# Registre des activités de traitement : faire le vôtre en un après-midi (modèle inclus)

URL: https://pulsaiq.com/fr/guides/registre-des-traitements/
Dernière révision: 2026-10-23
Langue: fr
Base juridique: RGPD, art. 30

Presque tous les organismes en ont besoin, et presque personne n’aime le rédiger. Ce guide vous donne une méthode simple pour terminer un registre des activités de traitement utile avant la fin de la journée, avec des exemples rédigés et chaque règle reliée à sa source.

## En deux minutes

- **Ce que c’est :** une liste écrite de ce que votre organisme fait avec des données personnelles. Pour chaque activité, elle indique pour quoi faire, à qui appartiennent les données, qui les reçoit, combien de temps elles sont conservées et comment elles sont protégées. Art. 30, paragraphe 1
- **Qui doit le tenir :** les responsables du traitement et les sous-traitants. Il peut être électronique et doit être mis à la disposition de l’autorité de contrôle sur demande. Art. 30, paragraphes 2 à 4
- **« Nous avons moins de 250 salariés, donc nous sommes exemptés »** est rarement vrai. Verser les salaires chaque mois suffit à rendre le traitement « non occasionnel ». La CNIL rappelle que les petites structures doivent inscrire ces traitements au registre.
- **Comment aller vite :** une ligne par finalité (pas par logiciel), cinq questions pour chaque équipe et quelques colonnes en plus qui rendent le registre utile. Dans une PME type, cela tient en un après-midi.
- **Ce qui pourrait changer :** l’UE finalise un accord pour élargir l’exemption aux organismes de moins de 1 000 personnes, sauf pour les activités à risque élevé. Ce n’est pas encore la loi. Voir l’[encadré sur les changements](#lexemption-va-selargir-ce-nest-pas-encore-la-loi).

### Pour qui

Les dirigeants et responsables de PME qui « s’occupent aussi du RGPD », et les DPO ou consultants qui montent des registres pour leurs clients et veulent une méthode reproductible. Si vous suivez plusieurs clients, voyez aussi le <a href="/fr/guides/dpo-externalise-plusieurs-clients/">guide du DPO externalisé avec plusieurs clients</a>.

### Pour qui ce n’est pas

Pour qui a besoin d’un conseil juridique sur un cas précis. Ce guide explique la règle et une méthode pratique, mais ne remplace pas un conseil professionnel.


Marta est directrice administrative de l’Oficina Rocha, une fabrique de meubles de 45 personnes près de Braga, dans le nord du Portugal, avec une boutique en ligne qui vend dans tout le pays. Le vendredi après-midi, elle « s’occupe aussi du RGPD ».

Aujourd’hui, un e-mail est arrivé de la CNPD, l’autorité portugaise de protection des données. Un client de la boutique en ligne a déposé une plainte, et l’autorité demande plusieurs documents, dont le registre des activités de traitement de l’entreprise.

Marta ouvre le dossier partagé et trouve *RGPD_final_v3.docx*, daté de mai 2018. Il parle d’un serveur qui n’existe plus, d’un éditeur de logiciel qui a changé de nom et d’un fax. Rien sur la boutique en ligne, les caméras de l’entrepôt ou le nouveau logiciel de recrutement.

Elle a jusqu’à la fin de l’après-midi pour comprendre ce qui manque. Faisons-le avec elle.

L’Oficina Rocha, Marta et les autres personnages sont fictifs.

## Le registre, ce que c’est et pourquoi il en vaut la peine

Le registre est la carte des données personnelles de l’organisme. Ce n’est ni un texte juridique ni une politique. C’est un tableau avec une ligne par activité : verser les salaires, recruter, gérer les commandes de la boutique en ligne, envoyer la newsletter, filmer avec la vidéosurveillance.

