La CNIL, comme tout responsable de traitements de données personnelles, tient un registre détaillant ses activités de traitement. Dans un souci de transparence et de pédagogie, elle rend ce registre public en l’accompagnant d’explications. Le registre des activités de traitement est prévu par l’article 30 du RGPD.
Le registre de la CNIL contient l’identification de la présidente de la CNIL et du délégué à la protection des données ; la désignation (liste) des activités de traitement, telles que la gestion des demandes de conseil, la gestion des plaintes ou encore la gestion de la lettre d’information de la CNIL, une fiche de registre par activité de traitement, soit 54 fiches.
Chaque fiche comporte les informations obligatoires prévues par l’article 30 du RGPD : la désignation de l’activité de traitement ; l’identification du responsable de traitement (la CNIL), ses coordonnées et celles de son délégué à la protection des données (DPD/DPO) ; les finalités (objectifs du traitement de données) ; les catégories de personnes concernées (acteurs internes ou externes, professionnels ou particuliers) ; les catégories de données traitées (comme l’identité, les coordonnées, les informations de connexion ou les données sensibles) ; les catégories de destinataires des données (services de la CNIL, tiers) ; l’existence de transferts de données en dehors de l’Union européenne ; dans la mesure du possible, la durée de conservation des données ; une description générale des mesures de sécurité prises.
La CNIL précise que son registre est publié dans un objectif de transparence et de pédagogie. Il n’est pas prescriptif, et va au-delà du minimum exigé par les textes.
