Qui doit tenir un registre ?
En Suisse, les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement (art. 12, al. 1, LPD). Selon l'art. 24 OPDo, en sont dispensées les entreprises qui emploient moins de 250 collaborateurs au 1er janvier d'une année, ainsi que les personnes physiques – à moins qu'elles ne traitent des données personnelles sensibles à grande échelle ou n'effectuent un profilage à risque élevé.
Dans l'UE, l'art. 30 RGPD s'applique. L'exception pour les entreprises de moins de 250 employés (art. 30, al. 5, RGPD) est étroite : elle ne s'applique pas si le traitement comporte un risque, n'est pas occasionnel ou porte sur des catégories particulières de données. Quiconque traite régulièrement des données de clients ou du personnel y est donc en règle générale tenu. L'UE veut élargir cette exception ; une modification en ce sens est en cours de procédure législative, mais pas encore en vigueur (état : octobre 2026).
Que doit contenir le registre ?
La LPD et le RGPD exigent presque les mêmes informations :
| Information | LPD (art. 12, al. 2) | RGPD (art. 30, al. 1) |
|---|---|---|
| Identité du responsable du traitement | oui | oui, avec coordonnées et délégué à la protection des données |
| Finalité du traitement | oui | oui |
| Catégories de personnes concernées et de données personnelles | oui | oui |
| Catégories de destinataires | oui | oui |
| Durée de conservation ou critères pour la déterminer | si possible | si possible |
| Description des mesures de sécurité | si possible | si possible |
| Communication à l'étranger avec État et garanties | oui | oui |
Pourquoi le registre est-il si vite obsolète ?
Beaucoup de registres naissent une fois à partir d'entretiens et de questionnaires, puis vivent dans un tableur. De nouvelles applications, de nouveaux services cloud et outils d'IA s'ajoutent, des exports apparaissent, les responsables changent – et personne ne reporte les modifications.
S'y ajoute un second problème : les durées de conservation figurent bien dans le registre, mais rien n'est supprimé dans les systèmes. Le document décrit alors un ordre qui n'existe pas dans la réalité.
Du tableau Excel au registre vivant
Un registre reste à jour lorsqu'il est relié aux systèmes et pas seulement aux personnes qui le tiennent :
- 1Gérer les systèmes avec personnes responsables, criticité et statut.
- 2Rapprocher les résultats d'une recherche technique, afin que les espaces de stockage inconnus apparaissent aussi.
- 3Faire confirmer les emplacements de données personnelles par les responsables métier.
- 4Valider les durées de conservation, avec justification et base légale, selon le principe des quatre yeux.
- 5Transmettre les durées validées à la suppression, pour qu'elles s'appliquent dans les systèmes.
- 6Rendre les lacunes visibles : systèmes sans responsable, entrées non confirmées, durées sans fondement.