Le RGPD encadre la manière dont les organisations collectent, utilisent, conservent et protègent les données personnelles. Comprendre ses règles aide à respecter les droits des personnes, à limiter les risques et à instaurer une relation de confiance, que vous dirigiez une entreprise, une association ou un service public.
L’article en bref
Le RGPD fixe un cadre commun pour protéger les données personnelles et responsabiliser les organisations qui les utilisent. Voici les repères essentiels pour comprendre ses principes et passer des obligations à des pratiques concrètes.
- Le sens du règlement : Le RGPD harmonise la protection des données personnelles dans l’Union européenne.
- Les données concernées : Une personne peut être identifiable par une information ou un croisement.
- Les règles à appliquer : Chaque traitement doit être justifié, limité, sécurisé et documenté.
- Les droits et les risques : Les personnes disposent de droits, et les manquements peuvent être sanctionnés.
Un cadre clair permet de mieux protéger les personnes et de prouver ses pratiques.
RGPD : définition de cette réglementation européenne
Le sigle RGPD désigne le Règlement général sur la protection des données, règlement européen 2016/679 applicable depuis le 25 mai 2018. Il harmonise les règles relatives aux données personnelles dans l’Union européenne et définit les responsabilités des organismes qui les traitent.
Son objectif est double : donner aux personnes davantage de contrôle sur leurs informations et obliger les organisations à en faire un usage légitime, transparent et sécurisé. Le RGPD ne concerne donc pas uniquement les grandes plateformes numériques : un fichier de clients, une liste d’adhérents ou des dossiers de salariés peuvent aussi être concernés.
À qui s’applique le RGPD ?
La réglementation concerne les entreprises, administrations, associations et prestataires qui traitent des données personnelles dans le cadre de leurs activités. Elle s’applique notamment aux organismes établis dans l’Union européenne, ainsi qu’à certaines organisations situées hors de l’UE lorsqu’elles proposent des biens ou services à des personnes qui s’y trouvent, ou suivent leur comportement.
Imaginez un atelier associatif qui recueille les coordonnées de ses membres pour gérer les inscriptions et envoyer des informations pratiques. Même si l’équipe est réduite et le fichier tenu sur papier, elle doit protéger ces données et expliquer pourquoi elle les utilise.
Donnée personnelle et traitement : ce que le RGPD encadre
Une donnée personnelle est une information qui se rapporte à une personne physique identifiée ou identifiable. Le nom et l’adresse électronique sont des exemples évidents, mais un identifiant en ligne, une adresse IP ou des données de localisation peuvent également permettre une identification, seules ou croisées avec d’autres informations.
La nature du support ne change rien : un document papier, un tableau informatique ou un enregistrement vidéo peuvent contenir des données personnelles. À l’inverse, les coordonnées génériques d’une société, comme son standard téléphonique, ne concernent généralement pas une personne physique identifiable.
Les données sensibles exigent une vigilance renforcée
Le RGPD classe certaines informations dans une catégorie particulière, car leur utilisation peut porter fortement atteinte aux personnes ou entraîner des discriminations. Il s’agit notamment des données de santé, de l’origine raciale ou ethnique, des opinions politiques, des convictions religieuses, de l’orientation sexuelle, des données génétiques et de certaines données biométriques.
Leur traitement est en principe interdit, sauf exceptions prévues par le règlement. Il faut donc vérifier soigneusement la situation et la base juridique applicable avant de les collecter ; le consentement explicite peut être requis dans certains cas, mais ne constitue pas l’unique exception possible.
Un traitement ne se limite pas à la collecte
Le terme « traitement » désigne toute opération effectuée sur des données : collecte, enregistrement, classement, consultation, modification, transmission, conservation ou suppression. Envoyer les coordonnées d’un client à un prestataire de livraison est donc une opération de traitement, tout comme tenir un fichier de fournisseurs.
Chaque traitement doit répondre à une finalité précise et légitime. Une organisation ne peut pas recueillir des informations « au cas où » : pour livrer une commande, par exemple, elle peut avoir besoin d’une adresse, mais pas nécessairement de renseignements sans rapport avec cette livraison.
Les principes du RGPD et les bases légales
L’article 5 du règlement pose six principes qui servent de repères tout au long de la vie des données. Le responsable de traitement — l’organisation ou la personne qui détermine les objectifs et les moyens du traitement — doit aussi pouvoir démontrer comment ces règles sont respectées. Cette obligation de preuve est souvent appelée responsabilité, ou « accountability ».
| Principe | Application concrète |
|---|---|
| Licéité, loyauté, transparence | Informer clairement les personnes et disposer d’une base légale valable. |
| Finalités déterminées | Définir l’usage prévu et éviter les réutilisations incompatibles. |
| Minimisation | Ne demander que les informations nécessaires à l’objectif annoncé. |
| Exactitude | Corriger ou actualiser les données inexactes ou dépassées. |
| Durée de conservation limitée | Fixer une durée adaptée, puis supprimer ou archiver les données selon les règles applicables. |
| Intégrité et confidentialité | Mettre en place une sécurité des données adaptée aux risques. |
Les six bases légales, au-delà du consentement
Tout traitement doit reposer sur une base légale définie. Le consentement en est une, mais il n’est pas systématiquement nécessaire : le traitement peut aussi être requis par un contrat ou une obligation légale, répondre à une mission d’intérêt public, protéger des intérêts vitaux ou reposer sur l’intérêt légitime de l’organisme, sous conditions.
