Registre du sous-traitant : ce qu'il contient vraiment

Deux registres, deux objets différents

Un sous-traitant qui recopie le registre de son client ne tient pas un registre conforme : il documente la mauvaise chose. Le registre des activités de traitement de la CNIL est clair sur ce point : le registre du responsable de traitement documente les finalités (pourquoi les données sont collectées), celui du sous-traitant documente les prestations exécutées pour le compte de chaque client (ce qu'il a le droit de lire et de faire).

Ce que chaque registre doit contenir

Le chapitre IV du RGPD, dans son article 30, fixe des mentions distinctes :

• Registre du responsable de traitement : les finalités du traitement, les catégories de personnes concernées et de données, les destinataires, les délais de conservation, les mesures de sécurité.
• Registre du sous-traitant : le nom et les coordonnées de chaque responsable de traitement pour lequel il agit, les catégories de traitements effectués pour son compte, les transferts de données hors Union européenne le cas échéant, et une description générale des mesures de sécurité.

La différence tient en une phrase : le premier explique pourquoi, le second explique pour qui et jusqu'où.

Quand vous cumulez les deux rôles

Une PME prestataire reste souvent responsable de traitement pour ses propres besoins, par exemple la gestion de la paie de ses salariés ou de son fichier prospects. La CCI Paris Ile-de-France recommande dans ce cas de tenir deux registres distincts : l'un pour ce que vous décidez vous-même, l'autre pour ce que vous exécutez au nom de vos clients. Les mélanger rend le registre illisible et masque justement ce qui compte le plus, à savoir le périmètre d'accès accordé client par client.

Liste de contrôle avant de considérer son registre complet

• Chaque client pour lequel vous agissez comme sous-traitant est identifié nommément.
• Pour chaque client, les catégories de traitements exécutés sont décrites, pas seulement listées en vrac.
• Les sous-traitants ultérieurs que vous mobilisez (hébergeur, outil tiers) sont mentionnés.
• Les transferts hors Union européenne, s'il y en a, sont signalés.
• Le registre est mis à jour à chaque nouveau client ou nouvelle prestation, pas une fois par an.

Un registre qui répond à ces cinq points dit exactement ce que votre structure a le droit de lire, et pour qui. C'est cette clarté, posée en amont, qui évite ensuite de devoir la reconstituer dans l'urgence.