Chez Computis, nous accompagnons chaque semaine des PME romandes, des communes et des institutions publiques dans leur mise en conformité nLPD. Et sur le sujet du registre des traitements, nous rencontrons presque toujours la même scène : l'organisation sait qu'elle doit en tenir un, a peut-être téléchargé un modèle Excel quelque part, l'a ouvert une fois, puis l'a refermé, faute de savoir quoi mettre dedans. Le registre reste vide, non pas par négligence, mais parce que personne n'a expliqué comment le remplir.
Le registre des traitements n'est pas un exercice juridique. C'est simplement l'inventaire de ce que votre organisation fait déjà avec les données personnelles : qui, quoi, pourquoi, où, combien de temps. Vous ne créez rien de nouveau, vous mettez par écrit une réalité qui existe déjà.
Ce que la nLPD demande réellement
La nLPD, entrée en vigueur le 1er septembre 2023, impose aux responsables du traitement de tenir un registre de leurs activités de traitement de données personnelles. C'est une obligation de documentation : pouvoir décrire, à tout moment, ce que vous faites des données que vous détenez. Il existe des allègements pour les petites entreprises : les PME de moins de 250 collaborateurs sont dispensées de l'obligation formelle de registre, sauf si leurs traitements présentent un risque élevé pour la personnalité ou les droits fondamentaux (traitement de données sensibles à grande échelle, profilage à risque élevé). Mais attention : cette dispense de la forme ne dispense pas du fond. Vous restez tenu de respecter tous les principes de la loi, et sans inventaire de vos traitements, il est en pratique impossible de démontrer cette conformité. C'est pourquoi, chez Computis, nous recommandons à toute organisation, même dispensée, de tenir un registre. Non par formalisme, mais parce que c'est l'outil qui rend tout le reste possible : savoir quelles données vous détenez est le préalable à leur protection, à la gestion des demandes d'accès, et à la réaction en cas d'incident.
Ce qu'on observe sur le terrain
Dans une commune vaudoise, la question « quelles données personnelles traitez-vous ? » a d'abord reçu une réponse vague : « les habitants, le personnel… ». En listant méthodiquement, nous sommes arrivés à plus de vingt traitements distincts : contrôle des habitants, gestion des salaires, vidéosurveillance, listes électorales, inscriptions scolaires, gestion des déchets nominative, newsletter communale… Chacun avec ses données, sa finalité, sa durée de conservation. Aucun n'était documenté.
Dans une PME de services, le registre « existait », un fichier Excel de trois lignes, rempli deux ans plus tôt par un stagiaire, jamais mis à jour. Entre-temps, l'entreprise avait changé d'outil CRM, ajouté un système de badgeuse, externalisé sa paie. Le registre ne reflétait plus aucune réalité. Un registre figé est presque aussi inutile qu'un registre absent.
🇨🇭 Ce que ça veut dire pour votre organisation
Le registre n'est pas qu'une case à cocher : c'est votre outil de pilotage de la conformité. En cas de contrôle du Préposé fédéral, c'est le premier document demandé. En cas de demande d'accès d'une personne concernée, c'est lui qui vous permet de répondre. En cas de violation de données, c'est lui qui vous permet d'évaluer rapidement l'ampleur et de décider s'il faut notifier. Sans registre, chacune de ces situations devient une enquête interne dans l'urgence.
Les 5 colonnes qui suffisent pour commencer
Un registre utile n'a pas besoin d'être complexe. Pour chaque traitement, cinq informations suffisent à démarrer :
1. Quel traitement ? (le nom de l'activité)
« Gestion de la paie », « Newsletter clients », « Vidéosurveillance de l'entrée ». Décrivez simplement ce que vous faites, en langage courant. Un traitement = une finalité distincte.
2. Quelles données, et sur qui ?
Les catégories de données (identité, coordonnées, données financières, données de santé…) et les catégories de personnes concernées (clients, employés, fournisseurs, administrés). Signalez particulièrement les données sensibles, elles appellent plus de précautions.
3. Pourquoi ? (la finalité et la base légale)
À quoi sert ce traitement, et sur quel fondement il repose : consentement, exécution d'un contrat, obligation légale, intérêt public. La finalité doit être précise , « améliorer le service » n'en est pas une.
4. Où vont les données ? (destinataires et localisation)
Qui a accès à ces données, à qui elles sont transmises (sous-traitants, autorités), et où elles sont hébergées, en particulier si elles quittent la Suisse. C'est le point de jonction avec la question de l'hébergement et des transferts.
5. Combien de temps ? (durée de conservation)
Pendant combien de temps conservez-vous ces données, et que se passe-t-il ensuite (suppression, archivage). C'est souvent la colonne la moins remplie, et l'une des plus importantes, car conserver des données sans limite est en soi une non-conformité.
