Protection des données personnelles : il faut tenir un registre des activités de traitement

Qu'est-ce qu'un registre des activités de traitement?

C'est un fichier — papier ou électronique — dans lequel les entreprises doivent répertorier, à compter du 25 mai prochain, leurs traitements de données personnelles.

Ce fichier doit être tenu à la disposition de la CNIL (Commission nationale de l'informatique et des libertés) en cas de contrôle.

Que faut-il mettre dans le registre?

• L'identité et les coordonnées de votre entreprise ;
• l'identité et les coordonnées de votre délégué à la protection des données (DPO, si vous en avez nommé un ¹) ;
• les catégories de personnes dont vous collectez les données (vos clients, salariés, fournisseurs, prospects...) ;
• les catégories de données personnelles collectées (nom, prénom, coordonnées postales et téléphoniques, données bancaires, adresse électronique, habitudes de consommation...) ;
• l'usage que vous comptez faire des données (finalités poursuivies) : pour vous aider, une liste des finalités les plus courantes est disponible sur le site de votre fédération ;
• les destinataires des données collectées (vos employés, vos prestataires, les autorités publiques, vos partenaires commerciaux...) ;
• la durée de conservation des données ;
• une description générale des mesures de sécurité mises en œuvre afin de protéger les données ;
• enfin, si vous êtes concerné, les transferts de données personnelles en dehors de l'Union européenne (possibles si votre hébergeur ou vos prestataires informatiques ne sont pas basés dans l'Union européenne) et les garanties prises pour assurer la protection des données.