Une entreprise de moins de 250 employés doit-elle tenir un registre des activités de traitement ?

L’ordonnance prévoit une exception à l’obligation de tenir un registre des activités de traitement pour les entreprises et autres organismes de droit privé employant moins de 250 collaborateurs au 1er janvier d’une année. Les personnes physiques sont également visées par cette dispense. Pour une entreprise de cette taille, la règle de départ est donc l’absence d’obligation de tenir ce registre, sous réserve des cas où l’une des conditions expressément prévues est remplie. Il faut donc vérifier l’effectif au 1er janvier d’une année et confirmer que l’entité entre bien dans la catégorie des entreprises ou autres organismes de droit privé mentionnée par le texte.^[1]

• L’exception disparaît si le traitement porte sur des données sensibles à grande échelle.
• L’exception disparaît aussi si le traitement constitue un profilage à risque élevé.
• Si l’une de ces conditions est remplie, l’entreprise n’est plus déliée de l’obligation de tenir un registre des activités de traitement.
• La vérification pratique porte donc au minimum sur deux points: la présence éventuelle de données sensibles à grande échelle et l’existence éventuelle d’un profilage à risque élevé.

^[1]

Cette réponse résume le texte légal cité tel que publié sur Fedlex. Avant d’agir, vérifiez la disposition actuellement en vigueur ainsi que toute modification ultérieure.^[1]