Registre RGPD : un exemple rempli à copier pour ta PME

Le registre RGPD n’est pas un document décoratif que l’on remplit une fois pour cocher une case. Pour une PME, c’est le plan de circulation des données personnelles : qui collecte quoi, pourquoi, dans quel outil, pendant combien de temps et avec quels prestataires. Sans ce repère, les fichiers s’accumulent vite entre le CRM commercial, les CV reçus par email, les factures, les formulaires du site, les logiciels de paie ou les outils de newsletter.

Le problème est rarement juridique au départ. Il est opérationnel. Une entreprise ajoute un formulaire, change d’outil de prospection, branche une solution de signature électronique ou confie sa paie à un cabinet externe. Puis personne ne met à jour la documentation. Quelques mois plus tard, un client B2B demande un questionnaire de conformité, un salarié sollicite l’accès à son dossier ou un prospect réclame la suppression de ses données. C’est là que le registre devient utile. Il évite de chercher dans l’urgence et transforme une obligation RGPD en méthode de gestion claire.

En bref

• Une ligne correspond à une finalité de traitement, pas simplement à un logiciel utilisé.
• Le registre doit documenter les données, les personnes concernées, la base légale, les destinataires, la conservation et la sécurité.
• Une PME peut commencer par ses dix traitements les plus importants, puis compléter progressivement.
• Les outils de prospection, les prestataires de paie et les services cloud doivent apparaître lorsqu’ils accèdent aux données.
• Un registre à jour facilite les réponses aux clients, aux personnes concernées et à la CNIL.

Registre RGPD pour PME : à quoi sert réellement ce document

Le registre des activités de traitement est prévu par l’article 30 du RGPD. Derrière cette formule administrative, il y a une réalité simple : une PME doit pouvoir expliquer comment elle utilise les données personnelles qui circulent dans son activité. Cela concerne les clients, prospects, salariés, candidats, fournisseurs, visiteurs du site et parfois les utilisateurs d’une application.

Une donnée personnelle ne se limite pas à un nom et une adresse email. Un numéro de téléphone, une adresse IP, une photo, une plaque d’immatriculation, un identifiant client, un historique d’achat ou un commentaire dans un ticket support peuvent aussi être concernés. Dès lors que l’entreprise collecte, consulte, organise, stocke, modifie ou transmet ces informations, elle réalise un traitement.

Le registre permet donc de passer d’une vision floue à une cartographie exploitable. Il répond à des questions très concrètes. Qui peut consulter les données des prospects ? Pourquoi les CV sont-ils conservés ? Quel prestataire héberge la newsletter ? Quel délai s’applique aux données de facturation ? Que se passe-t-il lorsqu’un ancien client demande l’effacement de certaines informations ?

Le fil conducteur : le cas de la PME Atelier Nova

Pour rendre le sujet concret, prenons Atelier Nova, une PME fictive de douze personnes qui vend du mobilier professionnel et assure aussi un service d’installation. L’entreprise utilise un CRM pour les commerciaux, un logiciel de facturation, une boîte email partagée pour le support, un outil de newsletter, un prestataire paie et plusieurs tableurs internes.

Au départ, sa direction pense n’avoir qu’un seul traitement : « gestion des clients ». C’est faux. Derrière cette expression se cachent plusieurs finalités distinctes. La prospection commerciale n’a pas les mêmes règles que la facturation. Le suivi des demandes SAV n’a pas la même durée de conservation que l’envoi d’une newsletter. Les candidatures reçues par les RH ne se gèrent pas comme les données des fournisseurs.

Le premier réflexe utile consiste donc à raisonner par objectif. Le registre ne doit pas reproduire l’organigramme de vos logiciels. Un CRM peut contenir à la fois des prospects, des clients, des réclamations et des contrats. Un outil est un support ; un traitement est une action menée pour une finalité définie.

Pour Atelier Nova, les premiers traitements à inscrire sont les suivants :

• Prospection de nouveaux clients professionnels.
• Gestion des devis, commandes et contrats.
• Facturation et suivi des impayés.
• Gestion du support et du service après-vente.
• Envoi de campagnes email et de contenus commerciaux.
• Gestion des candidatures et des dossiers salariés.
• Gestion de la paie et des obligations sociales.
• Sécurité informatique, habilitations et journaux de connexion.
• Gestion des fournisseurs et contacts partenaires.
• Formulaires du site internet et statistiques de fréquentation.

