Registre des activités de traitement
Le registre des activités de traitement est l’inventaire des renseignements personnels qu’une organisation recueille : quoi, pourquoi, où ces données résident et avec qui elles sont partagées.
Le registre des activités de traitement est une carte vivante de vos données : pour chaque activité, il consigne la *finalité*, les *catégories de renseignements personnels* et de personnes visées, les *destinataires* (dont les tiers et sous-traitants), les *durées de conservation*, les *lieux* de stockage et les mesures de sécurité en place.
Le terme vient du RGPD européen (article 30), mais la discipline sous-jacente est tout aussi essentielle au Canada. La Loi 25 exige de fait ce niveau de visibilité pour satisfaire à ses obligations de transparence, de conservation et de transfert, et le registre soutient tout programme de responsabilité crédible sous la LPRPDE.
Concrètement, un bon registre est le fondement de tout le reste — répondre aux demandes d’accès, réaliser une ÉFVP, respecter les limites de conservation et réagir vite lors d’un incident. On ne protège pas des données qu’on n’a pas inventoriées.