La loi l’exige pour que vous puissiez démontrer que vous respectez le RGPD et pour que l’autorité de contrôle puisse le consulter (considérant 82 ; art. 5, paragraphe 2 ; art. 30, paragraphe 4). Mais le plus grand bénéfice est interne. Un registre à jour répond vite aux questions qui arrivent toujours au pire moment :

- **Un client demande toutes les données que nous avons sur lui.** Le registre dit où chercher (voir le <a href="/fr/guides/droit-acces-effacement/">guide du droit d’accès et du droit à l’effacement</a>). Dans son action coordonnée de 2024 sur le droit d’accès, qui a porté sur 1 185 organismes, le Comité européen de la protection des données (CEPD) recommande d’utiliser le registre pour localiser les données et identifier à qui elles ont été communiquées.
- **Nous avons perdu un ordinateur portable.** Le registre dit quelles données pouvaient s’y trouver et qui est concerné, la première question des <a href="/fr/guides/violation-de-donnees-72-heures/">72 heures qui suivent une violation de données</a>.
- **Nous changeons d’éditeur de logiciel.** Le registre dit quelles activités en dépendent.
- **Nous devons mettre à jour la politique de confidentialité.** Les finalités, les destinataires et les durées sont déjà écrits (art. 13 et 14).

## « Nous avons moins de 250 salariés, donc nous sommes exemptés. » Probablement pas.

Le RGPD prévoit une exemption pour les organismes de moins de 250 salariés. Mais lisez la phrase jusqu’au bout :

> « Les obligations visées aux paragraphes 1 et 2 ne s’appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés, sauf si le traitement qu’elles effectuent est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s’il n’est pas occasionnel ou s’il porte notamment sur les catégories particulières de données visées à l’article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10. » RGPD, art. 30, paragraphe 5

Une seule des trois conditions suffit à écarter l’exemption, et la deuxième concerne presque tout le monde : verser les salaires chaque mois n’est pas occasionnel. C’est pourquoi la CNIL indique que les petites structures doivent tout de même inscrire au registre leurs traitements non occasionnels, comme la gestion de la paie ou des clients. La CNPD, l’autorité portugaise, va plus loin : selon elle, l’exemption ne s’applique que dans des circonstances « absolument exceptionnelles ».

Le groupe de travail « Article 29 », dont le CEPD a repris la position, a précisé un point utile : un petit organisme n’a à inscrire que les activités qui remplissent l’une des conditions. En pratique, comme le montre l’Oficina Rocha, c’est presque tout.

| Activité de l’Oficina Rocha | Non occasionnelle ? | Risque possible ? | Données sensibles ou pénales ? | Au registre ? |
|---|---|---|---|---|
| **Paie** | Oui, chaque mois | Faible | Oui, arrêts de travail | Oui |
| **Vidéosurveillance de l’entrepôt** | Oui, en continu | Oui | Non | Oui |
| **Commandes de la boutique en ligne** | Oui, chaque jour | Faible | Non | Oui |
| **Recrutement** | Oui, plusieurs fois par an | Faible | En général non | Oui |
| **Liste des invités aux 50 ans de l’entreprise** | Non, une seule fois | Faible | Non | Peut rester en dehors |

Exemple illustratif. L’évaluation du risque dépend des circonstances concrètes de chaque organisme.

Même lorsque l’exemption s’applique, le registre reste le moyen le plus simple de respecter le principe de responsabilité (art. 5, paragraphe 2 ; art. 24). En 2025, le CEPD et le Contrôleur européen de la protection des données l’ont décrit comme un instrument utile pour remplir d’autres obligations, comme la transparence.

## Responsable du traitement ou sous-traitant ? Peut-être les deux

Il existe deux registres distincts, au contenu différent.

| | Registre du responsable du traitement | Registre du sous-traitant |
|---|---|---|
| **Quand** | Vous décidez pour quoi faire et comment les données sont traitées | Vous traitez des données pour le compte d’un autre organisme |
| **Contenu** | Les sept champs de l’art. 30, paragraphe 1 (ci-dessous) | Les clients pour le compte desquels vous agissez, les catégories de traitements effectués pour chacun, les transferts hors EEE et les mesures de sécurité (art. 30, paragraphe 2) |
| **Exemple** | L’Oficina Rocha, pour la paie de son personnel | Le cabinet comptable qui gère cette paie |

Un organisme peut être les deux. Une agence marketing est responsable du traitement des données de son propre personnel et sous-traitant lorsqu’elle envoie des newsletters aux listes de ses clients. Celui qui joue les deux rôles tient **deux registres séparés**. Les lignes directrices 07/2020 du CEPD aident à déterminer le rôle dans chaque cas.