Ce travail peut sembler lourd. Pourtant, il réduit surtout les zones grises. Quand un commercial exporte un fichier de contacts pour une campagne, le dirigeant sait désormais quelle finalité est concernée, qui doit avoir accès au fichier et quelle règle de conservation suivre. C’est une protection pour la personne concernée, mais aussi pour l’entreprise.

Le registre aide également à structurer les décisions d’achat. Avant de souscrire un nouvel outil no-code, un routeur email ou une automatisation commerciale, il devient naturel de poser les bonnes questions : quelles données seront envoyées ? Chez quel prestataire ? Dans quel pays sont-elles hébergées ? Le service est-il réellement nécessaire ? Pour piloter cette étape sans multiplier les fichiers, une sélection d’outils no-code de gestion peut aider à distinguer l’outil utile du gadget qui ajoute du risque sans créer de valeur.

Un registre bien tenu ne ralentit pas l’entreprise : il évite de piloter ses données à l’aveugle.

Exemple de registre RGPD rempli : la fiche prospection à copier

La prospection est souvent le traitement le plus mal documenté dans une PME. C’est logique : elle évolue vite. Un commercial ajoute des contacts dans le CRM, une assistante importe une liste issue d’un salon, un dirigeant utilise LinkedIn, puis une campagne email est lancée depuis un outil externe. Pourtant, chaque étape laisse une trace et implique des données personnelles.

Pour être exploitable, la fiche ne doit pas employer des formules vagues comme « marketing » ou « CRM ». Elle doit décrire l’activité réelle. L’exemple ci-dessous correspond à Atelier Nova, qui contacte des responsables d’achat et dirigeants de petites entreprises afin de proposer ses prestations d’aménagement professionnel.

Modèle rempli pour la prospection commerciale B2B

Ce modèle n’est pas un copier-coller aveugle. Il doit être adapté à votre réalité. Si vous vendez à des particuliers, si vous achetez des bases de contacts, si vous faites du scoring comportemental ou si vous utilisez des automatisations complexes, la fiche doit le refléter. Le registre sert précisément à faire apparaître les différences plutôt qu’à les masquer.

La base légale mérite une attention particulière. En prospection B2B, l’intérêt légitime peut souvent être envisagé si le message est lié à la fonction professionnelle de la personne contactée et si un mécanisme d’opposition clair est proposé. Cela ne signifie pas que tout fichier trouvé en ligne peut être exploité sans réflexion. Une adresse générique, un contact issu d’un salon, un lead téléchargé ou une donnée récupérée sur un réseau social ne produisent pas automatiquement le même niveau de justification.

Le fichier source doit aussi être propre. Une PME qui maintient des listes imprécises, remplies de contacts obsolètes ou de doublons, gaspille du budget commercial et augmente son exposition RGPD. Un fichier de prospection Excel structuré permet de suivre la source, la date du dernier échange, l’opposition éventuelle et le statut de chaque contact. Ce sont des informations commerciales utiles avant d’être des formalités.

Atelier Nova inscrit également dans sa fiche une règle simple : tout contact qui demande à ne plus être sollicité est exclu immédiatement des campagnes futures. Cette action doit pouvoir être appliquée dans le CRM, le tableur commercial et l’outil d’emailing. Si ces systèmes ne se parlent pas, le risque n’est pas théorique : la personne peut recevoir une nouvelle campagne quelques semaines plus tard.

Une prospection rentable repose sur des données ciblées, justifiées et tenues à jour, pas sur le volume envoyé à l’aveugle.

Registre des traitements RGPD : les champs obligatoires à documenter

Un registre crédible ne se résume pas à une liste de logiciels. La CNIL attend une documentation compréhensible, à jour et cohérente avec les pratiques réelles de l’entreprise. Dans une PME, le bon niveau de détail est celui qui permet à une personne extérieure au service concerné de comprendre ce qui est fait, sans devoir deviner.

Le responsable du traitement est généralement l’entreprise elle-même, représentée par sa direction. Cela ne veut pas dire que le dirigeant doit remplir seul chaque ligne. Les métiers détiennent l’information. Les RH connaissent les dossiers salariés, le commerce maîtrise le CRM, l’informatique gère les accès, et la comptabilité suit les obligations de conservation. Le registre est un travail de coordination.

