dois-je tenir un registre des activités de traitement en tant qu'indépendant

Généralement oui, même sans personnel

Une entreprise individuelle ou travailleur indépendant relève du RGPD dès qu'il traite des données à caractère personnel, ce qui est le cas pour pratiquement toute entreprise — un fichier clients, une liste de diffusion, des factures avec noms et adresses, tout cela compte. Le RGPD ne prévoit pas d'exception pour les petites entreprises ou entreprises individuelles en tant que telles ; l'obligation de tenir un registre ne dépend pas de la forme juridique, mais de ce qui est traité et de la fréquence du traitement.

En pratique, l'exception au registre ne s'applique qu'aux organisations comptant moins de 250 salariés, et seulement si le traitement est occasionnel, ne présente aucun risque pour les personnes concernées par les données, et ne concerne pas de données sensibles comme la santé ou les informations judiciaires. Un travailleur indépendant qui enregistre régulièrement les données clients, envoie une infolettre ou utilise un logiciel de comptabilité ne traite généralement pas de manière occasionnelle — l'exception disparaît alors et la règle principale s'applique : tenir un registre. Ce qui doit exactement y figurer est décrit sur la page sur ce qui doit figurer dans un registre des traitements.

Sur quoi cela repose : article 2 et article 30 du RGPD

L'article 2 du RGPD définit le champ d'application matériel : le règlement s'applique au traitement de données à caractère personnel, indépendamment de la taille ou de la forme de l'organisme qui traite. L'article 30 du RGPD impose l'obligation de tenir un registre tant au responsable du traitement qu'au sous-traitant, et contient dans le même article l'exception pour les petites organisations effectuant un traitement occasionnel et présentant un faible risque. Ces deux articles fonctionnent ensemble : l'un détermine si le RGPD s'applique, l'autre si l'obligation de registre s'y applique réellement. Pour ceux qui doutent de savoir si leur rôle est celui de sous-traitant ou de responsable du traitement — ce qui est pertinent car cela détermine aussi en partie ce qui doit être enregistré — la page sur sous-traitant ou responsable du traitement offre plus de points de repère. La surveillance du respect de l'article 30 incombe à l'autorité de contrôle de l'État membre où l'entreprise est établie — aux Pays-Bas, c'est l'Autorité de protection des données ; dans les autres pays de l'UE, c'est l'autorité de contrôle de ce pays. L'obligation elle-même et l'exception à celle-ci sont énoncées dans le règlement et s'appliquent donc uniformément dans l'ensemble de l'UE.