Aller au contenu principal
Quel Logiciel Contrats

Registre RGPD et registre des contrats : à relier ?

Vous tenez un registre des contrats, votre référent RGPD tient le sien, et quelqu’un propose de tout mettre au même endroit.

Gardez deux registres, reliés par un identifiant de contrat. L’article 30 du RGPD décrit des traitements : finalités, catégories de personnes et de données, destinataires, transferts. Un registre des contrats décrit des engagements : parties, dates, préavis, responsable.

Le lien sert dans un seul sens utile : quand un contrat ajoute un destinataire de données, le registre de traitements doit le savoir. La CNIL demande d’y porter toute modification, dont un nouveau destinataire.

Notre avis

Deux registres reliés par un identifiant de contrat. Les fusionner mélange deux objets et, à notre avis, deux responsables.

Pourquoi

  • Une ligne du registre RGPD décrit un traitement, comme la paie. Elle peut s’appuyer sur plusieurs contrats, et un contrat peut servir à plusieurs traitements : une table unique ne tient pas cette relation.
  • Le registre RGPD peut être demandé par la CNIL. Y mêler prix, préavis et notes de négociation revient à préparer une extraction à chaque demande.
  • Le registre des contrats appartient à qui suit les dates ; le registre RGPD à qui répond des traitements. Ce partage est notre opinion, le texte ne désigne pas la personne.

Ce qui change notre avis

Petite structure où une seule personne fait tout, avec très peu de contrats : un classeur à deux onglets suffit, mais gardez deux onglets. L’allègement sous 250 salariés ne vous dispense pas des traitements courants.

La dérogation sous 250 salariés couvre moins qu’on le dit

L’article 30, paragraphe 5, écarte l’obligation pour une entreprise de moins de 250 employés, sauf si le traitement présente un risque pour les droits et libertés, n’est pas occasionnel, ou porte sur des données sensibles ou relatives à des condamnations. La CNIL écrit que cette dérogation reste limitée à des cas très particuliers, et donne la paie et la gestion des fournisseurs comme exemples de traitements non occasionnels.

Conclusion pour une PME : si vous gérez des fournisseurs ou des salariés, attendez-vous à tenir ces lignes-là. Le contrat fournisseur n’y entre pas comme tel, seul le traitement y figure.

Ce que chaque registre porte

Le tableau reprend le contenu de l’article 30 pour la colonne de gauche. La colonne de droite n’est pas une norme : c’est le registre que nous conseillons.

Deux objets, une clé commune
Registre des traitements (article 30)Registre des contrats (notre conseil)
Nom et coordonnées du responsable, du délégué à la protection des donnéesParties au contrat, signataire
Finalité du traitementObjet du contrat
Catégories de personnes et de donnéesRien : ce détail reste à l’autre registre
Catégories de destinataires (la CNIL y inclut les sous-traitants)Le prestataire, avec l’accord de sous-traitance rattaché
Transferts hors de l’UnionLieu d’hébergement et base de transfert, si vous suivez le contrat de ce point de vue
Délais d’effacement, si possibleDates de fin, préavis, date limite de dénonciation
Description générale de la sécurité, si possibleResponsable du suivi
Notre ajout, hors article 30 : identifiant du ou des contrats liésIdentifiant du ou des traitements liés

Le geste qui relie les deux

Fixez un identifiant de contrat dans le registre des contrats, et reportez-le dans la ligne de traitement concernée.

  1. À chaque nouveau contrat, posez une question. Ce prestataire reçoit-il des données personnelles ? Si oui, prévenez qui tient le registre RGPD et notez la date de l’avis.
  2. À chaque changement de sous-traitant annoncé. Faites suivre l’avis au même destinataire : la CNIL cite le nouveau destinataire parmi les modifications à porter au registre. Le lien entre un contrat et cette modification est notre déduction.
  3. À la fin d’un contrat. Prévenez aussi : le destinataire disparaît, et le sort des données est à régler.
  4. Si vous êtes aussi sous-traitant pour vos clients. Vous tenez un registre distinct pour ces activités (article 30, paragraphe 2).