Les informations à ne pas laisser floues

Chaque traitement doit d’abord comporter une finalité précise. « Gestion administrative » n’est pas assez clair. « Établissement des factures, suivi des règlements et gestion des relances clients » est déjà exploitable. Une finalité détaillée aide ensuite à choisir la base légale, les données réellement nécessaires et une durée de conservation cohérente.

Les catégories de personnes concernées doivent être indiquées. Il peut s’agir de clients, prospects, salariés, candidats, fournisseurs, visiteurs du site ou utilisateurs d’un service. Ensuite viennent les catégories de données : état civil, coordonnées, informations bancaires, données de connexion, historique des échanges, informations relatives à la santé lorsque cela est réellement nécessaire et autorisé dans le cadre applicable.

La durée de conservation est un point où les approximations coûtent cher. Le fameux « trois ans » ne convient pas partout. Cette durée peut correspondre à certains contextes de prospection, mais elle ne s’applique pas mécaniquement aux factures, aux contrats, aux données RH ou aux logs techniques. Une durée défendable est une durée reliée à une obligation, à un besoin opérationnel ou à un délai de prescription identifiable.

Atelier Nova sépare ainsi la période d’utilisation active de la phase d’archivage. Les données commerciales nécessaires à une relation en cours restent dans le CRM. Les pièces de facturation suivent ensuite les obligations comptables et fiscales applicables. Les candidatures non retenues sont conservées selon une durée plus courte, sauf accord spécifique du candidat pour rester dans un vivier. Cette distinction évite de tout conserver « au cas où », un réflexe fréquent mais difficile à justifier.

Base légale, droits et cohérence documentaire

La base légale n’est pas une formule à choisir au hasard. L’exécution d’un contrat peut justifier le traitement nécessaire à une commande. Une obligation légale peut concerner certaines pièces comptables ou sociales. Le consentement est pertinent dans des situations précises, mais il doit être libre, spécifique, éclairé et pouvoir être retiré facilement. L’intérêt légitime nécessite une analyse sérieuse de l’équilibre entre les intérêts de l’entreprise et les droits des personnes.

Si votre site recueille un consentement pour une newsletter, la preuve de ce choix doit être conservée et la mention d’information doit correspondre au registre. Un formulaire de consentement RGPD bien conçu évite les cases précochées, les formulations ambiguës et les promesses mal tenues sur l’utilisation des données.

Il faut aussi renseigner les destinataires. Pensez large, sans être imprécis : salariés habilités, cabinet comptable, prestataire paie, hébergeur, CRM, outil d’emailing, service de signature électronique, assistance informatique, banque ou transporteur. Beaucoup de PME oublient les sous-traitants parce que les données ne sont pas visibles dans leur quotidien. Pourtant, un prestataire qui héberge ou accède à ces informations fait partie de la chaîne.

Enfin, les mesures de sécurité doivent être réelles. Écrire « données sécurisées » ne prouve rien. Indiquez des actions concrètes : gestion des habilitations, comptes nominatifs, authentification multifacteur, sauvegardes, chiffrement si nécessaire, journalisation, procédure de suppression, sensibilisation des équipes. Une mesure simple appliquée vaut mieux qu’une promesse technique jamais vérifiée.

Un registre solide raconte le fonctionnement réel de l’entreprise, avec ses outils, ses règles et ses responsabilités.

Exemple rempli de registre RGPD PME : RH, clients, facturation et support

Après la prospection, une PME doit documenter les traitements qui font tourner son activité au quotidien. Les données RH, la facturation et le support client sont souvent plus sensibles qu’un simple formulaire de contact. Elles peuvent contenir des informations financières, contractuelles, voire des éléments relatifs à la santé ou à la situation personnelle des salariés.

Le bon réflexe consiste à commencer par les flux qui ont un impact direct sur le cashflow, les obligations légales et la relation client. Il ne sert à rien de passer trois semaines sur un outil marginal si les accès au logiciel de paie, aux factures et au CRM ne sont pas encore clarifiés.

La fiche RH : un traitement à part entière

Chez Atelier Nova, la gestion des salariés et des candidatures est séparée en deux fiches. C’est une décision utile. La candidature répond à un objectif de recrutement. Le dossier salarié répond à l’exécution du contrat de travail, à la paie et aux obligations sociales. Les personnes concernées, les destinataires et les durées ne sont pas identiques.

