Registre des traitements en PME : qui décide, qui exécute
— L'équipe Mnemetic
Dans une PME, qui doit tenir le registre des traitements : la direction, le DPO ou le prestataire informatique ?
La direction porte la responsabilité du registre des traitements. Elle peut en déléguer la rédaction à un DPO ou à un prestataire, mais elle ne peut déléguer la décision : qui a le droit de voir quelle donnée, et dans quel outil.
C'est là que la plupart des PME se trompent. Elles cherchent d'abord un modèle de registre à remplir, alors que la vraie question est de gouvernance : qui arbitre, au moment de brancher un logiciel ou d'ouvrir un accès, ce qu'il a le droit de lire.
La répartition des rôles : qui décide, qui conseille, qui exécute
Dans le schéma décrit par expertis-it.fr, trois rôles se distinguent dans une PME : la direction décide des finalités et porte la responsabilité légale du traitement, le DPO (quand il existe) conseille et contrôle la conformité, le RSSI ou le prestataire informatique configure les accès techniques. Aucun des trois ne peut se substituer à la direction pour décider qu'un outil a le droit de lire telle donnée. Un prestataire qui paramètre un logiciel de paie exécute une décision, il ne la prend pas.
Pourquoi le prestataire informatique n'est pas automatiquement le DPO
Beaucoup de PME confondent l'administrateur du système d'information et le DPO, souvent parce que le même prestataire gère les deux casquettes. Or expertis-it.fr rappelle que le rôle du prestataire reste technique : il met en place les accès que la direction a validés, il ne décide pas des finalités d'un traitement ni de qui peut consulter quoi. Confondre les deux rôles revient à laisser un exécutant décider seul de ce qu'un outil peut lire, ce qui fait porter la responsabilité sur la mauvaise personne sans jamais la retirer à la direction.
L'objection qu'on entend dans beaucoup de PME : « notre prestataire connaît les outils mieux que nous »
C'est vrai, et ce n'est pas la question. Le prestataire connaît la technique : il sait ouvrir un accès, créer un compte, connecter un logiciel à un autre. Mais savoir comment faire une chose n'est pas décider si elle doit être faite. Un prestataire peut recommander, alerter sur un risque, proposer une configuration plus prudente qu'une autre. La décision de confier telle donnée à tel outil, elle, engage la responsabilité légale de la direction au titre de l'article 24 du RGPD, rappelée par silexo.fr, pas celle du prestataire. Déléguer cette décision de fait, même sans le dire, revient à déplacer une responsabilité qui reste, sur le papier, celle du dirigeant.
Le cas d'une PME responsable de traitement et sous-traitante
Une PME qui vend une prestation (hébergement, maintenance, logiciel en mode SaaS) tout en gérant ses propres données RH et clients occupe deux positions à la fois : responsable de traitement pour ses données internes, et sous-traitante pour celles de ses clients. silexo.fr rappelle que l'article 30.2 du RGPD impose dans ce cas deux registres distincts, et non un seul document partagé. Mélanger les deux revient à perdre la trace de qui a autorisé quoi, pour quelles données, et c'est exactement le type de confusion qui complique l'arbitrage sur les accès des outils.
Qui met le registre à jour au quotidien sans DPO interne
Dans une PME sans DPO interne, la mise à jour quotidienne du registre revient souvent à la direction elle-même ou à une personne qu'elle désigne, pas au prestataire externe. silexo.fr souligne que la responsabilité de tenue reste celle de la direction au titre de l'article 24 du RGPD, même quand la rédaction est confiée à un tiers. Un prestataire peut proposer une trame, remplir les champs techniques, mais il ne peut pas décider à la place de la direction qu'un nouvel outil a le droit d'accéder à telle catégorie de données. Cette décision reste, traitement par traitement, celle du dirigeant.
Ce qui change concrètement à chaque nouvel outil
Avant de brancher un nouveau logiciel, trois questions se posent dans l'ordre : quelles données il va lire, qui dans l'entreprise a besoin d'y accéder, et qui en dehors de l'entreprise (le prestataire qui l'installe, l'éditeur qui l'héberge) y aura aussi accès. Tant que ces trois réponses ne sont pas écrites, et pas seulement discutées en réunion, le registre ne peut pas être mis à jour sérieusement : il ne décrirait qu'une intention, pas un accès réel. La direction peut déléguer qui pose ces questions, elle ne peut pas déléguer qui y répond en dernier.
Tenir un registre à jour n'est donc pas qu'un exercice documentaire. C'est l'occasion de revoir, chaque fois qu'un outil change, qui doit vraiment y avoir accès.