Registre des traitements : par où commencer ?

Le registre des activités de traitement est obligatoire et constitue l'une des pièces structurantes que la CNIL peut demander lors d'un contrôle. C'est aussi un excellent outil de pilotage de la conformité.

Le faire vivre

Un registre n'a de valeur que s'il est tenu à jour. L'intégrer aux processus de l'organisation — nouveaux projets, nouveaux outils — est la clé d'une conformité durable.

Ce que dit le RGPD — et pourquoi la dispense ne vous concerne pas

L'article 30 du RGPD impose au responsable de traitement un registre décrivant, pour chaque activité : finalités, catégories de personnes et de données, destinataires, transferts éventuels hors Union, durées de conservation et description générale des mesures de sécurité. Le sous-traitant tient son propre registre, plus succinct. Quant à la dispense prévue pour les structures de moins de 250 salariés : elle tombe dès que les traitements sont non occasionnels, portent sur des données sensibles ou sont susceptibles de comporter un risque pour les droits et libertés — conditions systématiquement réunies en santé. En pratique, aucun acteur du soin ou de la e-santé n'y échappe.

La méthode en cinq étapes

Un registre ne se remplit pas depuis un bureau : il se construit avec les métiers. Étape 1 : lister les processus réels de l'organisation — admission et gestion des patients, soins et dossier patient, facturation, ressources humaines, recherche, qualité, vidéoprotection, site web. Étape 2 : pour chacun, interroger ceux qui font (quelles données, quels outils, qui y accède, combien de temps). Étape 3 : qualifier les rôles — responsable de traitement, responsabilité conjointe, sous-traitant — car c'est ce qui distribue les obligations. Étape 4 : renseigner bases légales, durées et destinataires, en tranchant les incohérences découvertes (il y en a toujours). Étape 5 : faire valider, dater, et désigner un propriétaire pour chaque fiche.

Les spécificités du secteur santé

Certains traitements appellent une vigilance particulière : le dossier patient informatisé et ses habilitations ; la télésurveillance et les objets connectés ; les traitements de recherche, qui s'adossent aux méthodologies de référence de la CNIL ; les échanges avec les partenaires du parcours de soins ; les sous-traitants critiques — éditeurs et hébergeurs HDS, dont les certificats et contrats doivent être référencés dans la fiche correspondante. Le registre devient alors bien plus qu'une obligation : c'est la cartographie de votre système d'information de santé vue par le droit.

À quoi ressemble une fiche de registre bien faite

Pour chaque traitement, une fiche tient sur une page et répond à huit questions : quelle finalité précise (« gestion du dossier patient », pas « informatique ») ; quelle base légale, et pour les données de santé quelle exception de l'article 9 ; quelles catégories de personnes et de données, en signalant les données sensibles ; qui y accède en interne (par fonction, pas par nom) ; quels destinataires et sous-traitants, avec la référence du contrat et, pour un hébergeur, du certificat HDS ; quelles durées en base active et en archive, avec le sort final ; quelles mesures de sécurité principales ; et qui est le référent métier de la fiche. Datez chaque fiche et chaque mise à jour : un registre non daté ne prouve rien.

Les traitements qu'on oublie toujours

Dans un établissement ou une structure de soins : la vidéoprotection, la téléphonie et ses enregistrements, les badges d'accès, la géolocalisation des véhicules, les astreintes, la gestion des plaintes et des événements indésirables, les cookies du site web, la newsletter, les candidatures spontanées. Chez un éditeur : les données de support (tickets contenant des données de patients !), les logs techniques, les environnements de démonstration, la télémaintenance. Ces traitements « périphériques » sont précisément ceux que les contrôles débusquent en premier, parce qu'ils échappent au radar du DPO quand le registre a été bâti en chambre.

Du registre à la conformité qui vit

Le registre bien construit devient le tableau de bord de tout le reste : il révèle les traitements qui exigent une AIPD, les contrats de sous-traitance manquants, les durées de conservation jamais appliquées, les flux hors Union oubliés. D'où la règle d'or : toute nouvelle application, tout nouveau prestataire, tout nouveau projet passe par une mise à jour du registre avant sa mise en production. C'est cette discipline — plus que la perfection du document initial — qui fait la différence le jour où il faut rendre des comptes.