## Les sept champs, en langage clair

Voici le contenu minimal du registre du responsable du traitement (art. 30, paragraphe 1, points a) à g)). La dernière colonne montre la ligne paie de l’Oficina Rocha comme exemple rédigé.

| Champ | Ce que cela veut dire | Exemple : paie |
|---|---|---|
| **a) Qui vous êtes** | Nom et coordonnées de l’organisme et, le cas échéant, du responsable conjoint, du représentant dans l’UE et du délégué à la protection des données (DPO) | Oficina Rocha, Lda., Braga. Contact : vieprivee@… DPO : non désigné |
| **b) Pour quoi faire** | La finalité, en une phrase concrète | Verser les salaires et remplir les obligations fiscales et sociales envers les salariés |
| **c) De qui et quelles données** | Catégories de personnes concernées et catégories de données personnelles | Salariés actuels et anciens. Identité, numéros fiscal et de sécurité sociale, coordonnées bancaires, rémunération, absences, situation familiale pour l’impôt, arrêts de travail (données de santé) |
| **d) Qui les reçoit** | Catégories de destinataires, y compris hors de l’UE | Cabinet comptable (sous-traitant), administration fiscale, organismes sociaux, banque, assureur accidents du travail |
| **e) Quittent-elles l’EEE ?** | Transferts hors EEE et garanties utilisées | Non. Logiciel de paie hébergé dans l’UE (confirmé dans le contrat) |
| **f) Jusqu’à quand** | Délais d’effacement, lorsque c’est possible | Pendant la durée imposée par le droit fiscal et social applicable, indiquée en années, puis suppression. Jamais « indéfiniment » |
| **g) Comment elles sont protégées** | Description générale des mesures de sécurité (art. 32, paragraphe 1) | Accès limité à deux personnes, authentification à deux facteurs, sauvegardes chiffrées, contrat de sous-traitance avec le cabinet comptable (art. 28) |

**Sur les durées.** Au point f), écrivez le nombre d’années et le motif (par exemple, « droit fiscal »). Si vous ne connaissez pas la durée exacte, demandez à votre expert-comptable ou à votre avocat, et notez qui l’a confirmée et quand. Une durée vérifiée vaut mieux qu’une durée parfaite.

## La méthode de l’après-midi

Marta n’a pas besoin d’un projet de trois mois. Il lui faut aujourd’hui un registre honnête et complet, qu’elle améliorera ensuite. Dans un organisme de 10 à 20 activités, ces quatre étapes tiennent en un après-midi. Dans un organisme plus grand, comptez un après-midi par service.

1.  14 h · 30 min

    ### Dressez la liste des équipes et des systèmes

    Écrivez les services de l’organisme : RH, ventes et boutique en ligne, finance, production, informatique, services généraux. À côté, les logiciels et services utilisés par chacun. N’oubliez pas le site web : les formulaires, les cookies et les outils de mesure d’audience traitent aussi des données personnelles.

2.  14 h 30 · 90 min

    ### Posez les mêmes cinq questions à chaque équipe

    Quinze minutes par personne suffisent. Utilisez toujours les mêmes questions :

    1.  Quelles données personnelles utilisez-vous dans votre travail ?
    2.  Pour quoi faire ?
    3.  D’où viennent-elles (de la personne elle-même, d’une autre entreprise, d’une liste publique) ?
    4.  Qui d’autre les voit ou les reçoit, y compris les éditeurs de logiciels et les prestataires ?
    5.  Combien de temps sont-elles conservées, et pourquoi ?

3.  16 h · 90 min

    ### Écrivez une ligne par finalité, pas par logiciel

    C’est l’étape qui évite le plus d’erreurs. La CNIL le dit directement : les activités s’identifient par leur finalité, pas par le logiciel utilisé. Un logiciel peut servir plusieurs finalités, et une finalité utilise presque toujours plusieurs logiciels.

    \[Schéma : la finalité « Gérer les commandes de la boutique en ligne » est reliée à quatre systèmes : plateforme de la boutique, logiciel de facturation, transporteur, boîte du service client.\]

    Les systèmes vont dans une colonne à part de la ligne. Si vous changez de transporteur, vous modifiez une cellule, pas tout le registre.

4.  17 h 30 · 30 min

    ### Ajoutez les colonnes qui rendent le registre utile

    L’article 30 ne les exige pas, mais elles font gagner du temps ensuite. La CNIL recommande elle aussi d’enrichir son modèle de base.

