Registre des traitements RGPD en Belgique : guide APD

Le registre des traitements en Belgique, ou registre des activités de traitement, est l'inventaire écrit de chaque utilisation de données personnelles dans votre entreprise. L'article 30 du RGPD (règlement 2016/679) impose au responsable de traitement de tenir ce document. L'Autorité de protection des données (APD) le réclame en premier lors d'un contrôle ou après une plainte.

Vous ne savez pas quels outils tiers votre site sollicite ? Analysez votre site gratuitement pour obtenir la liste des trackers et scripts avant de remplir votre registre.

Allez directement au modèle de registre pour une PME belge, ou lisez la suite pour les règles.

Qui doit tenir un registre ?

L'article 30.5 du RGPD prévoit une dispense pour les organisations de moins de 250 travailleurs. Elle ne s'applique que si les trois conditions suivantes sont réunies en même temps :

• Le traitement est occasionnel et non une activité régulière
• Le traitement ne présente aucun risque pour les droits et libertés des personnes
• Aucune donnée sensible n'est traitée (santé, convictions, religion, biométrie, infractions)

En pratique, la dispense est très étroite. L'APD rappelle dans son vade-mecum pour les PME que la quasi-totalité des organisations doivent tenir un registre.

Ce que le registre doit contenir

Pour un responsable de traitement, chaque traitement documente :

1. Le nom et les coordonnées du responsable et de son représentant éventuel
2. Le nom du DPD si vous en avez désigné un
3. Les finalités du traitement, par exemple envoyer des confirmations de commande ou mesurer l'audience
4. Les catégories de personnes, clients, visiteurs, travailleurs ou candidats
5. Les catégories de données, noms, e-mails, adresses IP, données financières ou de santé
6. Les destinataires, chaque prestataire qui reçoit des données. Chaque sous-traitant exige un contrat de sous-traitance au titre de l'article 28
7. Les transferts hors UE, le pays et la garantie applicable (clauses contractuelles types, décision d'adéquation)
8. La durée de conservation de chaque catégorie de données
9. Une description générale des mesures de sécurité (chiffrement, contrôle des accès, sauvegardes)

Le modèle de registre de l'APD

Vous n'avez pas à partir d'une feuille blanche. L'APD met à disposition un modèle de registre et un vade-mecum pensés pour les PME. La loi belge du 30 juillet 2018 complète le RGPD sans modifier l'obligation de registre.

Le modèle couvre les champs de l'article 30.1. Vous remplacez les exemples par votre situation et vous obtenez un registre exploitable en moins d'une heure.

Modèle de registre pour une PME belge

Voici un tableau à adapter. Chaque ligne correspond à un traitement.

Entreprise : [Nom de votre entreprise]
Numéro d'entreprise (BCE) : [Votre numéro BCE]
Contact : [Adresse e-mail pour les questions de données]
Dernière mise à jour : [Date]

Durées de conservation en droit belge

La durée de conservation est le champ que l'APD examine en premier. Évitez la mention « aussi longtemps que nécessaire » et indiquez une durée précise avec sa base.

Erreurs courantes à éviter

Ce que l'APD fait de votre registre

Le registre est un document interne. Vous n'avez pas à le publier. Mais l'APD peut l'exiger lors d'un contrôle ou après une plainte. Un registre absent ou incomplet est en soi un manquement, et un signal qui déclenche un examen plus poussé.

Un bon registre prouve que vous avez réfléchi à vos traitements et que vos obligations RGPD pour PME belges sont posées.

Étapes pratiques pour créer votre registre

1. Partez du modèle de l'APD ou d'un tableur
2. Listez chaque outil et service qui touche des données personnelles
3. Remplissez les colonnes pour chaque traitement à partir du tableau ci-dessus
4. Passez votre site en revue pour repérer l'analytics, les cartes, les widgets de chat et les autres scripts
5. Incluez le hors-ligne, formulaires papier, registres téléphoniques, vidéosurveillance
6. Datez le registre et programmez une revue tous les 6 à 12 mois

Pour les points visibles de votre site, lancez d'abord un audit RGPD de votre site web.

Questions fréquentes

Une PME belge de moins de 250 travailleurs doit-elle tenir un registre ?

Le plus souvent oui. L'article 30.5 du RGPD ne dispense que si les trois conditions sont réunies : traitement occasionnel, absence de risque et absence de données sensibles. Une entreprise avec un site, une newsletter ou du personnel reste soumise à l'obligation.

Quelle autorité contrôle le registre en Belgique ?

L'Autorité de protection des données (APD). Elle peut réclamer le registre lors d'un contrôle ou après une plainte.

Le registre doit-il être public ?

Non. C'est un document interne. Seule l'APD, sur demande, ainsi que votre DPD éventuel et votre direction y ont accès.

Cet article est une analyse technique et ne constitue pas un conseil juridique. Consultez un juriste pour votre situation spécifique.

Sources

• Règlement (UE) 2016/679 - Règlement général sur la protection des données (eur-lex.europa.eu)
• APD - Le registre des activités de traitement (autoriteprotectiondonnees.be)
• APD - Vade-mecum pour les PME (autoriteprotectiondonnees.be)