Qu'est-ce qui doit figurer dans un registre des activités de traitement ?

Ce qui figure dans le registre des activités de traitement

Un registre des activités de traitement décrit, pour chaque traitement de données personnelles qu'une organisation effectue, qui est responsable de quoi et ce qui advient des données. Concrètement, il s'agit du nom et des coordonnées de l'organisation (et du délégué à la protection des données, s'il existe), des finalités pour lesquelles les données sont traitées, des catégories de personnes concernées et des catégories de données personnelles en question, des catégories de destinataires auxquels les données sont communiquées, du fait que les données sortent de l'UE et, le cas échéant, sous quelles garanties, des délais de conservation appliqués ou du critère permettant de les déterminer, ainsi qu'une description générale des mesures techniques et organisationnelles de sécurité.

Une organisation qui agit elle-même en tant que sous-traitant — c'est-à-dire qui traite des données personnelles pour le compte d'une autre partie — tient un registre comparable mais légèrement plus restreint, portant sur les catégories de traitements exécutés pour chaque responsable du traitement. Pour les organisations de petite taille, l'article 30 du RGPD prévoit une exception : les organisations employant moins de deux cent cinquante personnes ne sont pas tenues de tenir ce registre, sauf si le traitement présente un risque pour les droits et libertés des personnes concernées, n'est pas occasionnel, ou porte sur des catégories particulières de données ou des données relatives à des condamnations pénales. Dans la pratique, cette exception s'applique à moins d'entreprises de petite et moyenne taille qu'il n'y paraît, car le traitement régulier de données de clients ou de personnages est rapidement considéré comme non occasionnel.

Source : article 30 RGPD

Ces éléments sont énumérés à l'article 30, paragraphes 1 et 2, du RGPD, l'exception pour les petites organisations figurant au paragraphe 5 du même article ; l'Autorité néerlandaise pour la protection des données explique sur son site internet comment elle considère cette question dans la pratique néerlandaise.