Glossaire
Registre des traitements (ROPA)
Le registre des traitements (ROPA, Records of Processing Activities) est le document exigé par l'article 30 du RGPD recensant, pour chaque activité de traitement de données personnelles, sa finalité, les catégories de données et de personnes concernées, les destinataires, les transferts hors UE, les durées de conservation et les mesures de sécurité.
Qui doit le tenir
Le responsable de traitement et le sous-traitant tiennent chacun un registre, de contenu différent : le premier décrit ses traitements, le second les traitements effectués pour le compte de ses clients. L'exemption prévue pour les organisations de moins de 250 salariés est en pratique sans portée : elle tombe dès que le traitement n'est pas occasionnel, porte sur des données sensibles ou présente un risque pour les personnes — ce qui couvre la quasi-totalité des traitements RH ou clients.
Pourquoi c'est un objet de TPRM, pas seulement de conformité
Chaque destinataire inscrit au registre est un tiers, et chaque tiers inscrit devrait avoir un DPA signé, une liste de sous-traitants ultérieurs connue et un niveau de criticité évalué. Tenu à part, le registre devient un document déclaratif qui diverge du réel ; rattaché à la fiche fournisseur, il devient la vue « données » de la cartographie des tiers et se met à jour au même rythme qu'elle. Voir la page RGPD.
Prêt à reprendre le contrôle de votre risque tiers ?
Je suis une entreprise
On vous recontacte sous 24 h