Créez votre Registre des Activités de Traitement — le document demandé en premier lors d'un contrôle

L'article 30 du Règlement Général sur la Protection des Données (UE) 2016/679 impose à tout responsable de traitement de tenir un registre écrit des activités de traitement. L'exemption pour les organisations de moins de 250 salariés (art. 30.5) ne s'applique que si le traitement est occasionnel, peu susceptible de comporter un risque pour les droits et libertés des personnes, et n'inclut pas de catégories particulières de données (art. 9) ni de données pénales (art. 10). La paie, une base de clients ou une newsletter sont des traitements réguliers, non occasionnels — l'exemption s'applique donc rarement en pratique. Lors d'un contrôle, le registre est généralement le premier document demandé par les autorités de contrôle, comme la CNIL en France.