Commencez par ces cinq colonnes. Vous affinerez ensuite avec les mesures de sécurité associées et l'analyse des risques pour les traitements sensibles. Mais un registre à cinq colonnes, à jour et honnête, vaut infiniment mieux qu'un modèle parfait resté vide.
L'approche Computis
Construire un registre n'est pas un travail de juriste, c'est un travail d'inventaire méthodique, que votre organisation est la mieux placée pour faire, avec un accompagnement pour le structurer et l'ancrer dans la durée. Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un atelier de cartographie : nous parcourons ensemble vos activités, service par service, pour faire remonter tous les traitements, y compris ceux qu'on oublie. Ensuite, la structuration : mise en forme du registre, identification des points sensibles (données sensibles, transferts hors de Suisse, durées de conservation manquantes), priorisation des corrections. Enfin, l'ancrage : une procédure simple pour maintenir le registre vivant, parce qu'un registre n'est utile que s'il reste le reflet de la réalité.
Passez à l'action
Votre registre des traitements existe-t-il vraiment, ou est-ce un fichier vide que vous n'avez jamais su comment remplir ? Chez Computis, nous réalisons un audit préliminaire de votre conformité nLPD et vous aidons à construire un registre des traitements réellement exploitable, pour les PME et communes romandes sans juriste ni DPO. Cartographie, structuration, points sensibles, rapport documenté.
✅ Notre audit préliminaire est payant et sérieux. Son coût est intégralement déduit de la prestation si vous décidez de travailler avec nous.
👤 Cybersécurité, cloud ou réseau, chez Computis, vous avez un interlocuteur unique qui maîtrise les trois domaines. Pas de transfert de dossier, pas de prestataire tiers.
→ 15 minutes avec un expert Computis
📞 +41 21 804 69 00
Ce qu'il faut retenir
Le registre des traitements fait peur parce qu'on l'imagine juridique et complexe. Il ne l'est pas : c'est l'inventaire de ce que vous faites déjà avec les données personnelles. Cinq colonnes suffisent pour commencer, quel traitement, quelles données, pourquoi, où, combien de temps. Un registre honnête et à jour n'est pas une contrainte administrative : c'est la carte qui rend toute votre conformité pilotable.
FAQ
Notre PME fait moins de 250 personnes, sommes-nous vraiment obligés de tenir un registre ?
Les PME de moins de 250 collaborateurs sont dispensées de l'obligation formelle, sauf traitements à risque élevé (données sensibles à grande échelle, profilage à risque). Mais cette dispense porte sur la forme, pas sur le fond : vous devez toujours respecter la loi. En pratique, sans registre, démontrer cette conformité est quasi impossible — c'est pourquoi nous le recommandons à tous.
Par où commencer concrètement quand la page est blanche ?
Par un inventaire, service par service, en vous posant une seule question : « quelles données personnelles utilisons-nous ici, et pourquoi ? ». Listez chaque activité (paie, clients, newsletter, vidéosurveillance…) puis remplissez cinq colonnes par traitement. Ne cherchez pas la perfection au premier passage, cherchez l'exhaustivité.
Un simple fichier Excel suffit-il, ou faut-il un outil dédié ?
Pour la majorité des PME et communes, un tableau bien structuré suffit parfaitement. L'important n'est pas l'outil, mais que le registre soit complet, à jour, et accessible. Un outil dédié devient utile pour les organisations avec de nombreux traitements ou des obligations renforcées, mais ce n'est jamais le point de départ.
À quelle fréquence faut-il mettre le registre à jour ?
Dès qu'un traitement change : nouvel outil, nouveau prestataire, nouvelle finalité, nouvelle catégorie de données. Dans les faits, une revue complète au moins une fois par an, plus une mise à jour à chaque changement significatif. Un registre figé perd toute sa valeur, c'est un document vivant.
Nous n'avons ni juriste ni DPO, Computis peut-il nous accompagner ?
Oui, c'est exactement notre rôle auprès des PME et communes sans ressource dédiée. Nous animons l'atelier de cartographie, structurons votre registre, identifions les points sensibles et vous laissons une procédure simple pour le maintenir. Vous n'avez pas besoin d'être expert, vous avez besoin d'une méthode et d'un accompagnement.
📅 CET AUTOMNE CHEZ COMPUTIS
Nous lançons une série de webinaires et de conférences en présentiel sur la cybersécurité et l'IT des PME et institutions romandes. Les dates arrivent bientôt, inscrivez-vous pour les recevoir en avant-première et réserver votre place avant tout le monde.
→ Je veux être informé : INSCRIPTION
Abonnez-vous, chaque quinzaine désormais, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.