Registre des traitements nLPD : qui doit le tenir ?

Le registre des activités de traitement prévu par la nLPD est l'inventaire des traitements de données personnelles d'une entreprise : quelles données, pour quoi faire, transmises à qui, conservées combien de temps. La loi fédérale révisée sur la protection des données l'impose en principe, avec une dispense importante pour les PME.

Que vous soyez tenu de le tenir ou non, cet inventaire est utile : on ne protège bien que ce que l'on connaît. Cet article ne remplace pas un conseil juridique adapté à votre activité.

Qui doit tenir un registre des traitements ?

L'article 12 de la nLPD oblige les responsables du traitement et les sous-traitants à tenir un registre. L'ordonnance sur la protection des données (OPDo) en dispense les entreprises qui emploient moins de 250 collaborateurs au 1er janvier d'une année, ainsi que les personnes physiques.

La dispense tombe dans deux cas : lorsque des données sensibles sont traitées à grande échelle, ou lorsqu'un profilage à risque élevé est effectué. Une entreprise du domaine de la santé, par exemple, doit donc examiner la question de près, même avec peu de collaborateurs.

Que contient le registre des activités de traitement ?

Pour chaque activité de traitement, le registre du responsable du traitement indique au minimum :

• L'identité du responsable du traitement.
• La finalité du traitement (salaires, facturation, prospection, recrutement).
• Les catégories de personnes concernées et de données personnelles traitées.
• Les catégories de destinataires, y compris les sous-traitants.
• Dans la mesure du possible, le délai de conservation ou les critères pour le fixer.
• Dans la mesure du possible, une description générale des mesures de sécurité.
• En cas de communication à l'étranger, l'État concerné et les garanties prévues.

Comment constituer et tenir à jour le registre

Un tableur suffit pour une PME. Partez des activités plutôt que des logiciels : gestion des salaires, facturation, relation client, recrutement, vidéosurveillance, newsletter. Une ligne par activité, une colonne par rubrique.

La loi demande un registre à jour. Fixez un moment de revue, par exemple une fois par an, et un réflexe : toute nouvelle application, tout nouveau prestataire ou tout nouvel usage des données entraîne une mise à jour. Désignez une personne responsable du document.

Si vous agissez vous-même comme sous-traitant pour vos clients, votre registre est plus court : votre identité et celle du responsable, les catégories de traitements effectués pour son compte, les mesures de sécurité et les éventuelles communications à l'étranger.

Registre des traitements et informatique : quel lien ?

Le registre se nourrit de l'informatique, et inversement. Pour le remplir, il faut savoir où se trouvent les données : application métier, Microsoft 365, partages de fichiers, CRM, sauvegardes, services cloud. Votre prestataire informatique connaît ces emplacements et les mesures de sécurité en place ; il peut vous aider à décrire ces rubriques, même si la responsabilité du registre reste la vôtre.

En retour, le registre sert l'informatique : il indique quelles données méritent les protections les plus fortes, quels droits d'accès accorder, quels délais de conservation appliquer et quels prestataires doivent signer un contrat de sous-traitance.

Les erreurs fréquentes

Quelques pièges reviennent souvent dans les registres des PME :

• Lister les logiciels sans décrire les finalités.
• Oublier les données hors des applications : boîtes e-mail, fichiers Excel, documents numérisés.
• Remplir le registre une fois, puis ne plus jamais l'ouvrir.
• Omettre les sous-traitants et les services cloud, alors qu'ils comptent parmi les destinataires.
• Décrire les mesures de sécurité en termes vagues, sans lien avec les outils réellement en place.