ROPA signification : qu'est-ce qu'un registre des activités de traitement ?
ROPA signifie Record of Processing Activities, soit registre des activités de traitement. Il s'agit du document interne que les organismes sont tenus de tenir en vertu de l'article 30 du RGPD, répertoriant chaque activité de traitement de données personnelles. Il est conservé en interne ; les autorités de contrôle peuvent le demander à tout moment.
ROPA et termes associés
| Terme | Forme complète | Signification |
|---|---|---|
| ROPA | Record of Processing Activities | Le registre imposé par l'article 30 du RGPD, tenu par les responsables de traitement et les sous-traitants. |
| Article 30 | RGPD Art. 30 | La disposition qui rend le registre obligatoire et fixe son contenu. |
| AIPD | Analyse d'impact relative à la protection des données | Une évaluation des risques plus approfondie, requise avant tout traitement à risque élevé au titre de l'article 35. |
| DPO | Data Protection Officer (délégué à la protection des données) | La personne chargée de conseiller sur la conformité au RGPD, y compris le registre, en vertu des articles 37 à 39. |
Qui doit tenir un registre ?
Responsables de traitement
Le responsable de traitement doit tenir un registre de toutes les activités de traitement qu'il effectue (article 30, paragraphe 1).
Sous-traitants
Le sous-traitant doit tenir un registre des catégories d'activités de traitement effectuées pour le compte des responsables de traitement (article 30, paragraphe 2).
L'exception pour les petites organisations
L'article 30, paragraphe 5, exempte les entreprises ou organisations de moins de 250 membres du personnel de cette obligation, mais uniquement si les trois conditions suivantes sont remplies :
- Le traitement n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes concernées
- Le traitement est occasionnel (non effectué de façon régulière)
- Le traitement ne porte pas sur des catégories particulières de données au sens de l'article 9, paragraphe 1, ni sur des données relatives à des condamnations pénales au sens de l'article 10
En pratique, presque toutes les organisations traitent régulièrement des données relatives à leurs employés et à leurs clients. La deuxième condition n'est donc pas remplie et l'exception ne s'applique pas. Pour les organisations qui traitent également des données de santé de leurs employés ou des données d'appartenance syndicale, la troisième condition fait également défaut.
Que doit contenir le registre d'un responsable de traitement ?
L'article 30, paragraphe 1, fixe les informations obligatoires que doit contenir le registre d'un responsable de traitement :
| Champ | Remarques |
|---|---|
| Nom et coordonnées du responsable de traitement et de tout co-responsable | Inclure les coordonnées du DPO le cas échéant |
| Finalités du traitement | Pourquoi les données sont traitées |
| Catégories de personnes concernées | Par exemple : clients, employés, visiteurs du site web |
| Catégories de données personnelles | Par exemple : coordonnées, données financières, données de santé |
| Catégories de destinataires | Y compris les destinataires dans des pays tiers ou des organisations internationales |
| Transferts vers des pays tiers ou des organisations internationales | Identifier le pays et le mécanisme de transfert (décision d'adéquation, CCT, BCR) |
| Délais d'effacement | Dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données |
| Description des mesures de sécurité techniques et organisationnelles | Dans la mesure du possible, une description générale |
La mention "dans la mesure du possible" concernant les délais d'effacement (article 30, paragraphe 1, point f) et les mesures de sécurité (article 30, paragraphe 1, point g) reflète le fait que ces éléments ne sont pas toujours définissables avec précision. Consignez-les avec autant de précision que les informations disponibles le permettent.
Que doit contenir le registre d'un sous-traitant ?
L'article 30, paragraphe 2, fixe les informations obligatoires que doit contenir le registre d'un sous-traitant :
| Champ | Remarques |
|---|---|
| Nom et coordonnées du sous-traitant et de chaque responsable de traitement pour le compte duquel il agit | Inclure les coordonnées du DPO le cas échéant |
| Catégories de traitements effectués pour le compte de chaque responsable de traitement | La nature du traitement, pas le détail complet des traitements de chaque responsable |
| Transferts vers des pays tiers ou des organisations internationales | Identifier le pays et le mécanisme de transfert |
| Description des mesures de sécurité techniques et organisationnelles | Dans la mesure du possible, une description générale |
Qu'est-ce qui constitue un "traitement" ?
