Registre RGPD (ROPA) multi-entités : faut-il un registre par entité, et quel logiciel choisir ?
Oui : l'article 30 du RGPD impose un registre à « chaque responsable du traitement », donc en pratique à chaque société d'un groupe qui décide de ses traitements, et un registre distinct à chaque sous-traitant. Un logiciel n'est pas exigé ; s'il en faut un pour plusieurs entités, il doit produire un registre par entité contenant les mentions de l'article 30.
Ce que dit le texte
L'article 30, paragraphe 1 : chaque responsable du traitement tient un registre comportant notamment ses coordonnées, les finalités, les catégories de personnes et de données, les destinataires, les transferts hors de l'Union, les délais d'effacement et une description des mesures de sécurité. Le paragraphe 2 impose un registre propre au sous-traitant.
Le paragraphe 5 prévoit une dispense pour les organisations de moins de 250 employés, sauf si le traitement présente un risque, n'est pas occasionnel ou porte sur des données sensibles ou pénales. Un fichier clients ou la paie n'étant pas occasionnels, la dispense joue rarement.
Les critères d'un outil multi-entités, déduits du texte
- un registre distinct par responsable du traitement, exportable séparément ;
- les sept mentions du paragraphe 1 sans champ libre manquant ;
- le rôle de chaque société (responsable, responsable conjoint, sous-traitant) traitement par traitement ;
- un historique daté, pour montrer à quel moment le registre a été tenu à jour.
Suis-je concerné ? Le test en une minute
- Votre groupe compte-t-il plusieurs sociétés qui décident chacune de leurs traitements ?
- Chacune peut-elle produire aujourd'hui son registre, séparément ?
- Les mesures de sécurité décrites dans le registre ont-elles été vérifiées dans vos outils ?
« Oui » à la première et « non » à la deuxième : votre registre n'est pas conforme à l'article 30, quel que soit l'outil. « Non » à la troisième : le registre décrit une intention, pas un état.
Et ensuite
SYAGA Audit n'est pas un logiciel de registre. Il répond à la troisième question du test : votre registre décrit des mesures de sécurité ; si votre messagerie et vos documents sont dans Microsoft 365, SYAGA Audit permettra de lire la configuration de sécurité de votre locataire (comptes, authentification, partages) et de vous dire, point par point, ce qui est en place et ce qui ne l'est pas. Rien n'est installé sur vos serveurs ; la lecture se fait depuis votre poste (score gratuit).
Découvrir le diagnostic SYAGA Audit des mesures de sécurité de votre registre
Guides voisins, même méthode sourcée
- Que doit faire une PME pour respecter le RGPD ? Registre, sous-traitants, transferts, durées de conservation, Microsoft 365
- AIPD : quand une analyse d'impact est-elle obligatoire ?
- NIS2 : quelles obligations pour les entreprises concernées ?
- Comment rédiger la PSSI d'une PME ?
- Charte informatique : l'adopter dans les formes prévues
- Comment savoir si mon Microsoft 365 est bien sécurisé ?
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit mesure votre environnement Microsoft 365 à une date donnée ; il ne se substitue pas à une démarche complète de mise en règle et ne garantit pas que vous respectiez une règle ou une réglementation. Les mesures reprennent les thèmes de l'ISO/IEC 27001 ; SYAGA n'a fait l'objet d'aucun audit par un organisme tiers sur cette norme.
Faits relus le 14/10/2026 sur les sources officielles citées (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.