registre au format tableur que vous pouvez utiliser comme base.

Voici un exemple concret pour un traitement courant :

Traitement : Envoi de la newsletter

• Finalité : Information commerciale et fidélisation
• Base légale : Consentement (inscription volontaire)
• Catégories de personnes : Prospects et clients inscrits
• Données collectées : Email, prénom (facultatif), date d'inscription
• Destinataires : Brevo (envoi des emails), hébergeur du site
• Durée de conservation : Jusqu'au désabonnement + 1 an
• Mesures de sécurité : Accès par mot de passe, double opt-in, lien de désinscription

Étape 3 : identifier les sous-traitants

Listez tous les prestataires qui ont accès aux données personnelles de vos clients. Pour chacun, vérifiez qu'un contrat de sous-traitance conforme au RGPD existe (article 28). La plupart des grands prestataires (Stripe, Brevo, Google) proposent un DPA (Data Processing Agreement) dans leurs conditions d'utilisation.

Étape 4 : mettre à jour régulièrement

Le registre n'est pas un document qu'on range dans un tiroir. Prévoyez une revue tous les 6 mois, ou à chaque changement significatif : nouvel outil, nouvelle activité, nouveau prestataire.

Les erreurs les plus fréquentes

En accompagnant des entrepreneurs sur leur conformité, je vois revenir les mêmes erreurs. En voici cinq que vous pouvez éviter dès maintenant.

Confondre registre et politique de confidentialité

Le registre est un document interne, destiné à la CNIL en cas de contrôle. La politique de confidentialité est un document public, affiché sur votre site pour informer vos visiteurs. Les deux sont obligatoires, mais ils n'ont pas le même rôle ni le même contenu.

Oublier les traitements "papier"

Le RGPD ne concerne pas que le numérique. Si vous conservez des fiches clients en version papier, des contrats dans un classeur, ou des CV reçus par courrier, ces traitements doivent aussi figurer dans votre registre.

Ne pas mentionner les sous-traitants

Votre hébergeur, votre outil d'emailing, votre solution de paiement : tous ces prestataires accèdent à des données personnelles en votre nom. Ne pas les mentionner dans le registre, c'est un manquement que la CNIL relève systématiquement.

Définir des durées de conservation floues

"Aussi longtemps que nécessaire" n'est pas une durée acceptable. Vous devez fixer des délais précis pour chaque type de données, en vous appuyant sur les obligations légales (10 ans pour la comptabilité, 3 ans pour la prospection) et sur le principe de minimisation du RGPD.

Créer le registre et ne jamais le mettre à jour

Un registre qui date de 2018 et n'a jamais été touché depuis n'a aucune valeur aux yeux de la CNIL. La date de dernière mise à jour est la première chose qu'un contrôleur vérifie.

Les sanctions en cas d'absence de registre

La CNIL ne se contente pas d'envoyer des courriers de rappel. Les sanctions sont réelles, y compris pour les petites structures.

En théorie, l'absence de registre des traitements peut entraîner une amende allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83 du RGPD). En pratique, les amendes pour les TPE et indépendants sont plus mesurées, mais elles existent.

En 2023, la CNIL a prononcé 42 sanctions, dont plusieurs concernaient des entreprises de moins de 50 salariés. Les montants allaient de quelques milliers à plusieurs centaines de milliers d'euros. Et au-delà de l'amende financière, une mise en demeure publique de la CNIL peut sérieusement affecter votre réputation.

Le risque le plus immédiat n'est pas forcément le contrôle de la CNIL. C'est la plainte d'un client mécontent qui exerce son droit d'accès ou de suppression. Si vous ne pouvez pas lui dire quelles données vous détenez sur lui, où elles sont stockées, et combien de temps vous les conservez, vous êtes en infraction. Et cette plainte déclenche souvent un contrôle.

Pour évaluer votre niveau de risque actuel, je vous recommande de faire le quiz conformité : en 2 minutes, vous obtenez un score et des recommandations personnalisées.

Registre des données et conformité globale

Le registre des données n'est qu'une pièce du puzzle. La conformité RGPD repose sur un ensemble de documents et de pratiques complémentaires.

Voici les documents essentiels pour être en règle :

• Le registre des traitements : ce que nous venons de voir
• La politique de confidentialité : le document public affiché sur votre site, qui informe vos visiteurs de la façon dont vous traitez leurs données
• Les mentions légales : obligatoires sur tout site internet professionnel (identité, hébergeur, responsable de publication)
• Les CGV : vos conditions commerciales, incluant les clauses liées aux données personnelles
• Les CGU : les règles d'utilisation de votre site ou service
• Le bandeau cookies : pour recueillir le consentement avant tout dépôt de cookies non essentiels

Si vous êtes indépendant ou en TPE et que tout cela vous semble complexe, c'est normal. C'est pour cela que j'ai créé le Pack Conformité à 249 euros : quatre documents rédigés sur-mesure pour votre activité (CGV, mentions légales, CGU, politique RGPD), avec une relecture incluse. Vous me donnez les informations sur votre activité, je rédige tout, on ajuste ensemble, et vous publiez.

