Pour une petite entreprise ayant un nombre restreint de traitements — paie, comptabilité, fichier clients, quelques outils SaaS — un premier aperçu brut est souvent possible en quelques heures. Le délai nécessaire pour obtenir un registre réellement complet et utilisable est plus long en pratique : comptez quelques jours de travail, répartis sur deux à quatre semaines. Cette répartition n'est pas due au temps d'remplissage lui-même, mais au fait que vous attendez entre-temps les réponses d'autres personnes.
La loi elle-même ne fixe pas de délai pour l'établissement d'un registre. Ce que le RGPD demande en revanche, c'est qu'un responsable du traitement tienne à jour un registre des traitements effectués sous sa responsabilité, contenant notamment la finalité, les catégories de données et les destinataires, ainsi que les durées de conservation. Le temps nécessaire pour y arriver ne dépend donc pas d'un délai légal, mais de la façon dont votre organisation connaît elle-même ce qui se passe avec les données.
Par où commencent les premiers jours
La première phase porte sur l'inventaire : quels systèmes utilisez-vous, qui y a accès, et quelles données s'y trouvent. Pour une personne travaillant en tant que prestataire indépendant ou une entreprise avec une poignée de collaborateurs, c'est généralement possible à gérer en une seule matinée. Dans une organisation avec plusieurs départements, cela complique rapidement les choses, simplement parce que personne n'a à lui seul la vision complète : les RH savent quels outils ils utilisent pour le recrutement et l'absence, l'administration sait quel logiciel comptable fonctionne, et la direction ignore souvent que le département marketing a conclu un abonnement CRM séparé. Cette fragmentation est la première et la plus grande source de ralentissement, non le travail d'remplissage lui-même.
Une approche pratique consiste à commencer par les factures : chaque abonnement débité mensuellement est un bon indicateur d'un traitement qui doit figurer dans le registre. Une bibliothèque d'outils SaaS courants peut accélérer cette phase, car les logiciels fréquemment utilisés sont déjà pourvus des finalités et durées de conservation habituelles, de sorte que vous n'ayez pas à les rechercher vous-même. Dans la base de connaissances vous trouverez par sujet une réponse brève ainsi que la source dans le texte officiel, ce qui est utile pour déterminer ce qui doit ou ne doit pas figurer dans le registre.
Où ça bloque : les contrats de traitement des données
Le deuxième ralentissement intervient lors de l'association des contrats de traitement des données aux traitements du registre. Pour chaque prestataire SaaS qui traite des données à caractère personnel en votre nom, il doit y avoir un contrat en place. En pratique, celui-ci s'avère souvent manquant, ou personne n'est plus certain de la dernière version. Cela signifie que vous devez contacter les prestataires, ce qui peut entraîner des jours ou des semaines d'attente — non pas parce que la rédaction est longue, mais parce que vous dépendez de la réactivité d'une autre entreprise.
Il est donc plus judicieux de ne pas voir le registre et le suivi des contrats de traitement des données comme deux projets distincts, mais comme un processus continu : dès qu'un nouvel outil est acquis, le contrat doit être obtenu immédiatement, plutôt que de devoir reconstruire après coup ce qui a été convenu.
Délai en cas de croissance et de changement
Un registre n'est jamais finalisé au sens où il ne changerait plus ensuite. De nouveaux outils, de nouveaux collaborateurs, de nouveaux processus clients — chacun de ces éléments affecte à nouveau le registre. La durée de réalisation d'un inventaire unique dit donc peu de chose sur la maintenance qui suit. Les entreprises qui ne remplissent le registre que lors de leur création et qui le laissent ensuite inchangé risquent qu'après un an il ne corresponde plus à la réalité. Ceux qui laissent le registre évoluer avec la bibliothèque d'outils et qui le font signaler automatiquement en cas d'omission se dispensent eux-mêmes de l'inventaire répété qui serait autrement nécessaire à chaque contrôle ou appel d'offres.
Pour celui qui doit prouver que la base est en règle — par exemple vis-à-vis d'un assureur ou lors d'un appel d'offres — ce n'est pas seulement l'existence d'un registre qui compte, mais aussi son caractère actuel. Un aperçu datant de six mois, alors que trois nouveaux outils ont entre-temps été ajoutés, donne une image différente d'un registre mis à jour chaque semaine.
Faire soi-même ou laisser fonctionner en parallèle
Que vous teniez le registre vous-même dans une feuille de calcul ou que vous le fassiez remplir à partir d'un système, la durée de réalisation se situe dans les deux cas surtout dans la collecte d'informations, non dans leur saisie. La différence réside dans la maintenance : une feuille de calcul vous oblige à vous souvenir vous-même de quand quelque chose doit être mis à jour, tandis qu'un système qui est connecté à la bibliothèque d'outils et à vos contrats de traitement de données vous en avertit. Pour en savoir plus sur le fonctionnement exact de ce lien, consultez la page sur le fonctionnement du système.
Si vous voulez savoir quel temps et quelles ressources un registre complet et actuel représenterait pour votre situation, l'aperçu des tarifs vous donne une indication de ce qui convient à la taille de votre entreprise. Et si vous doutez que votre aperçu actuel soit suffisant, les questions les plus fréquemment posées fournissent une réponse à un certain nombre de cas pratiques qui suscitent des doutes.
L'évaluation finale de savoir si votre registre répond aux exigences légales vous revient ou revient à un juriste, et en cas de doute à l'Autoriteit Persoonsgegevens. Si vous voulez d'abord vous faire une idée de votre situation, effectuez alors le scan rapide gratuit ou parcourez les sujets de la base de connaissances.