La fiche « gestion des candidatures » contient par exemple les coordonnées, CV, lettre de motivation, notes d’entretien et décisions de recrutement. Les destinataires sont les personnes impliquées dans le recrutement. L’accès ne doit pas être ouvert à toute l’entreprise. Une boîte email générale où plusieurs personnes conservent des CV pendant des années est un mauvais fonctionnement, même dans une très petite structure.

La fiche « gestion administrative du personnel et paie » inclut des données plus sensibles : identité, coordonnées, contrat, rémunération, informations bancaires, absences, déclarations sociales et parfois justificatifs. Le cabinet comptable ou le prestataire paie doit être recensé comme sous-traitant ou destinataire selon son rôle réel. Les accès doivent être limités aux personnes qui en ont besoin.

La facturation ne justifie pas de tout garder sans limite

La gestion des commandes, contrats, factures et paiements repose en général sur l’exécution du contrat et sur des obligations légales. Elle implique les équipes commerciales, administratives et comptables. Les données pertinentes comprennent l’identité du contact, les coordonnées de l’entreprise, les éléments de commande, les échanges contractuels et les informations de règlement.

Une erreur classique consiste à conserver sans distinction tous les emails échangés avec un client dans des boîtes personnelles. Certaines pièces doivent effectivement être conservées conformément aux règles comptables ou fiscales. Mais l’intégralité des échanges commerciaux, des brouillons et des pièces jointes n’a pas toujours vocation à survivre indéfiniment dans tous les outils.

Atelier Nova formalise donc une règle : les documents contractuels et comptables sont archivés dans les emplacements dédiés ; les documents de travail temporaires sont supprimés selon une procédure interne. Cette séparation améliore aussi l’organisation. Quand un salarié part, les informations importantes restent dans les systèmes de l’entreprise et ne disparaissent pas avec sa messagerie.

Support client et demandes d’exercice des droits

Le support est souvent sous-estimé. Un ticket peut contenir une adresse, une photo, un numéro de commande, un échange tendu ou une information technique sur les locaux du client. Si Atelier Nova utilise une boîte partagée ou un outil de tickets, elle doit préciser la finalité : traiter les demandes, assurer le suivi et mesurer la qualité de réponse.

Le registre doit aussi aider à répondre à une demande d’accès, de rectification ou d’effacement. Qui reçoit la demande ? Comment l’identité est-elle vérifiée ? Quels outils doivent être interrogés ? Qui valide la réponse ? Sans procédure, les équipes fouillent dans les emails, le CRM et les dossiers partagés en espérant ne rien oublier.

Un registre devient alors un levier de gestion. Il réduit les erreurs, clarifie les responsabilités et sécurise les échanges avec les clients exigeants. Dans les appels d’offres ou les partenariats B2B, cette maturité peut faire la différence entre une PME qui inspire confiance et une autre qui improvise.

Créer est excitant ; gérer proprement les données, c’est ce qui rend l’activité durable.

Mettre à jour son registre RGPD et éviter les erreurs qui coûtent du temps

Un fichier rempli une fois puis oublié ne protège pas une PME. Le registre doit suivre les décisions de l’entreprise. Nouveau site, changement de CRM, arrivée d’un prestataire, lancement d’un chatbot, nouvelle politique commerciale, externalisation de la paie : chaque évolution peut modifier les données, les destinataires ou les mesures de sécurité.

Le piège consiste à considérer le registre comme un projet juridique isolé. Dans une PME, il doit plutôt devenir une étape légère de la gestion courante. Avant de signer un nouveau logiciel, une courte revue suffit souvent : quelles données entrent dans l’outil ? Qui y accède ? Quelle finalité justifie son utilisation ? Le fournisseur traite-t-il les informations pour votre compte ? Existe-t-il des transferts hors de l’Union européenne ?

Une méthode simple pour garder un registre vivant

Atelier Nova a mis en place une revue trimestrielle de quarante-cinq minutes. La direction, une personne de l’administratif et un référent commercial passent en revue les changements récents. L’objectif n’est pas de refaire tout le document. Il s’agit de vérifier les nouveaux flux, les comptes supprimés, les contrats prestataires mis à jour et les éventuelles demandes de personnes concernées.