L'article 4, paragraphe 2, du RGPD définit le traitement de manière large. Il couvre toute opération effectuée sur des données personnelles, que ce soit ou non par des moyens automatisés, notamment :
- La collecte, l'enregistrement, l'organisation, la structuration et la conservation
- L'adaptation ou la modification
- L'extraction, la consultation et l'utilisation
- La communication par transmission, diffusion ou toute autre forme de mise à disposition
- Le rapprochement ou l'interconnexion
- La limitation, l'effacement ou la destruction
Toutes ces opérations portant sur des données personnelles constituent un traitement et doivent être prises en compte pour l'inclusion dans votre registre.
Comment structurer un registre
Un registre est généralement structuré comme un tableau avec une ligne ou une entrée par activité de traitement. Une organisation peut avoir des dizaines d'activités distinctes : traitement RH, gestion clientèle, marketing, analytique web, détection des fraudes, etc. Chacune doit faire l'objet d'une entrée séparée.
Pour chaque entrée, consignez les champs requis par l'article 30. Si votre organisation agit à la fois en qualité de responsable de traitement et de sous-traitant (par exemple, vous traitez les données de vos propres employés en qualité de responsable, et les données de vos clients en qualité de sous-traitant), tenez les deux registres séparément.
Le registre peut être tenu sous forme de tableur, de base de données ou d'un logiciel dédié à la gestion de la conformité. Le format n'est pas imposé, mais le registre doit être établi sous forme écrite, ce qui inclut la forme électronique (article 30, paragraphe 3).
Transferts hors EEE et hors Royaume-Uni
Si vous transférez des données personnelles vers un pays situé en dehors de l'Espace économique européen (EEE), le registre de votre responsable de traitement doit identifier le pays ou l'organisation internationale et le mécanisme de transfert utilisé : une décision d'adéquation, des clauses contractuelles types (CCT), des règles d'entreprise contraignantes (BCR) ou une autre dérogation autorisée.
En vertu du RGPD britannique (qui s'applique séparément aux organisations établies au Royaume-Uni ou à celles qui traitent des données de résidents britanniques depuis le Brexit), la même obligation s'applique aux transferts hors du Royaume-Uni, en utilisant les équivalents britanniques : les règlements d'adéquation britanniques, l'International Data Transfer Agreement (IDTA) ou l'avenant britannique (UK Addendum).
Registre et AIPD
Un registre n'est pas la même chose qu'une AIPD. Le registre est un inventaire général de toutes les activités de traitement ; une AIPD est une évaluation des risques plus approfondie, effectuée avant le début d'un traitement à risque élevé. Le registre est un point de départ utile pour identifier les activités susceptibles de nécessiter une AIPD : toute entrée impliquant un traitement à grande échelle de données sensibles, une surveillance systématique ou un profilage aux effets significatifs nécessitera probablement une AIPD.
Maintenir le registre à jour
L'article 30 impose aux responsables de traitement et aux sous-traitants de mettre le registre à la disposition de l'autorité de contrôle sur demande. Le registre doit être mis à jour :
- Lors du démarrage d'une nouvelle activité de traitement
- Lors d'une modification d'une activité existante (nouveaux types de données, nouveaux prestataires, nouvelles finalités, nouveaux transferts)
- Lors de la suppression d'un prestataire ou d'un système
- Régulièrement dans le cadre d'une révision de routine, au moins une fois par an
Sanctions en cas d'absence de registre
Le fait de ne pas tenir de registre ou de ne pas le mettre à la disposition de l'autorité de contrôle relève de la tranche inférieure des amendes du RGPD : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Les autorités de contrôle demandent régulièrement le registre lors de leurs enquêtes. L'absence ou l'insuffisance du registre constitue en elle-même une violation de l'article 30, indépendamment de toute autre violation examinée.
