Vous pouvez en principe tenir à jour votre registre des activités de traitement entièrement vous-même. Le RGPD ne prescrit aucun programme ou format spécifique : un document ou un tableur bien entretenu suffit, du moment qu'il est complet, exact et à jour. Ce qui compte n'est pas l'outil, mais le contenu : quelles données personnelles vous traitez, dans quel but, qui peut y accéder, combien de temps vous les conservez et quels tiers les verront.
La question pratique n'est donc pas si c'est permis, mais si cela reste gérable dans votre entreprise. Pour une poignée de traitements réguliers — un logiciel de comptabilité, une gestion de paie, un CRM — un aperçu fait maison est souvent facile à maintenir. Dès que le nombre d'outils augmente, que des sous-traitants changent ou que les collaborateurs achètent eux-mêmes des logiciels, la maintenance devient une tâche récurrente qu'on repousse facilement.
Ce qui doit absolument y figurer
Un registre décrit, pour chaque traitement, le but, les catégories de données et de personnes concernées, la durée de conservation ou une indication de celle-ci, et les tiers avec lesquels les données sont partagées. Pour les traitements effectués par un tiers externe, il doit aussi être clair s'il existe un contrat de traitement des données à cet égard. Les exigences exactes et les exceptions y afférentes figurent dans le RGPD lui-même et sont détaillées dans les lignes directrices de l'Autorité néerlandaise pour la protection des données et du CEPD. Si vous souhaitez que cela soit clarifié situation par situation, vous le trouverez dans la base de connaissances où cela a été clarifié situation par situation.
Pourquoi c'est difficile sur papier
Le problème n'est généralement pas la mise en place, mais la maintenance. Une PME conclut au cours d'une année de nouveaux abonnements SaaS, en arrête d'autres, et le contrat de traitement des données qui en découle change parfois sans que personne ne le remarque. Un tableur qui était exact au départ n'est souvent plus qu'un instantané après quelques mois. Cela ne devient visible que quand c'est important : à la suite d'une demande d'une personne concernée, lors d'un appel d'offres, ou quand une autorité de contrôle vous la pose.
Là réside la véritable différence entre faire soi-même et se faire assister. Tenir à jour un registre soi-même n'est pas un problème tant que quelqu'un prend régulièrement le temps de le vérifier et de le compléter. Dans beaucoup de petites entreprises, ce temps existe au départ, et disparaît dès que les préoccupations du quotidien prennent le dessus.
Faire soi-même, utiliser un outil ou sous-traiter
Entre faire complètement soi-même et sous-traiter complètement, il existe une voie médiane : un système qui remplit le registre à partir d'une bibliothèque d'outils connus et qui vous avertit si quelque chose manque ou change. Cela n'épargne pas la réflexion sur ce qui doit figurer — cela vous reste — mais cela évite le risque qu'un changement passe inaperçu. Que cela en vaille la peine pour votre entreprise dépend du nombre de traitements et de la fréquence à laquelle ce nombre change. Un aperçu de ce que cela implique et du coût se trouve sur la page des tarifs du système.
Ceux qui préfèrent d'abord l'essayer eux-mêmes peuvent le faire. Le RGPD n'impose pas l'utilisation d'un système payant. Ce que la loi exige, en revanche, c'est que le registre soit à chaque moment une représentation exacte de la réalité — pas seulement le jour où il a été créé.
Ce que vous ne pouvez jamais sous-traiter
Que vous teniez le registre à jour dans un tableur ou que vous le laissiez remplir par un système : la responsabilité de l'exactitude reste celle de l'organisation, non celle de l'outil. Un outil peut signaler qu'un contrat de traitement des données a expiré ou qu'un nouvel outil SaaS n'a pas encore été inclus, mais la décision sur ce que vous en ferez et si un traitement est vraiment nécessaire vous revient. Pour l'application de votre situation spécifique, c'est quelque chose à discuter avec un juriste ou, en cas de doute sur la loi elle-même, avec l'Autorité néerlandaise pour la protection des données.
Voulez-vous d'abord voir comment cela fonctionne en pratique avant de choisir entre le faire vous-même et obtenir de l'aide, vous pouvez consulter les questions fréquemment posées sur le registre ou via la page d'inscription créer un compte professionnel et voir la différence par vous-même.
Si vous voulez savoir où se trouve votre entreprise en ce moment, le balayage rapide gratuit est un bon point de départ : aucune obligation, seulement une indication de ce qui est pertinent pour votre situation.