Par David Joseph Atias, avocat au Barreau de Paris · LinkedIn · Octobre 2026
Beaucoup de fondateurs pensent que le registre ne concerne pas une startup de dix personnes. Cette idée reçue coûte cher lors d’un contrôle CNIL ou d’une due diligence. En réalité, presque toutes les startups doivent tenir un registre des traitements. Bien construit, il devient même un outil de pilotage et un argument commercial. Voici un modèle prêt à l’emploi, un exemple commenté et les erreurs à éviter.
SOMMAIRE
- Pourquoi le registre des traitements est stratégique
- Le cadre juridique applicable
- Registre des traitements : le modèle en 8 rubriques
- Registre RGPD : exemple pour une startup SaaS
- Les erreurs à éviter
- Pourquoi faire appel à Atias Avocats
- FAQ — Questions fréquentes
1. Pourquoi le registre des traitements est stratégique
Le registre des traitements recense les opérations réalisées sur des données personnelles. Pour une startup, il est souvent perçu comme une formalité administrative. Pourtant, il sert à la fois de preuve, de carte et de point de départ de toute la conformité.
1.1 Le premier document demandé par la CNIL
Le registre doit être mis à la disposition de l’autorité de contrôle sur demande (RGPD, art. 30, 4). En pratique, c’est la première pièce réclamée lors d’un contrôle. Son absence donne donc immédiatement une mauvaise image de l’organisation. Voir notre article sur les sept premiers jours d’un contrôle CNIL.
1.2 Un document scruté par les investisseurs et les clients
Par exemple, lors d’une levée de fonds, l’investisseur demande le registre dans la data room. De même, les grands comptes l’exigent souvent dans leurs questionnaires de conformité. Un registre à jour accélère donc la vente et rassure les financeurs. Voir notre article sur la due diligence juridique avant une levée de fonds.
1.3 La colonne vertébrale de la conformité
Le RGPD impose au responsable de démontrer sa conformité (art. 5, 2 et art. 24). Or le registre en est le socle. En effet, il alimente la politique de confidentialité, les durées de conservation et les analyses d’impact. Ainsi, une startup sans registre avance à l’aveugle.
2. Le cadre juridique applicable
2.1 L’obligation de l’article 30 du RGPD
Le responsable de traitement tient un registre de ses activités de traitement (RGPD, art. 30, 1). De son côté, le sous-traitant tient un registre des traitements réalisés pour ses clients (art. 30, 2). Par ailleurs, le registre se présente sous forme écrite, y compris électronique (art. 30, 3). Un tableur suffit donc, à condition d’être complet et tenu à jour.
2.2 L’exemption des moins de 250 salariés : une illusion
Les structures de moins de 250 salariés bénéficient d’une exemption (art. 30, 5). Cependant, elle ne joue pas pour trois types de traitements :
- les traitements non occasionnels, comme la paie ou la gestion des clients ;
- les traitements susceptibles de créer un risque pour les droits des personnes ;
- les traitements portant sur des données sensibles ou relatives aux condamnations (art. 9 et 10).
Or l’activité d’une startup repose justement sur des traitements récurrents : comptes utilisateurs, facturation, prospection. La CNIL rappelle d’ailleurs que ces traitements doivent figurer au registre. En pratique, l’exemption ne dispense donc presque jamais une startup de tenir un registre des traitements.
2.3 Ce qui pourrait changer : la réforme « Omnibus IV »
La Commission européenne a proposé d’élargir cette exemption dans le paquet de simplification dit « Omnibus IV ». Puis, le 9 juin 2026, le Parlement européen et le Conseil ont conclu un accord politique provisoire. Il étend ainsi l’allègement aux PME et aux petites entreprises de taille intermédiaire, pour les traitements sans risque élevé. Toutefois, ce texte doit encore être formellement adopté puis publié au Journal officiel. Surtout, il ne supprimera pas les autres obligations : information, sécurité, analyse d’impact, preuve de la conformité.
2.4 La sanction du défaut de registre
Un manquement à l’article 30 expose à une sanction administrative (art. 83, 4, a). La CNIL a ainsi sanctionné un annuaire en ligne qui ne tenait aucun registre (CNIL, 15 sept. 2021, SAN-2021-014). Son activité principale consistait pourtant à traiter des données personnelles. Le traitement n’avait donc rien d’occasionnel.
3. Registre des traitements : le modèle en 8 rubriques
Le registre comporte une fiche par traitement, c’est-à-dire par finalité. Par ailleurs, la CNIL propose un modèle simplifié, à enrichir selon l’activité. Voici les huit rubriques à renseigner.
