Ce que dit la loi
La LPD oblige les responsables du traitement et les sous-traitants à tenir chacun un registre de leurs activités de traitement (art. 12 LPD). L'ordonnance délie de cette obligation les entreprises qui emploient moins de 250 collaborateurs, sauf si elles traitent des données sensibles à grande échelle ou effectuent un profilage à risque élevé (art. 24 OPDo).
Le RGPD connaît une règle semblable mais plus stricte : la dérogation pour les organisations de moins de 250 employés ne s'applique pas si le traitement est susceptible de comporter un risque, s'il n'est pas occasionnel ou s'il porte sur des catégories particulières de données ou sur des données pénales (art. 30 par. 5 RGPD). En pratique, presque toute entreprise soumise au RGPD tient le registre.
Ce que contient le registre
- l'identité du responsable du traitement ;
- la finalité de chaque activité ;
- les catégories de personnes concernées et de données ;
- les catégories de destinataires ;
- la durée de conservation ;
- les mesures de sécurité ;
- les États étrangers et les garanties, si les données sont communiquées à l'étranger.
Questions liées
Modèles utiles
Une orientation générale, pas un conseil sur votre cas : pour votre cas, c'est le texte de la loi qui compte, et l'évaluation vous appartient.