Ecart entre les champs du registre RGPD officiel CNIL et ceux de mercator

[VinceOPS-Sys]

Bonjour,

J'ai étudié le registre RGPD de la CNIL qui est disponible publiquement ici (https://www.cnil.fr/sites/default/files/2026-03/registre_rgpd_de_la_cnil.pdf). Ce document a été mis à jour en mars 2026.

Je constate plusieurs choses :

• Le champ Description n'est pas une exigence RGPD, hors elle conditionne la maturité dans Mercator. En réalité la description est un peu redondante avec les finalités. Pourquoi pas la maintenir mais elle ne devrait pas conditionner la complétude du registre.
• "Catégories de destinataires" (mercator) est nommé "Catégories de personnes concernées" dans le document RGPD de la CNIL
• "Catégories de données traitées" n'existe pas dans Mercator
• "Licéité du traitement" (mercator) n'existe pas dans le document de la RGPD CNIL, je pense que ça correspond à "Base juridique du traitement"
• "Source des données" présent dans le registre RGPD CNIL n'existe pas dans Mercator
• "Caractère obligatoire ou facultatif du recueil des données et conséquences en cas de non-fourniture des données" présent dans le registre RGPD CNIL n'existe pas dans Mercator (ex: Les données recueillies sont nécessaires à la réalisation des finalités décrites ci-dessus pour la gestion de la sécurité des systèmes d’information)
• "Droits des personnes concernées" n'existe pas dans Mercator
• "Date de mise à jour" n'existe pas dans Mercator, ce pourrait être une information dynamique.
• "Catégories de destinataires" dans Mercator est nommée "Catégories de destinataires des données" dans le registre de la CNIL
• "Prise de décision automatisée" présent dans le registre de la CNIL n'existe pas dans Mercator
• "Durée de rétention" dans Mercator est nommée "Durée de conservation des données" dans le registre de la CNIL
• "Mesures de sécurité techniques / organisationnelles (description générale)" dans le registre de la CNIL (qui un champ pour une saisie souple) n'existe pas dans mercator. Je ne sais pas quelle est la meilleure approche là mais par exemple la CNIL indique "Application de la Charte et PSSIE", elle ne présente pas les mesures exacts mise en place
• "Droits des personnes concernées" n'existe pas dans mercator (exemple : Accès, rectification, effacement (droit à l’oubli), limitation : cf. https://www.cnil.fr/fr/comprendre-vos-droits )

Je ne suis pas formé RGPD, peut-être qu'il y a des interprétations RGPD selon les pays.

[dbarzin]

On regarde cela ! Merci.

[dbarzin]

Je constate plusieurs choses :

* Le champ Description n'est pas une exigence RGPD, hors elle conditionne la maturité dans Mercator. En réalité la description est un peu redondante avec les finalités. Pourquoi pas la maintenir mais elle ne devrait pas conditionner la complétude du registre.

Supprimer ce champ va poser problème à ceux qui l'ont complété. Je maintiens le conditionnement à la complétude du registre pour l'instant, afin de maintenir l'alignement avec les autres objets de la cartographie, mais c'est ouvert à discussion.

* **"Catégories de destinataires"** (mercator) est nommé **"Catégories de personnes concernées"** dans le document RGPD de la CNIL

Le label a été changé.

* **"Catégories de données traitées"** n'existe pas dans Mercator

Je pense que c'est correctement représenté au travers du champ informations. Un autre champ ne me semble pas nécessaire. C'est ouvert à discussion — n'hésite pas à partager ton cas d'usage si tu penses qu'un champ dédié apporterait de la valeur.

* **"Licéité du traitement"** (mercator) n'existe pas dans le document de la RGPD CNIL, je pense que ça correspond à **"Base juridique du traitement"**

Le label a été changé.

* **"Source des données"** présent dans le registre RGPD CNIL n'existe pas dans Mercator

Ce champ a été ajouté : data_source

* **"Caractère obligatoire ou facultatif du recueil des données et conséquences en cas de non-fourniture des données"** présent dans le registre RGPD CNIL n'existe pas dans Mercator

Ce champ a été ajouté : data_collection_obligation

* **"Droits des personnes concernées"** n'existe pas dans Mercator

Ce champ a été ajouté : data_subject_rights

* **"Date de mise à jour"** n'existe pas dans Mercator, ce pourrait être une information dynamique.

Un champ automatique se trouve dans le bas du formulaire, mais un champ spécifique a également été ajouté.

* **"Catégories de destinataires"** dans Mercator est nommée **"Catégories de destinataires des données"** dans le registre de la CNIL

La dénomination a été changée.

* **"Prise de décision automatisée"** présent dans le registre de la CNIL n'existe pas dans Mercator

Ce champ a été ajouté : automated_decision_making

* **"Durée de rétention"** dans Mercator est nommée **"Durée de conservation des données"** dans le registre de la CNIL

La dénomination a été changée.

* **"Mesures de sécurité techniques / organisationnelles (description générale)"** dans le registre de la CNIL (qui est un champ pour une saisie souple) n'existe pas dans Mercator

Dans Mercator, il existe déjà un lien vers les mesures de sécurité. Un champ texte libre a été ajouté pour les descriptions générales (ex. "Application de la Charte et PSSIE").

Je ne suis pas formé RGPD, peut-être qu'il y a des interprétations RGPD selon les pays.

Mercator s'alignait jusqu'ici sur le registre de la CNPD (Luxembourg). Il n'y a pas de problème pour adopter la terminologie de la CNIL, qui reste cohérente avec le RGPD.