Registre des traitements d'une TPE en Pévèle : modèle CNIL rempli

Une entreprise de quelques salariés doit-elle vraiment tenir un registre ?

L'article 30 du RGPD dispense de registre les organismes de moins de 250 employés. La dispense tombe pourtant dans trois cas. Le traitement peut présenter un risque pour les droits des personnes, il porte sur des données sensibles ou pénales, ou il n'est pas occasionnel. Or la paie, le suivi des clients et celui des fournisseurs reviennent sans cesse. La CNIL les cite justement comme traitements non occasionnels. Pour elle, la dispense se limite à des cas « très particuliers », comme une campagne de communication pour l'ouverture d'un nouvel établissement. En cas de doute, elle recommande d'inscrire le traitement au registre.

Ce seuil de 250 salariés semble taillé pour le territoire. Fin 2024, selon le dossier complet de l'Insee, 1 917 des 2 697 établissements employeurs de Pévèle Carembault comptaient de 1 à 9 salariés. C'est 71,1 % du total, et seuls 95 en comptaient 50 ou plus. Presque tous sont donc sous le seuil. Mais tout employeur tient une paie, et la paie n'a rien d'occasionnel.

Beaucoup d'entreprises n'ont pourtant pas de registre. D'après le Baromètre France Num 2025 de la Direction générale des entreprises, 41 % seulement des TPE et PME en tiennent un. Or il est « demandé systématiquement par la CNIL en cas de contrôle », rappelle sa page de questions-réponses pour les TPE et PME.

La règle pourrait bouger. Le 09/06/2026, le Parlement européen a annoncé un accord provisoire avec le Conseil sur l'exemption de registre pour les traitements sans risque élevé. Le texte doit encore être adopté formellement, puis publié au Journal officiel de l'Union européenne. Il s'appliquera vingt jours plus tard. D'ici là, la règle actuelle vaut, et la fiche de procédure du Parlement montre où en est le texte.

Que contient le modèle simplifié de la CNIL ?

La CNIL met en ligne un modèle de registre simplifié, un tableur au format ODS. Il vise les petites structures et couvre, selon elle, le minimum exigé par l'article 30. Le fichier compte cinq onglets : un tutoriel, la liste des traitements, un modèle de fiche, un exemple rempli et des listes de choix. Il paraît touffu, mais tout part de ce que vous faites déjà.

Commencez par l'onglet « Liste des traitements ». En haut, les coordonnées du responsable : pour une entreprise individuelle, les vôtres. Dessous, une ligne par activité : son nom, un numéro, ses dates de création et de mise à jour. Viennent ensuite sa finalité et la présence ou non de données sensibles. Nommez chaque activité par son but. Pour la CNIL, les traitements « doivent être identifiés par finalité et non par logiciel utilisé ».

Dupliquez ensuite l'onglet « Modèle de fiche de registre » pour chaque activité, comme le demande le tutoriel. L'onglet d'exemple remplit une fiche « Gestion de la paie », basée sur « un traitement fictif qu'il ne faut pas reprendre tel quel ». Le modèle ne recense enfin que vos propres traitements. Si vous traitez aussi des données pour le compte de clients, la CNIL recommande un second registre, dit de sous-traitant.

Comment remplir les fiches clients, personnel et site internet ?

La fiche clients

Le modèle donne lui-même la clé : livraison, facture et carte de fidélité relèvent d'un seul traitement, la gestion de la clientèle. ExemplePrenons un artisan du bâtiment qui emploie trois salariés. Le profil est courant : fin 2024, Pévèle Carembault comptait 276 établissements de la construction de 1 à 9 salariés, selon l'Insee. Finalité principale : gestion des clients. Sous-finalités : devis, commandes, facturation, suivi des paiements. Personnes concernées : les clients et ceux qui ont demandé un devis. Données : identité, coordonnées, adresse du chantier, et informations bancaires s'il en conserve. Chez un client professionnel, le nom et le courriel nominatif de l'interlocuteur restent des données personnelles, précise la CNIL.