Pour le registre des traitements spécifiquement, je vous accompagne dans sa création lors de l'échange qui précède la rédaction. C'est un document technique, mais avec les bonnes questions posées en amont, il se construit naturellement.

L'histoire de Franck, artisan à Nantes

Franck est menuisier à Nantes. Il a lancé son site internet en 2024 pour montrer ses réalisations et recevoir des demandes de devis. Un formulaire de contact, une page Facebook, un fichier Excel avec les coordonnées de ses clients. Rien d'extraordinaire.

Quand il m'a contacté, c'était parce qu'un de ses clients avait demandé la suppression de ses données personnelles par email. Franck n'avait aucune idée de ce qu'il devait faire. Il ne savait même pas quelles données il détenait sur ce client, ni où elles étaient stockées.

On a commencé par dresser l'inventaire. Son formulaire de contact collectait nom, email, téléphone et le détail du projet. Son fichier Excel contenait les mêmes informations, plus les adresses de chantier et les montants facturés. Sa page Facebook recevait des messages privés qu'il n'avait jamais supprimés. Et son outil de facturation stockait les coordonnées complètes de chaque client.

Au total, quatre traitements de données à documenter. On les a formalisés dans un registre clair, avec les durées de conservation et les mesures de sécurité adaptées à sa taille. On a répondu au client qui demandait la suppression de ses données, dans les délais légaux.

Franck m'a dit ensuite : "Je pensais que le RGPD, c'était un truc de grand groupe. En fait, ça m'a permis de mettre de l'ordre dans mes fichiers." Et c'est souvent comme ça que ça se passe. Le registre n'est pas juste une contrainte administrative. C'est un outil de pilotage qui vous oblige à savoir ce que vous faites de vos données.

Pour aller plus loin

• Coaching financier micro-entreprise : le guide
• Business plan auto-entrepreneur : le guide financier
• Charges micro-entrepreneur : calcul complet 2026
• Services financiers en ligne : droits et arnaques
• Rétractation achat en ligne : vos droits en 2026

FAQ

Le registre des données est-il obligatoire pour un auto-entrepreneur ?

Oui. Dès que vous collectez des données personnelles dans le cadre de votre activité (fichier clients, formulaire de contact, newsletter), le registre des traitements est obligatoire. L'exemption pour les entreprises de moins de 250 salariés ne s'applique qu'aux traitements vraiment occasionnels, ce qui exclut la quasi-totalité des cas en pratique.

Quelle est la différence entre registre des données et politique de confidentialité ?

Le registre des données est un document interne que vous tenez à disposition de la CNIL en cas de contrôle. La politique de confidentialité est un document public, affiché sur votre site internet, qui informe vos visiteurs de vos pratiques en matière de données personnelles. Les deux sont obligatoires et se complètent, mais ils ne s'adressent pas au même public.

Combien de temps faut-il pour créer un registre des traitements ?

Pour un indépendant ou une TPE avec une activité standard (site internet, newsletter, facturation), comptez entre 2 et 4 heures pour un registre complet. Le plus long n'est pas la rédaction, c'est l'inventaire initial : lister tous les outils, tous les fichiers, tous les flux de données. Si vous vous faites accompagner, ce travail est considérablement simplifié.

Que risque-t-on si on n'a pas de registre RGPD ?

L'absence de registre peut entraîner une amende de la CNIL allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires. En pratique, les sanctions pour les indépendants sont plus modérées, mais la CNIL peut aussi vous mettre en demeure publiquement, ce qui nuit à votre image. Le risque le plus courant reste la plainte d'un client qui exerce ses droits sur ses données personnelles.

Conclusion

Le registre des données n'est pas un document réservé aux grandes entreprises. C'est une obligation qui concerne tout professionnel qui collecte des données personnelles, y compris les auto-entrepreneurs et les TPE. Le créer prend quelques heures, et le maintenir à jour demande un minimum d'attention régulière.

Ce que j'observe dans ma pratique, c'est que les entrepreneurs qui prennent le temps de structurer leur conformité y gagnent aussi en organisation. Savoir quelles données vous collectez, pourquoi, et pour combien de temps, c'est aussi savoir piloter votre activité avec rigueur.

Si vous ne savez pas par où commencer, faites le premier pas : testez votre conformité en 2 minutes avec le quiz gratuit. Vous verrez immédiatement ce qui vous manque et ce qui est déjà en place.

Et si vous souhaitez aller plus loin, je vous propose un rendez-vous offert de 15 minutes pour faire le point sur votre situation. On regarde ensemble vos obligations, vos manques, et comment les combler. Pas de jargon, pas de jugement, juste des réponses claires à vos questions.