Numérique · Internet et sécurité
RGPD
Le RGPD est le règlement européen qui encadre l’usage des données personnelles. Applicable depuis le 25 mai 2018, il donne des droits aux personnes et impose des obligations aux organismes.
Mis à jour le 5 min de lecture
Le RGPD — règlement (UE) 2016/679, en anglais GDPR — a été adopté le 27 avril 2016 et est entré en application le 25 mai 2018 dans tous les États membres de l’Union européenne. Étant un règlement, il s’applique directement, sans transposition. En France, il est complété par la loi Informatique et Libertés du 6 janvier 1978, modifiée, et son application est contrôlée par la CNIL (Commission nationale de l’informatique et des libertés).
Qui est concerné ?
- Tout organisme (entreprise, association, administration, indépendant) établi dans l’UE qui traite des données personnelles.
- Tout organisme hors UE qui cible des personnes situées dans l’UE (offre de biens ou services, suivi de leur comportement).
- Ne sont pas concernés les usages strictement personnels ou domestiques (le carnet d’adresses d’un particulier).
On distingue le responsable de traitement, qui décide des finalités et des moyens, et le sous-traitant, qui traite les données pour son compte (hébergeur, prestataire de paie).
Les grands principes
| Principe | Signification |
|---|---|
| Licéité, loyauté, transparence | Une base légale, et une information claire des personnes |
| Limitation des finalités | Des objectifs précis, déterminés à l’avance |
| Minimisation | Seulement les données nécessaires |
| Exactitude | Des données à jour, rectifiées si besoin |
| Limitation de la conservation | Une durée définie, puis suppression ou archivage |
| Intégrité et confidentialité | Sécurité adaptée aux risques |
| Responsabilité (accountability) | Pouvoir démontrer la conformité à tout moment |
Les six bases légales
Tout traitement doit reposer sur l’une d’elles :
- Consentement de la personne (libre, spécifique, éclairé, univoque, retirable à tout moment).
- Contrat : nécessaire à son exécution (adresse de livraison).
- Obligation légale (conservation des factures).
- Sauvegarde des intérêts vitaux (urgence médicale).
- Mission d’intérêt public (administrations).
- Intérêt légitime du responsable, s’il ne porte pas une atteinte excessive aux droits des personnes (prévention de la fraude).
Certaines données dites sensibles (santé, origine, opinions politiques, convictions religieuses, orientation sexuelle, données biométriques et génétiques, appartenance syndicale) sont en principe interdites de traitement, sauf exceptions encadrées.
Vos droits
| Droit | Ce qu’il permet |
|---|---|
| Information | Savoir qui traite vos données, pourquoi, combien de temps, avec qui elles sont partagées |
| Accès | Obtenir une copie de vos données |
| Rectification | Corriger des données inexactes |
| Effacement (« droit à l’oubli ») | Faire supprimer vos données dans certains cas |
| Opposition | Refuser un traitement, et toujours la prospection commerciale |
| Limitation | Geler temporairement un traitement contesté |
| Portabilité | Récupérer vos données dans un format réutilisable pour les transférer |
| Décision automatisée | Ne pas faire l’objet d’une décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé, sauf exceptions |
Exercer ses droits
- Écrire au responsable du traitement, ou à son délégué à la protection des données (DPO) s’il en a un, en précisant le droit exercé.
- L’organisme doit répondre dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes, en vous informant de cette prolongation.
- Il peut demander une preuve d’identité en cas de doute raisonnable, mais pas systématiquement.
- Sans réponse ou en cas de refus injustifié, déposer une plainte auprès de la CNIL (en ligne sur cnil.fr).
La CNIL propose des modèles de courriers pour chaque droit.
Les obligations des organismes
- Registre des traitements : liste documentée des traitements de données.
- Information des personnes (politique de confidentialité, mentions sur les formulaires).
- Sécurité : contrôle des accès, chiffrement, sauvegardes, mots de passe robustes.
- Contrats avec les sous-traitants.
- