Dans une collectivité, le registre des activités de traitement peut vite devenir un document consulté seulement lors d’un audit ou d’une question du délégué à la protection des données. Pourtant, il décrit les usages de données personnelles associés aux services : état civil, gestion des agents, inscriptions scolaires ou démarches en ligne. Le tenir à jour aide les équipes à comprendre quelles informations sont utilisées, pour quelle finalité et par quels acteurs. À condition de le relier aux projets et aux pratiques quotidiennes, plutôt que de le traiter comme une formalité isolée.
Le règlement général sur la protection des données (RGPD) prévoit la tenue d’un registre par les responsables de traitement et les sous-traitants concernés. Les organismes publics ne bénéficient pas de l’exemption prévue pour certaines petites structures. Pour une commune ou un établissement public, le registre recense notamment les finalités, les catégories de personnes et de données, les destinataires, les durées de conservation et les mesures de sécurité. Il ne prouve pas à lui seul que chaque traitement respecte les règles, mais il fournit une base pour examiner les choix et documenter les responsabilités.
La mise à jour du registre gagne à suivre le rythme des projets, plutôt qu’un calendrier administratif déconnecté. Lorsqu’un service lance un formulaire, change de logiciel ou confie une activité à un prestataire, il peut signaler les évolutions au référent désigné et au délégué à la protection des données, s’il y en a un. Une fiche de création ou de modification, intégrée au circuit de validation du projet, permet de recueillir les informations utiles avant la mise en service. Une photographie de cette revue montre des agents comparant des documents de travail et un écran, sans exposer de données réelles.
La qualité du registre dépend aussi de la répartition des rôles. Les services métiers connaissent les objectifs du traitement et les informations réellement recueillies ; la direction des systèmes d’information peut préciser les applications, les accès et les transferts. Le délégué à la protection des données conseille et accompagne, mais la responsabilité du respect du RGPD revient au responsable de traitement, généralement la collectivité. Pour éviter les descriptions imprécises, les fiches doivent être relues par les personnes qui utilisent effectivement le service, et non complétées uniquement à partir du nom d’un logiciel.
Le registre aide également à repérer les écarts entre les documents et les usages. Une durée de conservation indiquée sans lien avec les règles d’archivage, un destinataire oublié ou une collecte devenue inutile mérite une vérification avec le service concerné. Les échanges avec un prestataire doivent être décrits en tenant compte de son rôle et des données auxquelles il accède ; le contrat et les mesures de sécurité restent à examiner séparément. Cette revue peut faire apparaître un besoin de modifier une procédure, de restreindre des accès ou d’évaluer les risques avant un changement important.
Pour rester exploitable, le registre doit être accessible aux personnes qui contribuent à sa mise à jour, tout en étant protégé contre les modifications non maîtrisées. Un outil simple et partagé peut convenir si les responsabilités, les règles de version et la fréquence de revue sont définies. Il est utile de conserver une trace des modifications et de relier chaque fiche aux documents pertinents, sans y recopier inutilement des données personnelles. En faisant du registre un point de passage des projets numériques, la collectivité améliore sa connaissance des traitements et peut corriger plus tôt les informations incomplètes ou dépassées.