    - **Base légale** (contrat, obligation légale, consentement…) art. 6
    - **Source des données**, nécessaire pour informer les personnes, art. 14
    - **Systèmes et prestataires**, en indiquant s’il existe un contrat de sous-traitance, art. 28
    - **AIPD nécessaire ?** Oui, non ou à vérifier, art. 35
    - **Responsable de la ligne** et **date de la prochaine révision**

À 18 h, Marta a 14 lignes. Trois sont marquées « à confirmer ». Ce n’est pas parfait, mais c’est vrai, daté et prêt à envoyer. C’est bien mieux que le fichier de 2018.

## Six erreurs qui rendent un registre inutile

- **Une ligne par logiciel.** « Logiciel RH » n’est pas une finalité. Recruter, verser les salaires et évaluer les performances en sont trois.
- **Des finalités vagues.** « Gestion » ou « fins administratives » ne disent rien. Écrivez ce qui se passe vraiment : « envoyer la newsletter mensuelle aux clients qui l’ont demandée ».
- **Une conservation « indéfinie ».** Le RGPD demande des délais chaque fois que c’est possible. C’est presque toujours possible de donner un chiffre.
- **Des activités oubliées.** Celles qui manquent le plus souvent : la vidéosurveillance, les candidatures spontanées, la mesure d’audience du site et l’accès à distance du prestataire informatique.
- **Des destinataires incomplets.** Le fournisseur de messagerie, l’hébergeur cloud et le cabinet comptable sont aussi des destinataires.
- **Personne n’en est responsable.** Un registre sans personne chargée de le mettre à jour devient obsolète en quelques mois. Attribuez chaque ligne à une personne.

## Ce que disent les autorités

Il n’y a pas encore eu d’action coordonnée européenne consacrée au registre, mais les autorités sont cohérentes :

- **La CNIL** (Commission nationale de l’informatique et des libertés) explique [comment tenir le registre](https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement), rappelle que les organismes de moins de 250 salariés doivent y inscrire leurs traitements non occasionnels et propose un modèle simplifié.
- **La CNPD**, l’autorité portugaise, rappelle que l’obligation vise aussi les organismes de moins de 250 salariés et que l’exemption est « absolument exceptionnelle ». Elle publie des modèles Excel pour les responsables du traitement et les sous-traitants.
- **Le CEPD**, dans son rapport de 2024 sur le droit d’accès, indique que le registre doit être tenu « toujours à jour », y compris quand de nouveaux systèmes ou sous-traitants arrivent, et recommande de l’utiliser pour retrouver les données quand une demande arrive.
- **Le CEPD et le Contrôleur européen de la protection des données** ont reconnu en 2025 que l’exemption actuelle n’a pas toujours atteint son but. Ils ont soutenu la simplification tout en continuant à voir dans le registre un instrument utile.
- **Dans la consultation publique du CEPD** de 2025 sur les modèles, le registre des traitements est arrivé en tête des modèles les plus demandés. Le CEPD a inscrit un modèle européen de registre à son programme de travail 2026–2027. Si le registre vous semble difficile, vous n’êtes pas le seul.


## L’exemption va s’élargir. Ce n’est pas encore la loi.

En mai 2025, la Commission européenne a proposé de modifier l’article 30, paragraphe 5, dans son paquet de simplification « Omnibus IV ». La procédure législative est la 2025/0130(COD).

- **21 mai 2025 :** proposition de la Commission : exemption pour les organismes de moins de 750 salariés, sauf si le traitement est susceptible d’engendrer un risque élevé.
- **25 févr. 2026 :** les commissions du Parlement européen adoptent leur position : seuil de 1 000 salariés et aucune exemption pour le traitement de données sensibles.
- **26 juin 2026 :** accord provisoire entre le Parlement et le Conseil, confirmé au Comité des représentants permanents.
- **23 nov. 2026 :** date indicative du vote en plénière au Parlement. Viennent ensuite l’adoption par le Conseil et la publication au Journal officiel.