3.1 L’identité du responsable et du DPO
Indiquez le nom et les coordonnées de la startup et de son représentant légal (art. 30, 1, a). Ajoutez, le cas échéant, ceux du délégué à la protection des données (DPO). En cas de responsabilité conjointe, mentionnez aussi le co-responsable.
3.2 La finalité et la base légale
Décrivez l’objectif précis du traitement : « gérer les comptes utilisateurs », et non « gestion des données ». L’article 30 n’exige pas la base légale. Cependant, la CNIL recommande de l’indiquer, car elle conditionne toute la licéité du traitement (art. 6).
3.3 Les personnes concernées et les catégories de données
Listez les catégories de personnes : utilisateurs, prospects, salariés, candidats. Ensuite, détaillez les catégories de données : identité, coordonnées, données de connexion, données bancaires. Signalez enfin toute donnée sensible (art. 9).
3.4 Les destinataires et les sous-traitants
Mentionnez les services internes et les destinataires externes : hébergeur, outil d’e-mailing, prestataire de paiement. Chaque sous-traitant doit en outre être lié par un accord conforme à l’article 28. Voir notre décryptage de l’article 28 du RGPD.
3.5 Les transferts hors de l’Union européenne
Beaucoup d’outils utilisés par les startups sont américains. Le registre doit donc identifier les transferts et leurs garanties (art. 30, 1, e). Il peut s’agir, par exemple, d’une décision d’adéquation ou de clauses contractuelles types. Voir notre point sur les transferts de données hors UE.
3.6 Les durées de conservation
Fixez une durée par catégorie de données, si possible (art. 30, 1, f). Par exemple, la CNIL retient trois ans après le dernier contact pour un prospect. De même, les factures se conservent dix ans (C. com., art. L. 123-22). Prévoyez aussi l’archivage intermédiaire, puis la suppression.
3.7 Les mesures de sécurité
Décrivez de façon générale les mesures techniques et organisationnelles (art. 30, 1, g et art. 32). Il s’agit notamment de la gestion des accès, du chiffrement, des sauvegardes et de la journalisation. En revanche, inutile de dévoiler des détails sensibles : une description synthétique suffit.
3.8 Les informations utiles à la conformité
Le registre gagne à aller au-delà du minimum légal. Ajoutez notamment la source des données, la date de l’analyse d’impact et le lien vers la mention d’information. Ainsi, le registre devient un véritable tableau de bord.
4. Registre RGPD : exemple pour une startup SaaS
Le premier tableau présente une fiche complète, pour un traitement type. Le second recense ensuite les traitements courants d’une startup SaaS, avec leur niveau de criticité.
| Rubrique | Fiche « Gestion des comptes utilisateurs » |
|---|---|
| Finalité | Créer et gérer les comptes, authentifier les utilisateurs, fournir le service |
| Base légale | Exécution du contrat (art. 6, 1, b) |
| Personnes et données | Utilisateurs : identité, e-mail, mot de passe chiffré, journaux de connexion |
| Destinataires | Équipes support et technique ; hébergeur cloud (sous-traitant) |
| Transferts | Aucun, ou garanties précisées (adéquation, clauses types) |
| Conservation | Durée du compte, puis archivage limité aux besoins de preuve |
| Sécurité | Authentification forte, chiffrement, sauvegardes, journalisation |
| Traitement | Base légale | Point d’attention | Criticité |
|---|---|---|---|
| Comptes utilisateurs | Contrat | Suppression des comptes inactifs | 🟡 Moyenne |
| Données des clients hébergées | Pour le compte du client | Registre de sous-traitant (art. 30, 2) | 🟠 Élevée |
| Paie et gestion RH | Obligation légale | Accès restreints, durées légales | 🟡 Moyenne |
| Recrutement | Mesures précontractuelles | Vivier de candidats, outils de tri | 🟠 Élevée |
| Prospection commerciale | Intérêt légitime ou consentement | Opposition, source des fichiers | 🟠 Élevée |
| Cookies et mesure d’audience | Consentement | Bandeau, durée des traceurs | 🟠 Élevée |
| Support avec chatbot IA | Contrat ou intérêt légitime | Transparence AI Act, réutilisation des échanges | 🟠 Élevée |
| Données de santé (healthtech) | Exception de l’art. 9, 2 | Analyse d’impact, hébergement certifié | 🔴 Critique |
5. Les erreurs à éviter
5.1 Copier un modèle sans l’adapter
Un registre générique, avec des finalités vagues, ne décrit pas votre activité réelle. Or, lors d’un contrôle, l’écart avec la pratique saute aux yeux. Il faut donc partir des outils réellement utilisés : CRM, outil de paie, hébergeur, analytics.
