Le registre des traitements
tient sur une page.
Les guides sur le sujet sont solides sur les principes. Ils ouvrent presque tous sur un chiffre qui fait peur sans informer, se trompent sur deux délais, oublient l’obligation la plus concrète, et ignorent une échéance de 2026 que personne ne relie au sujet.
Le risque réel pour une petite structure
Les articles sur le sujet ouvrent presque tous sur vingt millions d’euros ou quatre pour cent du chiffre d’affaires mondial. Le chiffre est exact : c’est le plafond le plus élevé prévu par le règlement.
Il ne décrit pas votre situation. Ce plafond vise les manquements les plus graves de très grandes organisations. Une TPE qui n’a pas tenu son registre ne s’expose pas à cette somme.
Ce à quoi elle s’expose est différent, et plus probable : un contrôle déclenché par une plainte ou par un incident, au cours duquel il faudra démontrer ce qui a été fait. L’autorité française a par ailleurs annoncé consacrer la moitié de ses contrôles de 2026 à la sécurité des données, sujet développé dans notre article sur son rapport annuel.
Le registre des traitements
C’est l’obligation la plus concrète, la plus oubliée, et celle qu’un contrôleur demandera en premier.
Il s’agit d’un document listant les traitements de données que vous réalisez. Pour une petite entreprise, il tient souvent sur une page et couvre trois ou quatre lignes : le fichier clients, la liste de diffusion, les candidatures reçues, éventuellement la vidéosurveillance.
Une heure suffit à le rédiger. Son absence est le premier constat d’un contrôle, et le plus difficile à rattraper après coup.
| Ce que chaque ligne doit préciser | Exemple pour un fichier clients |
|---|---|
| La finalité | Gestion des devis, des commandes et du suivi après vente |
| Les catégories de données | Identité, coordonnées, historique des prestations |
| Les personnes concernées | Clients et prospects ayant demandé un devis |
| Les destinataires | Le dirigeant, le comptable, l’hébergeur du logiciel |
| La durée de conservation | Durée de la relation, puis délais légaux applicables |
| Les mesures de sécurité | Accès par mot de passe, double authentification, sauvegarde |
Les délais exacts
Deux délais sont régulièrement mal rapportés, à commencer par celui de réponse aux demandes, souvent donné pour trente jours.
Le délai est d’un mois à compter de la réception de la demande, et non de trente jours. Il peut être prolongé de deux mois lorsque la demande est complexe, à condition d’en informer la personne dans le premier mois et de lui en donner la raison. Cette possibilité de prolongation n’était pas mentionnée.
Le délai de soixante-douze heures pour signaler une violation de données court à partir du moment où vous en prenez connaissance, et non de la survenue de l’incident. La notification n’est pas requise si la violation n’est pas susceptible d’engendrer un risque pour les personnes.
Les durées de conservation
C’est le point où les petites entreprises se mettent le plus souvent en difficulté, par accumulation plutôt que par négligence.
- Prospect sans réponse : trois ans à compter du dernier contact venant de lui, selon la recommandation de l’autorité française.
- Client : durée de la relation commerciale, prolongée par les délais légaux de conservation applicables aux pièces comptables.
- Candidature non retenue : deux ans après le dernier contact, sauf accord de la personne pour une durée plus longue.
- Données de connexion et journaux techniques : durée limitée, définie selon la finalité de sécurité.
La règle de fond est plus simple que la liste : ce que vous ne conservez pas ne peut ni fuir, ni vous être reproché. Un fichier de prospects de 2015 n’a aucune valeur commerciale et constitue un risque net.
Le consentement, et quand il ne s’impose pas
Une confusion fréquente mérite d’être levée : le consentement n’est pas la seule base légale possible, et ce n’est pas toujours la bonne.
Lorsque le consentement s’applique, trois règles ne souffrent pas d’exception : les cases précochées sont exclues, chaque finalité se recueille séparément, et le retrait doit être aussi simple que l’inscription.
| Situation | Base légale généralement adaptée |
|---|---|
| Envoyer une lettre d’information commerciale | Consentement, recueilli séparément et de façon univoque |
| Traiter les données nécessaires à un devis ou une commande | Exécution du contrat ou mesures précontractuelles |
| Conserver des factures | Obligation légale de conservation |
| Sécuriser l’accès à ses propres systèmes | Intérêt légitime de l’entreprise |
La nouveauté de 2026
Voilà le point le plus important, et il n’a rien à voir avec le règlement sur les données.
Le règlement européen sur l’intelligence artificielle a produit deux échéances qui concernent les outils de gestion commerciale. Depuis février 2025, toute entreprise utilisant un système d’intelligence artificielle doit avoir formé les personnes qui s’en servent. Depuis le 2 août 2026, des obligations de transparence sont applicables.
Or beaucoup d’outils de gestion commerciale ont intégré des fonctions de notation de prospects, de rédaction automatique de messages ou de résumé d’échanges. Ces fonctions entrent dans le périmètre, souvent sans que personne ne l’ait remarqué, sujet développé dans notre article sur les obligations de transparence.
Ce qu’on nous demande le plus souvent.
Quel est le délai pour répondre à une demande d’accès ou de suppression ?
Un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou lorsque plusieurs demandes sont reçues, à condition d’informer la personne de cette prolongation et de sa raison dans le premier mois.
Le risque est-il vraiment de vingt millions d’euros ?
C’est le plafond théorique le plus élevé prévu par le règlement, applicable aux manquements les plus graves de très grandes organisations. Pour une TPE, le risque réel n’est pas ce montant : c’est le contrôle déclenché après un incident, et les obligations qui s’activent à ce moment-là.
Que faut-il faire en cas de fuite de données ?
Notifier l’autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque. Si le risque est élevé pour les personnes concernées, il faut également les informer, dans les meilleurs délais.
Combien de temps conserver les données d’un prospect ?
L’autorité de contrôle recommande une durée de trois ans à compter du dernier contact émanant du prospect. Pour un client, la durée se rattache à la relation contractuelle et aux obligations légales de conservation qui la prolongent.
Qu’est-ce que le registre des traitements ?
Un document listant les traitements de données que vous réalisez : la finalité, les catégories de données, les personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité. Il est obligatoire dans la plupart des cas et tient souvent sur quelques lignes pour une petite structure.
Un outil doté de fonctions d’intelligence artificielle change-t-il quelque chose ?
Oui, depuis 2025 et 2026. Une obligation de former les personnes qui utilisent un système d’IA est en vigueur depuis février 2025, et des obligations de transparence sont applicables depuis le 2 août 2026. Un outil de gestion commerciale intégrant un module de notation ou de rédaction automatique entre dans ce périmètre.
- Règlement général sur la protection des données : délais de réponse aux demandes, notification des violations, montants maximaux des sanctions.
- Recommandations de l’autorité française de contrôle sur les durées de conservation des données de prospection et de gestion clients.
- Priorités de contrôle annoncées par cette même autorité pour 2026, dont la part consacrée à la sécurité des données.
- Règlement européen sur l’intelligence artificielle : obligation de formation applicable depuis février 2025, obligations de transparence depuis le 2 août 2026.
- Jurisprudence européenne sur l’exclusion des cases précochées comme mode de recueil du consentement.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Cet article expose un cadre général et ne constitue pas un conseil juridique adapté à votre situation. Pour aller plus loin : notre politique de confidentialité, la sauvegarde et la sécurité ou les sites réalisés sur mesure.
Votre registre des traitements existe-t-il ?
Une page, une heure de travail, et c’est le premier document qu’un contrôleur demandera. Son absence est difficile à rattraper après coup.