L'entreprise tient-elle un registre des activités de traitement?

Registre des activités de traitement : fréquemment demandé, justification variable

Que l'entreprise tienne ou non un registre des activités de traitement varie d'une entreprise à l'autre et dépend de la situation réelle dans le dossier de chaîne : parfois cette information est déjà établie comme réponse d'un questionnaire antérieur, parfois le document justificatif manque encore. Il s'agit d'une question standard dans les questionnaires relatifs à la confidentialité et à la protection des données, généralement dans le même bloc que les questions concernant les contrats de traitement de données et les violations de données. Le client qui pose cette question souhaite généralement savoir si un document existe — non pas à quel point il est complet.

Si la réponse est « oui », elle doit s'accompagner d'un document justificatif concret : le registre lui-même, ou un extrait de celui-ci comprenant les traitements pertinents pour la relation avec ce client. Si ce document manque, « non » ou « inconnu » est la réponse honnête — affirmer l'existence d'un registre sans que le système en trouve un risque de susciter plus de questions lors d'un contrôle aléatoire du client qu'une réponse négative. Cette question figure souvent dans la même rubrique que la question si l'entreprise conclut des contrats de traitement de données avec ses prestataires de services, et les deux réponses doivent être mutuellement cohérentes : un registre sans contrats de traitement de données, ou inversement, attire l'attention de celui qui lit la liste.

Pourquoi cette question n'est pas fondamentalement issue de la CSRD

La source fournie dans ce dossier est la Directive (UE) 2022/2464 (CSRD), qui porte sur la déclaration de durabilité et non sur un registre des activités de traitement — ce concept provient du RGPD, non de la CSRD. Il n'y a donc pas d'article de cette directive qui sert de base à cette question ; la réponse doit provenir du dossier de chaîne de l'entreprise elle-même, non de cette source. Ceux qui reçoivent cette question en même temps que d'autres questions relatives à la confidentialité reconnaissent souvent la même origine que pour la question concernant la dénomination statutaire de l'entreprise: un bloc fixe de données de base demandé par presque tous les portails clients, indépendamment de la question de savoir si la réglementation sous-jacente s'applique réellement à cette entreprise.