Cette page décrit ce que doit contenir un registre conforme à l'article 30, point par point. Elle ne remplace pas l'avis d'un juriste, mais elle vous évite de signer un document creux ou d'en produire un qui ne vous protège pas.
Une fiche par traitement, pas une ligne. Prospection, gestion client, recrutement, vidéosurveillance : chacun a sa finalité et sa base légale propres.
La base légale de chaque traitement : consentement, contrat, obligation légale, intérêt légitime. C'est le champ le plus souvent laissé vide, et le premier vérifié.
Les destinataires, y compris internes. « Le service commercial » est un destinataire.
Les durées de conservation, exprimées en années et rattachées à un motif — trois ans après le dernier contact pour la prospection, dix ans pour les pièces comptables.
Les transferts hors Union européenne, s'il y en a, et leur encadrement.
Les mesures de sécurité, décrites et non promises.
Utiliser un modèle sans compléter les annexes. C'est l'erreur numéro un : le corps du texte est générique, ce sont les annexes qui rendent le document opposable.
Reprendre un modèle anglo-saxon traduit. Les notions ne se recouvrent pas, et certaines clauses sont sans effet en droit français.
Ne pas dater ni versionner. Un document non daté ne prouve rien sur ce qui était convenu à un moment donné.
Le signer sans le lire parce qu'il vient du prestataire. Vous restez responsable de son contenu.
Complétez d'abord les parties qui vous sont propres : identités, périmètre, durées, annexes. Ce travail prend une à deux heures et il ne peut pas être délégué au modèle.
Faites-le relire si l'enjeu le justifie. Pour un contrat de sous-traitance destiné à des cabinets d'avocats ou à des établissements de santé, la relecture se rentabilise au premier client.
Datez, versionnez, et conservez chaque version signée.
Mesurez avant d'acheter. Une semaine d'observation dans votre organisation vaut plus qu'une statistique de secteur.
Commencez petit. Une vingtaine de documents réellement consultés et cinq utilisateurs suffisent à savoir si l'outil s'installe dans les habitudes.
Choisissez ce dont vous pouvez sortir. Un délai de restitution chiffré et l'absence de frais de sortie rendent l'erreur peu coûteuse.
Un système d'IA ne remplace pas une organisation. Si l'information n'a jamais été écrite, il n'y a rien à indexer.
Il ne fait pas le travail à la place des équipes : il supprime le temps de recherche, pas le temps de traitement.
Et il ne sert à rien si une seule personne l'utilise. Nous mesurons l'usage et nous le disons si l'adoption ne prend pas.
Ce document, complété et signé, fait partie de ce que nous remettons au démarrage — sans qu'il faille le demander.
S'y ajoutent le registre des traitements, la liste nominative de nos sous-traitants avec leur localisation, la clause de réversibilité et la documentation de conformité AI Act.
C'est ce que réclament en premier les cabinets d'avocats, les laboratoires et les établissements de santé. Un prestataire qui ne l'a pas préparé n'a pas mesuré son marché.
Toute organisation, quelle que soit sa taille, dès lors qu'elle traite des données personnelles de façon non occasionnelle. L'exemption pour les moins de 250 salariés est très étroite en pratique.
À chaque nouveau traitement, et au moins une fois par an. Un registre daté de trois ans est pire qu'un registre absent.
Il est demandé en premier. Son absence ou son caractère manifestement incomplet oriente immédiatement la suite du contrôle.