Données personnelles : comment remplir le registre ?

Sur le registre prérempli par la FFB, il vous suffit :

• de vérifier sur la première page que votre entreprise effectue bien les traitements renseignés par la FFB. Si l'un des traitements figurant dans la liste n'est pas réalisé par votre entreprise, rayez-le et supprimez également la fiche correspondante (ex. : si vous n'avez pas de vidéosurveillance dans votre entreprise, rayez « vidéosurveillance » de la liste et supprimez la fiche détaillant le processus de vidéosurveillance). Ainsi, à ce stade, les fiches que vous avez conservées détaillent des traitements que vous réalisez effectivement dans le cadre de votre activité ? ;
• d'adapter à votre situation individuelle et de compléter, si besoin est, sur les pages suivantes, les mentions préremplies par la FFB.

Quels renseignements faut-il donner dans les fiches du registre ?

Description du traitement

Vous devrez insérer ici le nom de l'activité de traitement décrite dans la fiche (exemples : gestion des clients et prospects), la référence interne du traitement (la FFB vous propose de les référencer par un numéro) ainsi que les dates de la création et de la dernière mise à jour de la fiche.

Acteurs du traitement

Il faut nommer les intervenants principaux du traitement :

• l'identité et les coordonnées du responsable de traitement : dans la plupart des cas, il s'agit de votre entreprise ? ;
• l'identité et les coordonnées de votre représentant : la FFB recommande de désigner ici la ou les personnes compétentes pour répondre aux éventuelles questions sur le traitement couvert par la fiche, voire pour mettre à jour cette dernière (exemple : votre DRH pour les fiches « gestion de la paie » et « gestion du personnel ») ? ;
• si vous avez nommé un délégué à la protection des données, son identité et ses coordonnées.

Finalités du traitement

Il s'agit de l'objet du traitement couvert par la fiche. La FFB a déjà prérempli cette partie. À vous de la compléter si nécessaire.

Mesures de sécurité

Vous devez décrire ici les mesures de sécurité mises en place pour protéger les données (exemples : antivirus et pare-feu, mots de passe sophistiqués et régulièrement modifiés, sensibilisation du personnel, sauvegarde régulière des données, fichiers papier sensibles mis sous clés ou broyés après utilisation...). Demandez conseil à vos équipes ou à vos prestataires pour renseigner cette partie.

Le « Guide la sécurité des données personnelles » de la CNIL peut aussi vous aider².

Catégories de données concernées

Il faut préciser ici quelles sont les données que vous utilisez dans le cadre du traitement couvert par la fiche (ex. : nom, prénom, coordonnées personnelles ou bancaires, etc.) et combien de temps vous les conservez.

La FFB a prérempli cette partie : vous n'avez plus qu'à vérifier que le contenu prérempli correspond à votre situation.

Données sensibles

La collecte et l'utilisation de certaines données dites « sensibles » peuvent conduire à des discriminations (exemples : données relatives aux opinions politiques, syndicales, religieuses...). Il faut donc préciser si l'activité couverte par la fiche inclut ou non le traitement de ce type de données et combien de temps vous comptez les utiliser. La FFB a prérempli cette partie.

Catégories de personnes concernées

Vous devez indiquer ici, sans entrer dans le détail, à quelles catégories de personnes appartiennent les données que vous traitez (exemple : pour la gestion des ressources humaines, vous devez juste préciser que les personnes concernées sont les salariés de l'entreprise). La FFB a prérempli cette partie : à vous d'adapter le contenu, si nécessaire.

Destinataires

Vous devez préciser ici quelles sont les personnes pouvant accéder aux données collectées dans le cadre du traitement (exemples : prestataires, organismes sociaux et fiscaux, services de comptabilité...).La FFB a prérempli cette partie : à vous d'en adapter le contenu à vos besoins.

Transferts hors UE

Vous devez préciser si les données traitées sont amenées à être transférées en dehors de l'Union européenne. Si vous faites appel à des prestataires pour la réalisation du traitement couvert par la fiche, contactez-les pour obtenir la réponse à cette question.

Et si vous n'avez pas encore établi de registre ?

Pas de panique : la CNIL a annoncé faire preuve de bienveillance à l'égard des entreprises sur ce point. Vous pouvez toutefois commencer à regarder les modèles préremplis par la FFB et demander de l'aide à votre fédération départementale.