Qu’est-ce que le Registre des Activités de Traitement (RAT) ?

L’article 30(1) fixe le contenu minimal du registre du responsable du traitement :

• le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint, du représentant et du délégué à la protection des données ;
• les finalités du traitement ;
• une description des catégories de personnes concernées et des catégories de données personnelles ;
• les catégories de destinataires, y compris les destinataires dans des pays tiers ou des organisations internationales ;
• le cas échéant, les transferts vers un pays tiers ou une organisation internationale, avec leur identification et, pour les transferts fondés sur l’article 49(1), second alinéa, les documents attestant des garanties appropriées ;
• dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données ;
• dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles de l’article 32(1).

Le sous-traitant tient un registre plus court (article 30(2)) : ses coordonnées et celles de chaque responsable pour le compte duquel il agit, les catégories de traitements effectués pour chacun, les transferts et leurs garanties, et une description générale de ses mesures de sécurité. Les deux registres se tiennent par écrit, y compris sous forme électronique (article 30(3)).

Rarement en totalité. L’article 30(5) dispense les entreprises ou organisations de moins de 250 employés, sauf si le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées, s’il n’est pas occasionnel, ou s’il porte sur des catégories particulières de données (article 9(1)) ou sur des données relatives aux condamnations pénales et aux infractions (article 10).

Le groupe de travail « Article 29 », dans une prise de position reprise par le CEPD, lit ces trois conditions comme alternatives : une seule suffit à déclencher l’obligation. Le risque n’a pas besoin d’être élevé. Un traitement n’est occasionnel que s’il n’est pas effectué régulièrement et sort du cours normal des activités : une petite entreprise qui traite régulièrement les données de ses salariés doit donc inscrire ce traitement au registre.

L’exemption n’est pas non plus en tout ou rien. Une petite organisation ne doit consigner que les types de traitement visés par l’article 30(5), et peut laisser de côté les activités réellement occasionnelles, peu susceptibles de comporter un risque et sans données sensibles ni pénales.

La nLPD, en vigueur depuis le 1er septembre 2023, impose elle aussi aux responsables du traitement et aux sous-traitants de tenir un registre de leurs activités de traitement (article 12). L’exemption est formulée plus étroitement : selon l’article 24 de l’OPDo, les entreprises de moins de 250 collaborateurs en sont dispensées, sauf traitement de données sensibles à grande échelle ou profilage à risque élevé.

Les entreprises privées ne déposent pas leur registre auprès du PFPDT. Depuis l’entrée en vigueur de la loi révisée, seuls les organes fédéraux annoncent leurs activités de traitement au PFPDT, qui les publie dans son registre public. Une entreprise soumise aux deux lois peut tenir un seul registre qui satisfait les deux, avec la base légale de chaque loi inscrite sur chaque activité. Voir le guide de la nLPD et le RGPD s’applique-t-il aux entreprises suisses ?

• Lister des systèmes au lieu d’activités. Le registre s’organise par activité de traitement et par finalité, comme la paie ou le support client. Le PFPDT le rappelle pour son registre fédéral : les entrées décrivent des activités, pas une liste de systèmes. Systèmes et fournisseurs figurent au registre comme moyens et destinataires de chaque activité.
• Oublier le registre de sous-traitant. Une entreprise qui traite des données personnelles pour le compte de ses clients doit tenir un registre de sous-traitant pour ce travail, en plus du registre de responsable pour ses propres activités.
• Laisser vides les champs qui semblent facultatifs. Durées de conservation et mesures de sécurité sont exigées dans la mesure du possible, et ce sont précisément les informations dont ont besoin une AIPD, une évaluation de violation ou une analyse d’impact des transferts.
• Le rédiger une fois pour toutes. Un registre qui ne reflète plus la réalité ne remplit plus son rôle. Le groupe de travail le décrit comme un outil pour analyser les implications de tout traitement, existant ou envisagé, ce qui suppose d’y inscrire les nouvelles activités avant leur démarrage.