Registre RGPD : obligatoire même avec moins de 250 salariés

Non, avoir moins de 250 salariés ne dispense pas votre entreprise de tenir un registre RGPD. L’exception existe, mais elle tombe dès qu’un traitement de données est régulier, comporte un risque ou touche des données sensibles. Or la paie et la gestion du personnel sont des traitements réguliers. En pratique, toute PME qui emploie du personnel doit tenir un registre, au moins pour une partie de ses activités.

D’où vient l’idée qu’une PME est dispensée de registre ?

Elle vient d’une lecture incomplète de l’article 30 du RGPD (règlement général sur la protection des données). Son paragraphe 5 dit que l’obligation ne s’applique pas aux organisations de moins de 250 employés. Mais la même phrase continue par « sauf si ». Beaucoup de dirigeants se sont arrêtés avant.

Le registre des activités de traitement est un document interne. Il recense les usages que l’entreprise fait des données personnelles : pourquoi elle les utilise, sur qui, qui y a accès, combien de temps elle les garde. Un traitement, c’est une utilisation de données dans un but précis : verser les salaires, facturer les clients, filmer l’entrée du dépôt.

Quand une PME doit-elle tenir un registre ?

Une PME doit tenir un registre dès qu’un seul de ses traitements remplit l’une des trois conditions suivantes. Elles ne s’additionnent pas : une seule suffit. Le groupe des autorités européennes de protection des données l’a confirmé dès 2018.

• Le traitement n’est pas occasionnel. C’est le cas de tout ce qui revient chaque mois ou chaque semaine : paie, dossiers du personnel, fichier clients, facturation, fournisseurs. Les autorités européennes citent expressément la gestion des salariés comme exemple de traitement non occasionnel.
• Le traitement comporte un risque pour les personnes. Un simple risque suffit, il n’a pas besoin d’être élevé. Vidéosurveillance, géolocalisation des véhicules, badges d’accès ou contrôle des messageries entrent dans cette catégorie.
• Le traitement porte sur des données sensibles ou pénales. Les absences pour maladie sont des données de santé. Un extrait de casier judiciaire demandé à un candidat est une donnée pénale.

Une entreprise de huit salariés qui verse des salaires chaque mois remplit donc déjà la première condition.

Que couvre réellement l’exception des 250 salariés ?

L’exception ne dispense que des traitements à la fois ponctuels, sans risque et sans données sensibles. Pour tous les autres, le registre est obligatoire. Il peut alors être partiel : la PME n’y inscrit que les traitements qui remplissent l’une des trois conditions.

Prenons une société de services de 15 personnes. Elle doit inscrire la paie, la gestion du personnel, le recrutement, les clients, les fournisseurs et sa caméra à l’entrée. Elle peut laisser de côté un traitement réellement exceptionnel et anodin, par exemple la liste des participants à une journée portes ouvertes organisée une seule fois. Dans les faits, l’exception allège peu le travail.

Que doit contenir le registre ?

Le registre contient, pour chaque activité, sept informations fixées par l’article 30 du RGPD. Voici ce qu’elles donnent pour la paie.

Information obligatoire	Exemple pour la paie
Nom et coordonnées de l’entreprise (et du DPO, délégué à la protection des données, s’il y en a un)	Société, adresse, adresse électronique de contact
Finalités, c’est-à-dire les objectifs	Calculer et verser les salaires, effectuer les déclarations sociales et fiscales
Personnes concernées et catégories de données	Salariés : identité, matricule, IBAN, salaire, absences
Destinataires	Fiduciaire chargée de la paie, CCSS (Centre commun de la sécurité sociale), ACD (Administration des contributions directes), banque
Transferts hors de l’Union européenne	« Aucun », ou le pays précis s’il y en a un
Durées de conservation	La durée retenue pour chaque catégorie de données et son point de départ
Mesures de sécurité	Accès réservé au service RH, mots de passe, sauvegardes

Le format est libre. Un tableau Excel bien tenu suffit, puisque le RGPD exige seulement un écrit, y compris électronique.

Vous n’envoyez pas le registre à la CNPD (Commission nationale pour la protection des données) : vous le lui remettez si elle le demande.

Que vérifie la CNPD et que risquez-vous ?

La CNPD contrôle le registre lors de visites sur place, et elle le lit ligne par ligne. Dans une décision du 16 décembre 2025, elle a laissé deux jours ouvrables à une entreprise pour remettre son registre. Elle a ensuite reproché plusieurs lacunes :

• les coordonnées du DPO manquaient ;
• des destinataires étaient désignés par des termes vagues comme « départements internes » ;
• les pays hors Union européenne vers lesquels partaient des données n’étaient pas nommés.

