Modèles et enregistrements · ISO 27701 · Chapitre A.1 y A.2
Modèle de registre des activités de traitement ISO 27701
La pièce maîtresse du système de protection de la vie privée : quelles données sont traitées, pourquoi, concernant qui, avec qui elles sont partagées et combien de temps elles sont conservées, traitement par traitement.
En une phrase
Le registre des activités de traitement décrit, pour chaque traitement, la finalité, les catégories de personnes concernées et de données, les destinataires, les transferts internationaux, les délais d’effacement et les mesures de sécurité, parce que l’article 30 du RGPD l’impose au responsable du traitement comme au sous-traitant et que l’ISO/IEC 27701 le reprend parmi les mesures de ses tableaux A.1 et A.2.
- Où la norme l’exige
- ISO 27701 · Chapitre A.1 y A.2 L’édition de 2025 est citée : les numéros 4 à 10 sont des chapitres ; A.1, A.2 et A.3 sont les tableaux de l’Annexe A regroupant les mesures du responsable du traitement, du sous-traitant et celles communes aux deux.
- Type d’information
- Document obligatoire Document à tenir à jour (art. 30 du RGPD ; mesures des tableaux A.1 et A.2)
- Qui le renseigne
- Le responsable de chaque traitement, avec le délégué à la protection des données Celui qui connaît le processus le décrit ; le délégué ou le responsable du PIMS vérifie qu’il est complet
- Quand
- Avant de lancer un traitement et à chaque changement Un nouvel outil, un nouveau prestataire ou une nouvelle finalité obligent à le revoir
- Durée de conservation
- Tant que le traitement existe C’est un document vivant : on le met à jour en conservant la version précédente, afin de pouvoir montrer ce qu’il était à chaque instant.
Ce que demande la norme
Ce qu’exige ISO 27701 et ce qui est laissé à votre appréciation
La norme demande au responsable du traitement et au sous-traitant de tenir un registre des traitements qu’ils effectuent, suffisamment détaillé pour les gérer et en apporter la preuve. Elle ne fixe pas de modèle : elle exige que le registre soit complet, à jour et connu de ceux qui décident de chaque traitement.
Le RGPD précise le contenu minimal : l’article 30.1 pour le responsable du traitement et l’article 30.2 pour le sous-traitant, qui consigne les catégories de traitements effectués pour le compte de chaque client. Le registre se tient par écrit, y compris sous forme électronique, et doit être mis à la disposition de l’autorité de contrôle sur demande.
L’article 30.5 exempte les organismes de moins de 250 salariés, sauf si le traitement comporte un risque, n’est pas occasionnel ou porte sur des catégories particulières de données. En pratique, presque aucune entreprise employant du personnel n’est exemptée, car la paie n’a rien d’occasionnel.
Structure
Les champs que doit comporter le modèle
- Nom et coordonnées du responsable du traitement et, le cas échéant, du délégué à la protection des données
- Rôle de l’organisme : responsable, responsable conjoint ou sous-traitant
- Finalité du traitement et base légale
- Catégories de personnes concernées et de données personnelles
- Catégories de destinataires, sous-traitants compris
- Transferts internationaux et garanties appliquées
- Délais prévus pour l’effacement
- Description générale des mesures de sécurité
- Systèmes ou applications qui supportent le traitement
- Date de la dernière revue et auteur de celle-ci
Exemple
Exemple : traitement de la paie dans une entreprise fictive
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Traitement | RAT-04 · Gestion de la paie · Ateliers Loire Nord SARL (fictive) |
| Rôle | Responsable du traitement |
| Finalité et base légale | Versement des salaires et obligations sociales et fiscales · Exécution du contrat de travail et obligation légale |
| Personnes et données | 86 salariés · Données d’identification, bancaires, de rémunération, situation familiale à des fins fiscales |
| Destinataires | Cabinet de paie externe (sous-traitant, contrat EN-2026-03), organismes de sécurité sociale, administration fiscale, banque |
| Transferts | Aucun |
| Effacement | Pendant la relation de travail, puis pendant la durée des délais de prescription applicables |
| Mesures | Accès réservé à deux personnes de l’administration, double authentification, chiffrement des envois au cabinet de paie |
| Revue | 12 mars 2026 · Responsable du PIMS |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Le registre a été établi une fois et ne reprend pas les outils introduits depuis.
- La base légale est présentée comme le « consentement » pour des traitements RH qui reposent sur le contrat ou la loi.
- Le sous-traitant recopie le registre du responsable du traitement et ne distingue pas les traitements effectués pour le compte de chaque client.
- Les délais d’effacement indiquent « ceux prévus par la loi » sans en préciser aucun.
- Les sous-traitants qui figurent au registre n’ont pas de contrat en vigueur.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Chaque traitement est une fiche du registre des activités avec son responsable et sa date de revue.
- 2L’arrivée d’un nouvel outil ou d’un nouveau prestataire déclenche un circuit qui oblige à revoir les traitements concernés.
- 3Les destinataires sont reliés aux fournisseurs et à leur contrat de sous-traitance.
- 4L’historique des versions permet de montrer le registre tel qu’il était à n’importe quelle date.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Le registre des activités est-il la même chose que l’inventaire des données ?
Pas exactement. Le registre décrit des traitements — à quoi servent les données — avec le contenu fixé par l’article 30. L’inventaire descend jusqu’à l’endroit où se trouvent les données : systèmes, fichiers, copies. Le premier est obligatoire ; le second est une bonne pratique qui alimente l’appréciation des risques.
Faut-il le publier ?
Le RGPD ne l’exige pas : il faut le mettre à la disposition de l’autorité de contrôle lorsqu’elle le demande. Certaines lois nationales imposent sa publication aux organismes publics.
À quelle fréquence le revoir ?
Chaque fois qu’un traitement change et, en plus, lors d’une revue périodique planifiée, en général annuelle, que l’auditeur de la norme vérifiera dans son échantillon.
Tenez les enregistrements ISO 27701 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Registre des activités de traitement
Le registre des activités de traitement est l’inventaire obligatoire de tous les traitements de données mis…
Mesures pour responsables du traitement et sous-traitants
L’Annexe A réunit les mesures de référence du PIMS pour les responsables du traitement et les sous-traitants…
Modèle d’inventaire des données personnelles ISO 27701
Bâtir l’inventaire des données personnelles d’un PIMS ISO 27701 : où sont les données, dans quels systèmes…
Modèle d’appréciation des risques pour la vie privée ISO 27701
Comment documenter l’appréciation des risques pour la vie privée de l’ISO 27701 : critères, risque pour les…