Pas de fuite. Pas de plainte. Juste un registre. L'autorité de contrôle a ouvert une enquête d'office avec un objet délibérément étroit, le respect de l'article 30 du RGPD, et rien d'autre. Résultat : 7 000 euros d'amende. L'organisme visé n'a rien d'une petite structure : un industriel de plus de 250 salariés, rattaché à un groupe qui dépasse 500 millions d'euros de chiffre d'affaires consolidé. Ce que l'autorité a relevé Le registre comptait 40 fiches. Aucune ne mentionnait le responsable de traitement ni les coordonnées du DPO. Trois champs de catégories de données étaient vides, dont ceux de la vidéosurveillance et de la gestion des badges, deux traitements pourtant banals dans l'industrie. Sept rubriques destinataires laissées blanches, onze autres réduites à des formules comme « opérations internes ». Côté transferts, 25 fiches n'indiquaient aucun pays. Deux se contredisaient, une autre évoquait des transferts qui n'existaient pas. Un registre rempli, en apparence. Vide dès qu'on lit les colonnes qui décrivent les flux. Une grille de calcul qui éclaire la méthode La gravité a été jugée faible. La durée, en revanche, a pesé : cinq ans de non-conformité, retenus comme circonstance aggravante. La coopération pendant le contrôle n'a pas joué en faveur de l'organisme, parce qu'elle est obligatoire, tout simplement. Ce qui a compté positivement, c'est la documentation des bases légales et des analyses d'impact. Le rapporteur proposait plus de 12 000 euros. Montant final : 7 000. Un principe mérite d'être retenu, peut-être plus que le montant. La version du registre opposable est celle remise au début du contrôle, et les corrections apportées ensuite n'effacent rien. Mise en conformité RGPD : le registre comme preuve, pas comme livrable Beaucoup d'organisations traitent encore le registre comme un livrable de projet, produit lors de la mise en conformité RGPD puis dépoussiéré avant un audit de conformité. Ce dossier montre l'inverse. C'est la première pièce demandée, et celle qui révèle le plus vite l'écart entre la conformité juridique et la réalité des flux. Les colonnes destinataires et transferts vieillissent en premier, parce qu'elles dépendent des achats, des outils métiers, des prestataires. Et le DPO n'est pas toujours prévenu.