Résultat : 7.000 € d’amende, un rappel à l’ordre et deux mois pour corriger. Cette entreprise comptait plus de 250 salariés, mais les exigences de contenu sont les mêmes pour une PME. Le plafond légal atteint 10 M€ ou 2 % du chiffre d’affaires mondial.

Pour une PME, le risque principal reste souvent commercial. Les grands clients et les appels d’offres envoient des questionnaires RGPD, et la question du registre y figure presque toujours. Ne pas pouvoir répondre fait perdre des points, parfois le marché.

À quoi sert le registre au quotidien ?

Le registre vous fait gagner du temps dans trois situations où le RGPD impose d’aller vite.

• Informer vos salariés, candidats et clients. Les mentions d’information obligatoires reprennent presque mot pour mot les rubriques du registre.
• Répondre à une demande d’accès dans le délai d’un mois. Sans registre, il faut fouiller chaque outil. Avec, vous savez où chercher. Voir notre article sur comment répondre à une demande d’accès d’un client ou d’un salarié.
• Réagir à une violation de données. La notification à la CNPD doit intervenir dans les 72 heures et préciser les catégories de personnes et de données touchées. Notre guide pratique en cas de violation de données détaille ces étapes.

Comment constituer votre registre : la méthode en six étapes

1. Listez vos activités par service : RH, comptabilité, commercial, informatique, accueil.
2. Créez une fiche par activité, et une ligne par objectif lorsque l’activité en poursuit plusieurs.
3. Remplissez les sept rubriques. Ajoutez la base légale de chaque traitement : ce n’est pas obligatoire, mais la CNPD l’a déjà valorisé.
4. Nommez précisément les destinataires. « Prestataire de paie » plutôt que « services internes », et le pays exact en cas de transfert hors de l’Union européenne.
5. Datez chaque fiche et désignez une personne chargée des mises à jour, souvent le dirigeant ou le responsable RH.
6. Mettez le registre à jour à chaque nouvel outil ou prestataire. Nous recommandons aussi une relecture complète une fois par an.

Les erreurs que nous voyons le plus souvent sont les suivantes : un modèle téléchargé jamais adapté, la caméra de surveillance oubliée, un registre enfermé dans un logiciel sans export possible, ou une politique de confidentialité présentée à la place du registre.

Questions fréquentes

Mon entreprise compte huit salariés : dois-je vraiment tenir un registre ?

Oui, au moins pour la paie et la gestion du personnel, qui sont des traitements réguliers. Les traitements clients et fournisseurs suivent en général la même logique. Seuls les traitements réellement ponctuels et sans risque peuvent rester en dehors.

Faut-il envoyer le registre à la CNPD ?

Non. Le registre reste dans l’entreprise. Vous devez simplement pouvoir le remettre rapidement si la CNPD le demande, par exemple lors d’un contrôle.

Dois-je nommer un DPO pour tenir le registre ?

Non. Le DPO est obligatoire seulement dans certains cas, qui concernent peu de PME. Le registre peut être tenu par le dirigeant ou le responsable RH, mais la responsabilité reste celle de l’entreprise.

La réforme européenne en discussion va-t-elle supprimer cette obligation ?

La Commission européenne a proposé en mai 2025 de relever le seuil à 750 salariés et de ne maintenir le registre que pour les traitements à risque élevé. Ce texte n’était pas adopté à la date de publication de cet article [À VÉRIFIER : état de la procédure Omnibus IV au jour de la publication]. Même adopté, il ne supprimerait pas l’obligation d’informer vos salariés et vos clients : il faudra toujours savoir quelles données vous traitez.

Un simple tableau Excel suffit-il ?

Oui, s’il contient les sept rubriques pour chaque activité et s’il est à jour. La CNPD juge le contenu, pas l’outil.

Ce qu’il faut faire maintenant

Ouvrez votre registre. Si vous n’en avez pas, commencez par la paie et le personnel : ce sont les traitements que la loi vise en premier. Si vous en avez un, vérifiez trois points : les coordonnées complètes de l’entreprise, des destinataires précis et les pays de transfert nommés.

Où en est votre entreprise ? Notre auto-diagnostic RGPD gratuit vous donne une première réponse en 10 questions et 5 minutes.

Pour aller plus loin, la constitution du registre, le conseil RGPD et la gestion des violations de données sont inclus dans l’abonnement juridique d’Infuero : 1.210 € HT par mois pour les PME, 750 € HT pour les TPE, réponse sous 24 heures ouvrées. Et si la CNPD vient contrôler, les avocats à la Cour qui connaissent votre conformité sont aussi ceux qui vous défendent (mission au forfait).

Parler à un avocat

Cet article donne une information générale à la date de sa publication. Il ne remplace pas un conseil adapté à votre situation.