Exigences en matière de registre dans d'autres réglementations sur la protection des données
| Réglementation | Équivalent | Remarques |
|---|---|---|
| RGPD de l'UE | ROPA (article 30) | Obligatoire pour les responsables de traitement et les sous-traitants ; l'exception pour les petites organisations s'applique rarement |
| RGPD britannique | ROPA (article 30 UK GDPR) | Les mêmes obligations s'appliquent aux organisations traitant des données de résidents britanniques |
| LGPD brésilienne | Registre des activités de traitement | Obligation similaire ; les orientations de l'ANPD précisent ce qui doit être inclus |
| PIPL chinoise | Enregistrements d'évaluation d'impact sur le traitement | L'article 55 impose des évaluations d'impact sur la protection des informations personnelles, avec une conservation des enregistrements d'au moins trois ans ; liées à des déclencheurs de traitement à haut risque, pas de registre autonome de type ROPA |
| Loi DPDP indienne | Pas d'équivalent direct | Des obligations générales de responsabilité s'appliquent ; aucune exigence de registre complet de type ROPA |
Comment UniConsent vous aide à tenir votre registre
Pour le suivi sur les sites web et les applications, le registre doit refléter quels cookies, traceurs et prestataires sont actifs et quelles données ils collectent. UniConsent propose :
- Le scanner de cookies détecte les cookies, pixels et SDK sur votre site avec leurs catégories et durées, couvrant les données nécessaires aux entrées du registre relatives à l'analytique web et à la publicité
- La bannière de consentement bloque les traceurs non consentis avant qu'ils ne se déclenchent, de sorte que les flux de données décrits dans votre registre correspondent à ce qui se passe réellement sur le site
- La liste des fournisseurs indique quels tiers reçoivent des données via votre solution de consentement, couvrant le champ "catégories de destinataires" de votre registre
- Les enregistrements de consentement fournissent la piste d'audit qui démontre la responsabilité en complément du registre
Questions fréquentes
Que signifie ROPA ?
ROPA signifie Record of Processing Activities, soit registre des activités de traitement. Il s'agit du registre requis par l'article 30 du RGPD qui documente chaque activité de traitement d'une organisation.
Le registre est-il obligatoire pour toutes les organisations ?
L'article 30, paragraphe 5, prévoit une exception étroite pour les organisations de moins de 250 personnes, mais elle ne s'applique que si les trois conditions sont remplies : le traitement n'est pas susceptible d'engendrer un risque pour les personnes concernées, il est occasionnel et ne porte pas sur des données sensibles ou relatives à des condamnations pénales. La plupart des organisations traitent des données d'employés ou de clients en continu, de sorte que l'exception s'applique rarement.
Quelle est la différence entre un registre et une AIPD ?
Un registre est un inventaire de toutes les activités de traitement, requis par l'article 30. Une AIPD est une évaluation des risques plus approfondie, requise uniquement pour les traitements à risque élevé au titre de l'article 35. Le registre couvre tout ; une AIPD se concentre sur des activités spécifiques répondant aux critères de risque élevé.
Qui peut demander à consulter le registre ?
L'autorité de contrôle compétente pour votre juridiction peut demander le registre à tout moment. La publication n'est pas obligatoire ; vous devez le mettre à la disposition de l'autorité sur demande.
Le registre doit-il couvrir toutes les personnes concernées ?
Oui. Le registre du responsable de traitement doit lister les catégories de personnes concernées pour chaque activité de traitement, incluant les employés, les clients, les visiteurs du site web, les abonnés à la newsletter et tout autre groupe dont vous traitez les données personnelles.
À quelle fréquence le registre doit-il être mis à jour ?
Chaque fois qu'une activité de traitement change : nouvelles finalités, nouveaux types de données, nouveaux prestataires, nouveaux transferts ou fin d'une activité. Au minimum, examinez l'ensemble du registre au moins une fois par an.
Pour aller plus loin
Gestionnaire de consentement UniConsent pour la conformité au RGPD
- Analyse et divulgation des cookies
- Blocage des balises JavaScript et des cookies
- Prise en charge de Google Consent Mode v2
- CMP certifié IAB
- Implémentation en une seule balise
- Prise en charge de plusieurs langues
- Solution facile en libre-service
- En savoir plus sur Guide de conformité RGPD
Conformez-vous aux réglementations mondiales sur la confidentialité
Commencez à rendre votre site web et votre application conformes au RGPD de l'UE, au CPRA des États-Unis, au PIPEDA de la CA, etc.
S'inscrireGardez une longueur d'avance sur la confidentialité et le consentement
Lois sur la confidentialité, consentement et conformité, quelques e-mails par mois.