Lorsqu’il est choisi, le consentement doit être libre, éclairé, spécifique et donné par un acte clair. Une case déjà cochée ne suffit pas ; la personne doit pouvoir retirer son accord aussi facilement qu’elle l’a donné. Une boutique en ligne, par exemple, peut traiter les données nécessaires à une livraison sur la base du contrat, tandis qu’une newsletter promotionnelle peut appeler un consentement selon le contexte.
Obligations des organisations et droits des personnes
La conformité se construit au fil des activités, plutôt qu’au moyen d’une formalité isolée. Dans un petit atelier associatif comme dans une entreprise, il est utile de recenser les fichiers, de nommer les personnes qui y accèdent et de définir des règles de conservation et de sécurité.
- Tenir un registre des traitements décrivant les finalités, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité.
- Informer clairement les personnes de l’identité de l’organisme, de l’usage prévu, de la base légale et de leurs droits.
- Répondre aux demandes de droits, notamment l’accès, la rectification, l’effacement, l’opposition, la limitation et, lorsque les conditions sont réunies, la portabilité.
- Protéger les données avec des mesures adaptées, comme des accès limités, des sauvegardes et des mots de passe robustes.
- Encadrer les prestataires qui traitent des données pour le compte de l’organisme, au moyen d’un contrat conforme aux exigences applicables.
- Évaluer les risques et réaliser une analyse d’impact lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes.
En règle générale, l’organisme doit répondre à une demande d’exercice des droits dans un délai d’un mois, avec une prolongation possible dans les situations prévues par le règlement. Si une violation de données présente un risque pour les droits et libertés, elle doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance ; les personnes concernées doivent également être informées lorsque le risque est élevé.
Le registre, le DPO et la protection dès la conception
Le registre donne une vue d’ensemble des usages de données et aide à repérer les informations inutiles ou conservées trop longtemps. Certaines structures de moins de 250 salariés doivent également le tenir, notamment lorsque leurs traitements sont réguliers, présentent un risque ou portent sur des données sensibles ; le seuil ne les dispense donc pas automatiquement de cette obligation.
La désignation d’un délégué à la protection des données, ou DPO, est obligatoire dans des situations précises, comme le suivi régulier et systématique à grande échelle ou le traitement à grande échelle de données sensibles. Le RGPD encourage aussi la protection des données dès la conception et par défaut : mieux vaut prévoir des accès limités et des données réduites dès le lancement d’un service que corriger le dispositif après coup.
Sécurité des données et sous-traitance
La sécurité des données doit être proportionnée aux risques. Pour une petite structure, des gestes simples peuvent déjà faire une différence : verrouiller les postes, limiter les droits d’accès aux personnes qui en ont besoin, mettre à jour les logiciels et ranger les dossiers papier dans un espace fermé.
Un prestataire qui héberge un fichier ou envoie une campagne de courriels agit souvent comme sous-traitant. Le contrat doit préciser son rôle, les opérations autorisées, les mesures de sécurité et la conduite à tenir en cas d’incident ; confier un fichier à un tiers ne retire pas au responsable ses obligations.
Contrôle de la CNIL et sanctions en cas de manquement
En France, la CNIL accompagne les organismes et contrôle l’application des règles. Selon la situation, elle peut prononcer un rappel à l’ordre, une mise en demeure, imposer des mesures correctives ou limiter un traitement. Une sanction financière est également possible, et sa publication peut affecter la confiance du public.
Pour les manquements les plus graves, les plafonds prévus par le RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. D’autres manquements relèvent d’un plafond pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Ces montants sont des maxima : ils ne sont pas appliqués automatiquement et la sanction dépend notamment de la nature et de la gravité du manquement.
Pour une démarche pratique, commencez par identifier les fichiers, les finalités et les personnes qui y accèdent, puis vérifiez l’information fournie et les durées de conservation. Les mentions légales d’un site peuvent aussi être consultées sur la page dédiée aux informations juridiques du site ; elles ne remplacent toutefois pas une politique de confidentialité détaillant les traitements de données.
Questions fréquentes sur le RGPD
Que signifie le sigle RGPD ?
RGPD signifie Règlement général sur la protection des données. Ce règlement européen encadre depuis le 25 mai 2018 le traitement des données personnelles et renforce les droits des personnes.
Une petite association doit-elle respecter le RGPD ?
Oui, si elle traite des données personnelles dans le cadre de ses activités. Ses obligations dépendent des traitements réalisés ; la taille réduite ne constitue pas une exemption générale.
Le consentement est-il toujours obligatoire ?
Non. Le consentement est l’une des six bases légales possibles. Un traitement peut notamment reposer sur un contrat, une obligation légale ou l’intérêt légitime, selon les circonstances.
Qu’est-ce qu’une donnée personnelle ?
C’est une information se rapportant à une personne physique identifiée ou identifiable, directement ou par recoupement, comme un nom, un identifiant en ligne ou une donnée de localisation.