**Le texte de compromis** (document du Conseil 10482/26 ADD 3, du 19 juin 2026) exempterait de l’obligation de registre les entreprises et organisations de **moins de 1 000 personnes**, avec trois limites :

- il faudra continuer à inscrire toute activité **susceptible d’engendrer un risque élevé** pour les personnes, au sens de l’article 35, et seulement celle-là ;
- il faudra continuer à tenir le registre lorsque l’activité fait partie de celles qui **imposent de désigner un DPO** ;
- l’exemption ne s’applique pas aux **autorités et organismes publics**.

Les considérants ajoutent que traiter des données de santé uniquement pour remplir des obligations de droit du travail et de sécurité sociale (comme les arrêts de travail) n’oblige pas, à lui seul, à tenir le registre.

**Ce que cela signifie pour vous aujourd’hui :** tant que le texte final n’est pas publié au Journal officiel et n’est pas entré en application, la règle actuelle des 250 salariés s’applique. Et même ensuite, un organisme exempté devra toujours savoir quelles données il détient pour répondre aux demandes d’accès, gérer les violations de données et rédiger une information correcte. Être dispensé du format ne dispense pas de savoir.

Un autre paquet, le « Digital Omnibus » de novembre 2025, ne modifie pas l’article 30, mais propose des listes européennes des traitements qui exigent une analyse d’impact (AIPD). S’il est adopté, il aidera à remplir la colonne « AIPD nécessaire ? ». Nous révisons cet encadré à chaque étape de la procédure. Ce que cette proposition change pour les violations de données et le droit d’accès est expliqué dans l’<a href="/fr/blog/digital-omnibus-violations-donnees-droit-acces/">article sur le Digital Omnibus</a>.

## Le garder vivant en 15 minutes par trimestre

Un registre est une photo. Pour qu’il ne devienne pas obsolète, il lui faut des déclencheurs et une routine courte.

| Quand | Que faire |
|---|---|
| **Nouveau prestataire ou logiciel** | L’ajouter aux systèmes et destinataires des lignes concernées. Vérifier le contrat de l’art. 28. |
| **Nouveau projet, produit ou formulaire sur le site** | Créer la ligne avant de commencer à collecter des données. Vérifier si une AIPD est nécessaire. |
| **Quelqu’un part ou change de poste** | Confier ses lignes à une autre personne. |
| **Une fois par trimestre** | Chaque responsable relit ses lignes : est-ce toujours vrai ? Les durées de conservation sont-elles respectées ? Mettre à jour la date de révision. |

## Modèles gratuits, comparés franchement

Inutile de partir de zéro. Voici les modèles officiels disponibles :

| Modèle | Utile pour | Limites |
|---|---|---|
| **CNIL** (modèle simplifié, .ods) | Pensé pour les PME et les associations, simple | Peu d’exemples rédigés |
| **CNPD** (Excel, responsable et sous-traitant) | Suit de près l’art. 30 | En portugais et vide. Peu d’aide pour remplir chaque champ |
| **CEPD** (modèle européen) | Sera harmonisé dans toute l’UE | Prévu au programme de travail 2026–2027, pas encore publié |

Le <a href="/fr/ressources/modele-registre-des-traitements/">kit Pulsaiq</a> suit les mêmes règles et ajoute ce qui manque : des lignes déjà rédigées pour les activités que presque toutes les PME ont, et une courte explication dans chaque colonne.

## Checklist : votre registre est-il prêt ?

- Vous avez déterminé si vous êtes responsable du traitement, sous-traitant ou les deux, et vous avez un registre pour chaque rôle.
- Vous avez parlé à toutes les équipes, y compris l’informatique et la personne qui gère le site web.
- Chaque ligne est une finalité, rédigée comme une action concrète.
- Les sept champs de l’art. 30, paragraphe 1, sont remplis pour chaque ligne.
- Chaque durée de conservation a un chiffre et un motif.
- Les éditeurs de logiciels et les prestataires figurent parmi les destinataires.
- Les transferts hors EEE sont identifiés, avec la garantie utilisée.
- Les activités susceptibles de nécessiter une AIPD sont signalées.
- Chaque ligne a un responsable et une date de prochaine révision.
- Le registre est daté et pourrait être envoyé à l’autorité de contrôle le jour même où elle le demande.