Destinataires : les personnes de l'entreprise qui facturent, l'éditeur du logiciel de facturation et le cabinet comptable. Le référentiel de la CNIL sur la gestion commerciale précise que ce cabinet peut être, selon les cas, sous-traitant ou responsable des données reçues. Une fiche fournisseurs se bâtit sur le même principe, dès que vous gardez les coordonnées de vos interlocuteurs.

La fiche personnel et paie

Partez de l'exemple du modèle. Finalité principale : gestion de la paie. Sous-finalités : calcul des rémunérations, calcul des versements aux organismes sociaux, ordre de virement à la banque. Personnes concernées : les salariés. Données : identité, RIB et numéro de sécurité sociale, qui a sa propre ligne. Destinataires : la personne qui fait la paie, le cabinet s'il établit les bulletins, les organismes sociaux. Sécurité : choisissez dans la liste du modèle, par exemple le contrôle d'accès des utilisateurs et la sauvegarde des données.

La fiche site internet

La CNIL conseille de passer votre site en revue : formulaires de contact, création de compte, cookies. Pour un formulaire de contact, la finalité est de répondre aux demandes. Données : nom, coordonnées, message, et données de connexion si l'hébergeur garde des journaux. Destinataires : vous et l'hébergeur, qui agit comme sous-traitant. Si un outil stocke ces données hors de l'Union européenne, remplissez aussi la partie « Transferts hors UE ».

Quand je livre un site, sa politique de confidentialité part avec lui, comme l'explique ma méthode de travail. Elle décrit ce que le site recueille : c'est la matière de cette fiche. Si une mission me fait traiter ces données, un contrat de sous-traitance, au sens de l'article 28 du RGPD, accompagne le devis. Ce contrat est décrit dans les questions fréquentes. Je figure alors dans votre fiche, parmi les destinataires.

Combien de temps garder les données de chaque fiche ?

Ne recopiez pas les durées de l'exemple : il retient cinq ans pour ses trois catégories de données de paie, à compter du versement. Le référentiel publié par la CNIL le 02/04/2026 sur les ressources humaines distingue davantage. La CNIL conseille de toujours vérifier le texte de référence au regard de votre situation.

Que laisser vide, et quand mettre le registre à jour ?

1. Représentant : laissez vide si votre entreprise est établie dans l'Union européenne. Le modèle ne le demande qu'à un responsable situé hors de l'Union.
2. Délégué à la protection des données : vide si vous n'en avez pas désigné. Selon la CNIL, cette désignation est rare dans une TPE dont le métier n'est pas de traiter des données.
3. Responsables conjoints : seulement si vous décidez avec un autre organisme du but et des moyens d'un traitement.
4. Données sensibles et transferts hors de l'Union : seulement si l'activité en comporte. La liste des garanties du modèle propose encore le « Privacy shield ». Or la Cour de justice de l'Union européenne l'a invalidé le 16/07/2020, rappelle la CNIL. La décision d'adéquation du 10/07/2023 ne couvre que les transferts vers des organismes américains certifiés : vérifiez que le vôtre figure sur la liste.
5. Base légale : le modèle n'a pas de case pour elle. La CNIL conseille de l'ajouter, car le registre sert alors à rédiger vos mentions d'information.
6. Mise à jour : une nouvelle donnée, une durée allongée ou un nouveau destinataire se reportent dans la fiche, selon la même page. Datez chaque modification.
7. Diffusion : le registre reste un document interne, rappelle la CNIL. Une entreprise privée n'a pas à le publier, mais doit le lui communiquer si elle le demande.

Pour une question, la CNIL répond gratuitement aux professionnels, par téléphone ou par formulaire, selon sa page de contact. Une permanence y traite les questions internationales, dont les transferts hors de l'Union. En cas de doute sur la tenue du registre, sa page pour les TPE conseille aussi de se rapprocher d'une association professionnelle.