Registre des activités de traitement (RAT) : ce que c'est et pourquoi presque aucune entreprise n'y échappe

Sommaire

• Qu'est-ce que le registre des activités de traitement ?
• Pourquoi est-il obligatoire (et le piège des 250 salariés) ?
• Que doit-il contenir ?
• Quel risque courez-vous si vous ne l'avez pas ?
• Comment Tranquilia le génère
• Questions fréquentes
• Sources officielles

Qu'est-ce que le registre des activités de traitement ?

C'est un inventaire. Rien de plus, et rien de moins. Chaque fois que votre entreprise utilise des données de personnes — la liste de clients, les bulletins de paie de vos salariés, les CV que vous recevez, la caméra de sécurité —, il s'agit d'une « activité de traitement », et le RAT les regroupe toutes au même endroit.

Ce n'est pas un texte juridique compliqué : c'est un tableau ordonné qui répond, pour chaque traitement, à cinq questions simples : quelles données, de qui, pour quoi faire, qui les voit et combien de temps vous les conservez.

Pourquoi est-il obligatoire (et le piège des 250 salariés) ?

L'article 30 du RGPD oblige à tenir ce registre. Le paragraphe 30.5 dit que les entreprises de moins de 250 salariés pourraient y échapper... mais avec trois exceptions qui le réactivent presque toujours :

• Quand le traitement n'est pas occasionnel (avoir des clients ou des salariés de façon continue compte déjà).
• Quand il peut représenter un risque pour les droits des personnes.
• Quand il inclut des catégories particulières de données (santé, affiliation syndicale) ou des données relatives à des condamnations.

En pratique, n'importe quelle entreprise avec des clients réguliers ou avec du personnel traite des données « de façon non occasionnelle ». C'est pourquoi l'exception des moins de 250 salariés est plus théorique que réelle : presque toutes les PME et les indépendants restent tenus d'avoir le RAT.

Que doit-il contenir ?

L'art. 30 lui-même fixe le contenu minimal. Pour chaque activité :

1. Le nom et le contact du responsable (votre entreprise).
2. Les finalités du traitement (pourquoi vous traitez ces données).
3. Les catégories de personnes et de données concernées.
4. À qui les données sont communiquées (gestoría, Hacienda, fournisseurs).
5. Les délais prévus pour les effacer.
6. Une description générale des mesures de sécurité.

Quel risque courez-vous si vous ne l'avez pas ?

L'AEPD (Agencia Española de Protección de Datos, l'autorité espagnole de protection des données) est l'organisme qui surveille cela. Ne pas avoir le RAT est l'une des premières choses détectées lors d'un contrôle, parce que c'est le document qui résume tout le reste : s'il n'existe pas, on présume que le reste n'existe pas non plus.

Le RGPD fixe les plafonds de sanction à deux niveaux : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, et jusqu'à 20 millions ou 4 %, selon l'infraction (art. 83 RGPD) ; le montant le plus élevé s'applique. Ces chiffres sont le plafond légal, pas la pratique habituelle : la sanction est graduée selon la gravité, la taille de l'entreprise et si vous avez coopéré. Pour une PME, le plus fréquent n'est pas l'amende maximale, mais que l'absence de RAT aggrave une autre réclamation que vous aviez déjà sur le dos.

Comment Tranquilia le génère

Au lieu de partir d'un modèle vierge, vous répondez à un questionnaire guidé sur votre activité et Tranquilia remplit le RAT avec les traitements typiques de votre métier, déjà identifiés. Si vous êtes une gestoría (cabinet espagnol qui gère les démarches fiscales, sociales et administratives des entreprises), vous le générez pour chaque entreprise cliente que vous enregistrez. Vous pouvez l'essayer avec jusqu'à 2 entreprises, sans carte et sans limite de temps.

Questions fréquentes

Dois-je faire un RAT si nous ne sommes que deux ?

Oui, sauf si vous ne traitez des données que de façon vraiment occasionnelle, ce qui est rare si vous avez des clients ou des salariés réguliers. La taille ne vous exempte pas à elle seule : ce qui compte, c'est comment vous traitez les données, pas combien vous êtes.

Le RAT doit-il être envoyé à l'AEPD ?

Non. Le RAT ne se déclare ni ne s'envoie à personne : vous le gardez et vous le montrez si l'AEPD vous le demande. C'est un document interne, mais obligatoire.

À quelle fréquence se met-il à jour ?

Quand quelque chose de réel change : un nouveau traitement, un nouveau fournisseur, un changement dans les délais. Il n'y a pas de date fixe, mais un RAT auquel on n'a pas touché depuis des années est en général dépassé.

Sources officielles

• Reglamento (UE) 2016/679 (RGPD), article 30 (et art. 83, sanctions) — texte sur EUR-Lex.
• Agencia Española de Protección de Datos (AEPD).
• BOE — Ley Orgánica 3/2018 (LOPDGDD).

---

Information générale sur la réglementation. Elle ne remplace pas le conseil d'un avocat ni l'analyse de votre cas concret. Si vous avez des doutes, consultez votre gestoría ou un professionnel du droit.