## Questions fréquentes

### Une PME de moins de 250 salariés doit-elle tenir un registre des traitements ?

Presque toujours, oui. L’exemption de l’art. 30, paragraphe 5, tombe si le traitement n’est pas occasionnel, s’il est susceptible de comporter un risque ou s’il porte sur des données sensibles ou pénales. Verser les salaires chaque mois n’est déjà plus occasionnel, et la CNIL demande aux petites structures d’inscrire ces traitements au registre.

### Dois-je envoyer le registre à l’autorité de contrôle ?

Non. Le registre reste dans l’organisme, sous forme écrite, y compris électronique (art. 30, paragraphe 3). Vous ne le communiquez que si l’autorité le demande (art. 30, paragraphe 4) : mieux vaut donc l’avoir prêt à envoyer le jour même.

### Un tableur peut-il servir de registre ?

Oui. La loi n’impose ni format ni logiciel, seulement le contenu des sept champs. Plusieurs autorités, dont la CNIL, publient leurs propres modèles sous forme de tableur. Ce qui compte, c’est que le registre soit complet, daté et à jour.

### À quelle fréquence faut-il mettre à jour le registre ?

À chaque changement, plus une courte révision chaque trimestre. La loi ne fixe pas de fréquence, mais le CEPD recommande de tenir le registre « toujours à jour », y compris quand de nouveaux systèmes ou sous-traitants arrivent.

### La proposition Omnibus IV me dispense-t-elle déjà du registre ?

Pas encore. Tant que le texte final n’est pas publié au Journal officiel et n’est pas entré en application, la règle actuelle des 250 salariés s’applique. L’accord provisoire du 26 juin 2026 prévoit l’exemption pour les organismes de moins de 1 000 personnes, mais maintient le registre pour les activités à risque élevé.


## Sources

### Législation

- [Règlement (UE) 2016/679 (RGPD)](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679), articles 5, 6, 13, 14, 24, 28, 30, 32 et 35 et considérant 82, EUR-Lex
- [Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés](https://www.legifrance.gouv.fr/loda/id/JORFTEXT000000886460), Légifrance

### Autorités de contrôle

- [CNIL, le registre des activités de traitement](https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement)
- [Groupe de travail « Article 29 », Position Paper on Article 30(5)](https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=624045), 19 avr. 2018, repris par le CEPD (en anglais)
- [CEPD, rapport de l’action coordonnée de 2024 sur le droit d’accès](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf), janv. 2025 (en anglais)
- [CEPD, lignes directrices 07/2020 sur les notions de responsable du traitement et de sous-traitant](https://www.edpb.europa.eu/system/files/documents/2023-10/EDPB_guidelines_202007_controllerprocessor_final_en.pdf) (en anglais)
- [CEPD, rapport de la consultation publique sur les modèles](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_report_20260211_publicconsultationonhelpfultemplates_en_0.pdf), 2026 (en anglais)
- [CNPD, Registo de atividades de tratamento](https://www.cnpd.pt/organizacoes/outras-obrigacoes/registo-de-atividades-de-tratamento/) (en portugais), avec des modèles pour responsables et sous-traitants

### Changements en cours

- [Commission européenne, COM(2025) 501](https://commission.europa.eu/document/download/7fd9c846-b894-4f9f-b164-3b926d1b264b_en?filename=Proposal+GDPR+Omnibus.pdf), proposition de modification du RGPD
- [Parlement européen, fiche de procédure 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29)
- [Parlement européen, communiqué sur le vote en commission](https://www.europarl.europa.eu/news/en/press-room/20260220IPR35906/simplified-rules-for-small-mid-cap-companies), févr. 2026
- [Conseil de l’UE, document 10482/26 ADD 3](https://data.consilium.europa.eu/doc/document/ST-10482-2026-ADD-3/en/pdf), texte de compromis, 19 juin 2026
- [CEPD et Contrôleur européen de la protection des données, avis conjoint 01/2025](https://www.edpb.europa.eu/news/news/2025/targeted-modifications-gdpr-edpb-edps-welcome-simplification-record-keeping_en), juill. 2025
- [CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026 sur le Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf)

**Dernière révision :** 21 octobre 2026. Nous révisons ce guide chaque fois que la loi ou les orientations des autorités changent.

Ce guide est une information générale sur le RGPD et ne constitue pas un conseil juridique. Pour une décision sur un cas précis, consultez un professionnel qualifié. Les personnages et les entreprises des exemples sont fictifs.