Une petite entreprise doit-elle tenir un registre de sous-traitant ?

L'exemption des entreprises de moins de 250 salariés est limitée : les traitements non occasionnels, ceux qui présentent un risque et ceux qui portent sur des données sensibles doivent y figurer. En cas de doute, la CNIL recommande d'inscrire le traitement.

Faut-il un registre par client ?

Non. Un seul registre de sous-traitant recense chaque client et les catégories de traitements effectués pour chacun. Il reste distinct du registre que vous tenez comme responsable de vos propres traitements.

Registre des traitements du sous-traitant : modèle commenté

Oui, un partenaire qui traite, ou fait traiter, les conversations des visiteurs de ses clients tient un registre de sous-traitant. L'article 30, paragraphe 2, du RGPD (règlement général sur la protection des données) l'impose à « chaque sous-traitant ». Ce registre liste vos clients, ce que vous faites pour chacun, vos propres sous-traitants, les transferts hors de l'Union européenne et vos mesures de sécurité. Il est distinct du registre que vous tenez pour vos propres fichiers.

Ce que dit le texte

L'article 30, paragraphe 2, demande au sous-traitant de tenir un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable. La CNIL (Commission nationale de l'informatique et des libertés) rappelle que l'obligation de registre « concerne tous les organismes, publics comme privés et quelle que soit leur taille », sous réserve de l'exemption détaillée plus bas.

Les six rubriques du registre

Le guide du sous-traitant de la CNIL (édition de septembre 2017) liste ce que le registre doit contenir. Voici ce que cela donne pour un assistant IA revendu :

Rubrique demandée par la CNIL	Ce que vous écrivez
Nom et coordonnées de chaque client pour le compte duquel vous traitez des données	Raison sociale, adresse, contact du client qui a installé l'assistant
Nom et coordonnées de chaque sous-traitant ultérieur	L'éditeur de la plateforme et, d'après la liste qu'il vous fournit, ses propres prestataires
Nom et coordonnées du délégué à la protection des données (DPO), le cas échéant	Le vôtre, si vous en avez désigné un
Catégories de traitements effectués pour chaque client	Réponses automatiques aux visiteurs, conservation des conversations, statistiques, transmission de demandes au client…
Transferts hors de l'Union européenne, le cas échéant	Pays, sous-traitant concerné, outil d'encadrement
Dans la mesure du possible, description générale des mesures de sécurité	Gestion des accès, chiffrement, journalisation, sauvegardes, chez vous et chez l'éditeur

Exemple rempli (hypothèse)

Prenons un partenaire fictif qui a vendu un assistant à trois clients. L'exemple sert à montrer le niveau de détail ; les valeurs sont à remplacer par les vôtres.

Client	Catégories de traitements	Sous-traitants ultérieurs	Transferts hors Union	Sécurité (résumé)
Client 1, boutique en ligne	Réponses aux questions sur les produits ; conservation des conversations selon la durée fixée par le client	Éditeur de la plateforme ; hébergeur et fournisseur du modèle de langage déclarés par l'éditeur	Selon la liste de l'éditeur	Accès au tableau de bord nominatif, double authentification
Client 2, cabinet de conseil	Réponses aux questions des visiteurs ; transmission des demandes de rendez-vous au client	Idem	Idem	Idem, plus export désactivé
Client 3, association	Réponses aux adhérents sur les démarches	Idem	Idem	Idem

Une ligne par client, une colonne par rubrique : c'est la forme la plus simple à tenir à jour. Le modèle de la CNIL fait l'affaire comme point de départ.

Deux registres pour une même entreprise

Vous êtes aussi responsable de traitement pour vos propres activités : gestion de vos clients et prospects, facturation, personnel. Le guide de la CNIL précise que « deux registres sont à tenir » : un pour ce que vous faites comme responsable, un pour ce que vous faites comme sous-traitant. Si vous ne savez pas encore de quel côté vous êtes pour un traitement donné, voir responsable ou sous-traitant ?.

L'exemption des moins de 250 salariés

L'article 30, paragraphe 5, dispense les entreprises de moins de 250 salariés, sauf si le traitement présente un risque, n'est pas occasionnel, ou porte sur des données sensibles ou judiciaires. La CNIL en tire une conclusion nette : cette dérogation est « limitée à des cas très particuliers de traitements », et les traitements non occasionnels doivent figurer au registre. En cas de doute, elle recommande d'inscrire le traitement.

Un assistant qui répond chaque jour aux visiteurs d'un client ressemble peu à un traitement occasionnel. Pour un partenaire, partir du principe que le registre est dû est l'option la plus prudente.

Le modèle de la CNIL

La CNIL propose un modèle de registre simplifié, au format tableur (fichier registre-traitement-simplifie.ods), à télécharger depuis sa page sur le registre. Elle le présente comme le modèle de base à utiliser, à enrichir si possible. Les anciens modèles au format texte ne sont plus mis à jour.

Quand le mettre à jour

un nouveau client signe, ou un client part ;
l'éditeur ajoute ou remplace un prestataire (voir le sous-traitant ultérieur) ;
un lieu de traitement change, surtout s'il sort de l'Union européenne (voir les transferts) ;
vous ajoutez une fonction qui traite d'autres données, par exemple la transmission de demandes vers l'outil du client.

Notez la date de chaque mise à jour : le registre sert à démontrer votre conformité, il doit refléter la réalité du moment.

Cette page est une information générale. Pour la forme et le contenu de votre registre, appuyez-vous sur votre délégué à la protection des données ou sur un avocat.