Votre registre des contrats est lui aussi un traitement

Il contient des noms de signataires et d’interlocuteurs. Nous en déduisons qu’il a sa ligne dans le registre RGPD, avec une durée de conservation. L’article 5 demande de ne garder les données que le temps nécessaire, et la CNIL rappelle qu’à défaut de texte, le responsable fixe cette durée. Nous traitons la purge sur une page à part.

Limites de cette page

La fusion n’est pas interdite : aucun texte lu ne l’empêche, et aucun ne dit qui doit tenir chaque registre au sein d’une entreprise. Cet avis est une recommandation d’organisation de notre part, sans étude à l’appui. Les outils qui promettent les deux n’ont pas été testés. La CNIL ne fixe pas de rythme calendaire pour le registre : toute revue trimestrielle ou annuelle reste une habitude à vous.

Et maintenant ?

Ajoutez une colonne « traitement lié » à votre registre des contrats et faites la réciproque avec votre référent RGPD. Si une même personne tient tout, gardez tout de même deux onglets.

Preuves et sources

Article 30 du RGPD et page de la CNIL sur le registre lus le 5 novembre 2026. Modèle de registre de la CNIL non détaillé ici.

Voir les 7 éléments : ce qui est un fait lu, une déclaration, notre déduction ou notre avis

  • Fait lu. Chaque responsable tient un registre comportant notamment ses coordonnées, les finalités, les catégories de personnes et de données, les catégories de destinataires, les transferts et, dans la mesure du possible, les délais d’effacement et une description de la sécurité ; chaque sous-traitant tient un registre pour les activités effectuées pour le compte du responsable.

    Portée : Article 30, paragraphes 1 et 2.

    Réserve : Version initiale lue. Ne désigne pas le contrat comme entrée du registre.

    Relevé le 5 novembre 2026.

  • Fait lu. Les registres se présentent sous forme écrite, y compris électronique ; l’obligation ne s’applique pas à une entreprise de moins de 250 employés, sauf si le traitement présente un risque, n’est pas occasionnel, ou porte sur des données sensibles ou relatives à des condamnations.

    Portée : Article 30, paragraphes 3 et 5.

    Relevé le 5 novembre 2026.

  • Fait lu. La CNIL écrit que la dérogation est limitée à des cas très particuliers et cite la paie et la gestion des fournisseurs comme traitements non occasionnels.

    Portée : France, doctrine de la CNIL.

    Réserve : Page non datée dans la partie lue.

    Relevé le 5 novembre 2026.

  • Fait lu. La CNIL indique que toute modification des conditions d’un traitement, dont un nouveau destinataire, doit être portée au registre, et que le registre doit pouvoir lui être communiqué sur demande.

    Portée : France, doctrine de la CNIL.

    Réserve : Ne vise pas directement les contrats. Aucun rythme calendaire n’est fixé.

    Relevé le 5 novembre 2026.

  • Notre déduction. Un contrat qui ajoute un destinataire de données peut appeler une mise à jour du registre, et un registre des contrats contenant des noms est lui-même un traitement.

    Portée : Déduction à partir de l’article 30 et de la page de la CNIL.

    Réserve : Non dit par la CNIL.

    Relevé le 5 novembre 2026.

  • Fait lu. Les données personnelles ne sont conservées que le temps nécessaire aux finalités ; à défaut de texte, le responsable fixe la durée.

    Portée : Article 5, paragraphe 1, point e ; page de la CNIL du 2 avril 2026.

    Réserve : Aucune durée propre aux contrats.

    Relevé le 5 novembre 2026.

  • Notre avis. Tenir deux registres reliés par un identifiant de contrat, avec deux responsables si la taille le permet.

    Portée : PME et ETI.

    Réserve : Aucun texte n’interdit la fusion.

    Relevé le 5 novembre 2026.

Notre méthode