Cette réunion est également déclenchée en cas d’événement précis. Un nouveau collaborateur reçoit-il un accès au CRM ? Un consultant externe intervient-il dans le support ? Une automatisation Instagram envoie-t-elle des informations vers un tableur ? L’entreprise doit évaluer l’impact. Les solutions de messagerie et d’automatisation peuvent accélérer l’acquisition, mais elles doivent rester cohérentes avec les règles internes. Avant de déployer ce type de dispositif, il est utile de comprendre les risques liés à un bot Instagram et à son automatisation.

Un tableur structuré peut suffire à une petite équipe, à condition d’être maîtrisé. Un modèle efficace comporte généralement un onglet principal pour les traitements, un tableau de bord pour les éléments manquants, un référentiel des bases légales, un suivi des droits, une partie dédiée aux analyses d’impact et un onglet de paramètres pour uniformiser les listes. L’intérêt n’est pas esthétique. Il évite que « service commercial », « commerce » et « équipe vente » désignent la même chose dans trois lignes différentes.

Les erreurs les plus fréquentes dans un registre RGPD

La première erreur est de faire une ligne « CRM » ou « site web ». Ces intitulés ne disent rien de la finalité. Il faut distinguer la gestion des demandes de contact, la prospection, le suivi client, les newsletters et les statistiques. Cette précision rend les durées et les bases légales beaucoup plus faciles à défendre.

La deuxième erreur est d’oublier les prestataires. Le logiciel de facturation est visible, mais le stockage cloud, le routeur d’emailing, l’outil de visioconférence, l’assistance informatique, la signature électronique ou le prestataire de paie peuvent aussi recevoir des données. Dressez la liste des fournisseurs qui « touchent » aux informations. Ensuite, rattachez-les aux activités concernées.

La troisième erreur est de recopier des durées génériques. Écrire « conservation illimitée » est rarement acceptable. Écrire « trois ans » partout est tout aussi fragile. Si la règle n’est pas encore décidée, mieux vaut inscrire « durée à définir », nommer un responsable et fixer une échéance de décision. Une zone grise pilotée vaut mieux qu’une information fausse présentée comme définitive.

La quatrième erreur concerne l’analyse d’impact, souvent appelée PIA ou DPIA. Elle devient nécessaire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés : surveillance systématique, données sensibles, croisement massif de bases, personnes vulnérables, profilage important ou dispositif à grande échelle. Le registre doit permettre de repérer ces situations. Il ne remplace pas l’analyse d’impact, mais il déclenche la bonne question au bon moment.

Enfin, ne confondez pas conformité et accumulation de documents. Le but n’est pas de produire un classeur de cinquante pages que personne ne lit. Le but est de pouvoir montrer, en quelques minutes, quels traitements existent et comment ils sont maîtrisés. La conformité utile est celle qui améliore vos décisions, vos outils et la confiance de vos clients.

Une petite PME doit-elle obligatoirement tenir un registre RGPD ?

Dans la pratique, oui dans la plupart des cas. Les exceptions prévues par le RGPD sont limitées et deviennent difficiles à invoquer dès lors que les traitements sont réguliers, concernent des salariés, des clients, des prospects ou impliquent des risques particuliers.

Peut-on utiliser Excel pour tenir un registre des traitements ?

Oui. Un tableur est adapté à une TPE ou PME si les accès sont maîtrisés, si la structure est homogène et si le document est réellement mis à jour. Un outil spécialisé devient utile lorsque les traitements, les filiales ou les validations deviennent plus complexes.

Combien de traitements faut-il inscrire dans le registre ?

Il n’existe pas de nombre imposé. Commencez par les traitements les plus importants : RH, clients, facturation, prospection, newsletter, site web, fournisseurs, support et sécurité informatique. Ajoutez ensuite les autres flux au fil des revues.

Faut-il inscrire les sous-traitants dans le registre RGPD ?

Oui, lorsqu’ils traitent ou hébergent des données pour votre compte. Cela peut inclure un CRM, un outil d’emailing, un prestataire paie, un hébergeur, une solution de signature électronique ou un support informatique externe.

À quel moment faut-il mettre à jour le registre ?

À chaque changement significatif : nouvel outil, nouveau prestataire, nouvelle campagne, modification des données collectées, changement de durée de conservation ou incident de sécurité. Une revue périodique, par exemple trimestrielle, permet de ne pas laisser les écarts s’installer.