5.2 Oublier le registre de sous-traitant
Un éditeur SaaS traite souvent les données de ses clients pour leur compte. Il doit alors tenir un second registre, distinct du sien (art. 30, 2). Celui-ci recense, pour chaque client, les catégories de traitements, les transferts et les mesures de sécurité. Pourtant, beaucoup de startups l’ignorent jusqu’au premier audit client.
5.3 Laisser le registre se figer
Une startup lance de nouvelles fonctionnalités chaque mois. Par conséquent, un registre rédigé au lancement devient vite obsolète. Mieux vaut intégrer sa mise à jour au cycle produit, dès la conception (art. 25). Ensuite, datez chaque version pour conserver l’historique.
5.4 Confondre le registre avec les autres documents
Le registre ne remplace ni la politique de confidentialité, ni l’analyse d’impact. De plus, le registre des violations de données est un document distinct (art. 33, 5). Chaque document répond donc à une obligation propre. Le registre sert alors de point d’entrée commun.
5.5 Ignorer l’IA dans le registre (AI Act)
Les startups utilisent désormais l’IA partout : chatbot, scoring, tri de candidatures, génération de contenus. Il est donc utile d’ajouter au registre une rubrique dédiée. Elle précise le système utilisé et le rôle de la startup : fournisseur ou déployeur. Elle indique aussi le niveau de risque, au sens du règlement (UE) 2024/1689. Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026. Par ailleurs, les systèmes à haut risque de l’annexe III seront encadrés à compter du 2 décembre 2027. Le tri de candidatures en fait partie. Voir notre guide des obligations de l’AI Act pour les entreprises.
6. Pourquoi faire appel à Atias Avocats
Un registre utile ne se remplit pas seul. En effet, il exige de comprendre le produit, les outils et les flux de données de la startup. C’est pourquoi notre cabinet le construit avec vos équipes, en partant de vos usages réels. Nous l’articulons ensuite avec vos contrats, votre politique de confidentialité et vos obligations liées à l’IA.
Nous intervenons notamment pour :
- la cartographie des traitements et des outils utilisés ;
- la rédaction du registre de responsable et du registre de sous-traitant ;
- la fixation des durées de conservation et des bases légales ;
- l’identification des analyses d’impact nécessaires ;
- la préparation de la data room RGPD avant une levée de fonds ;
- l’intégration des systèmes d’IA et de leur niveau de risque.
Découvrez nos services en contrats informatiques. Vous voulez un registre prêt pour un contrôle ou une levée ? Contactez le cabinet.
Conclusion
Le registre des traitements n’est pas une formalité réservée aux grandes entreprises. Pour une startup, il structure la conformité, accélère les ventes et sécurise les levées de fonds. La réforme « Omnibus IV » pourrait alléger l’obligation formelle pour certains traitements. En revanche, elle ne dispensera jamais de savoir quelles données vous traitez, pourquoi et comment. Un registre simple, à jour et adapté reste donc le meilleur investissement de conformité.
FAQ — Questions fréquentes
Une startup doit-elle tenir un registre des traitements ?
Oui, dans la quasi-totalité des cas. L’exemption des moins de 250 salariés exclut en effet les traitements non occasionnels, risqués ou sensibles (RGPD, art. 30, 5). Or une startup gère au minimum des comptes, des clients et souvent des salariés.
Que doit contenir le registre des traitements ?
Pour chaque traitement : le responsable, la finalité, les personnes et données concernées, les destinataires et les transferts. S’y ajoutent les durées de conservation et les mesures de sécurité (art. 30, 1). La CNIL recommande aussi d’indiquer la base légale.
Le sous-traitant doit-il aussi tenir un registre ?
Oui. Il recense les traitements réalisés pour chaque client, les transferts et les mesures de sécurité (art. 30, 2). Un éditeur SaaS tient donc souvent deux registres : le sien et celui de sous-traitant.
Le registre doit-il être publié ?
Non. C’est un document interne, mis à la disposition de la CNIL sur demande (art. 30, 4). Rien n’empêche toutefois de le communiquer à un client ou à un investisseur.
La réforme Omnibus supprime-t-elle le registre pour les PME ?
Pas entièrement. L’accord provisoire du 9 juin 2026 élargit l’exemption aux traitements sans risque élevé. Le texte doit encore être adopté et publié. Les autres obligations du RGPD resteront applicables.
Contact : david@atiasavocats.com | LinkedIn: David Joseph Atias | https://www.atiasavocats.com | 42 rue de la Clef, 75005 Paris
Atias Avocats — RGPD & données, Startups, Contrats IT & SaaS, AI Act
