Réponse courte
Un registre RGPD sur Excel n’est pas non conforme par nature. Il devient insuffisant lorsqu’il n’est plus possible de savoir qui a modifié quoi, de relier les preuves aux traitements ou de faire participer les métiers sans multiplier les versions. Le signal de changement n’est pas la taille du fichier : c’est l’écart entre le registre et la réalité.
À retenir
- ✓Excel est souvent un bon point de départ
- ✓Les premiers symptômes sont organisationnels
- ✓Un registre vivant doit créer des relations
- ✓Les PME sont concernées plus souvent qu’elles ne le pensent
Excel est souvent un bon point de départ
Le tableur a trois qualités : il est connu, disponible et rapide à mettre en œuvre. Pour une première cartographie, il peut aider à réunir les informations essentielles. La CNIL propose elle-même un modèle de registre. Le débat ne doit donc pas opposer un « mauvais » tableur à un « bon » logiciel.
Le vrai sujet est l’usage dans le temps. Le registre doit recenser des activités qui changent : nouveaux outils, nouveaux fournisseurs, modifications de finalités, accès accordés ou retirés, durées revues, transferts, incidents. Dès que plusieurs personnes contribuent, la gestion des versions et la qualité des informations deviennent plus difficiles.
Les premiers symptômes sont organisationnels
Un registre commence à décrocher lorsque les métiers ne savent pas où répondre, que le DPO relance sans visibilité, que plusieurs fichiers circulent ou que les cellules contiennent des liens vers des documents introuvables. Un autre symptôme est la duplication : la même information est ressaisie dans le registre, le plan d’action, l’analyse d’impact, la fiche fournisseur et le rapport de comité.
Cette fragmentation augmente la charge sans améliorer la maîtrise. Une mise à jour doit être reportée à plusieurs endroits. Les incohérences se multiplient. Le fichier paraît complet, mais l’organisation ne peut pas expliquer facilement quelle version fait foi.
Un registre vivant doit créer des relations
Le traitement « gestion des candidatures » n’est pas une ligne isolée. Il dépend d’une finalité, de catégories de données, de destinataires, d’une durée de conservation, d’outils, de fournisseurs et de mesures. Il peut nécessiter une analyse d’impact, être concerné par une violation ou utiliser une fonctionnalité d’IA.
Lorsque ces relations comptent, le registre devient un système de navigation. Il doit permettre de passer d’un traitement au contrat associé, du risque à l’action, puis de l’action à la preuve. C’est cette capacité relationnelle, plus que l’esthétique de l’interface, qui justifie le passage à une plateforme.
Les PME sont concernées plus souvent qu’elles ne le pensent
L’article 30 prévoit une dérogation pour certaines organisations de moins de 250 salariés, mais elle est limitée. Elle ne joue notamment pas si le traitement n’est pas occasionnel, s’il est susceptible de comporter un risque ou s’il porte sur certaines données sensibles. Dans la pratique, la paie, la gestion des clients ou le contrôle des accès sont des traitements récurrents. La CNIL indique que l’obligation de tenir un registre concerne les organismes qui traitent des données personnelles, avec des allègements limités pour les petites structures.
Changer d’outil au bon moment
Quatre questions permettent de décider. Le registre est-il à jour sans campagne exceptionnelle ? Les métiers peuvent-ils contribuer dans un cadre contrôlé ? Les preuves sont-elles reliées aux traitements ? Peut-on reconstituer les validations et les modifications ? Si plusieurs réponses sont négatives, le coût du tableur ne se mesure plus en licence, mais en coordination et en incertitude.
Ce que Lyopi apporte
Lyopi transforme le registre en espace de pilotage partagé. Les traitements, risques, actions et preuves sont reliés, les rôles peuvent être organisés et les validations restent traçables. La plateforme vise à réduire les doubles saisies et les relances aveugles, tout en laissant la décision aux personnes responsables.
Questions fréquentes
Les réponses essentielles
Excel est-il interdit pour tenir un registre RGPD ?
Non. Le RGPD impose un contenu et une capacité de démonstration, pas un logiciel particulier. Le choix dépend de la complexité, du nombre de contributeurs et du besoin de traçabilité.
À partir de combien de traitements faut-il un outil dédié ?
Il n’existe pas de seuil universel. Les bons critères sont le rythme des changements, le nombre d’acteurs, la dispersion des preuves et la difficulté à suivre les actions.
Faut-il migrer tout le registre en une fois ?
Non. Une migration progressive peut commencer par les traitements prioritaires, puis intégrer les autres domaines après validation du modèle de données et des responsabilités.
Sources
Textes et ressources de référence
Sources consultées et vérifiées lors de la mise à jour du 11 août 2026.
- www.cnil.frCNIL - Le registre des activités de traitement
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- www.cnil.frCNIL - Comment gérer et cartographier vos données
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- eur-lex.europa.euCNIL - Chapitre IV du RGPD, article 30
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
Note éditoriale : cette ressource fournit une information générale. Elle ne constitue ni un conseil juridique ou assurantiel personnalisé, ni une certification NIS2, ni une garantie de couverture.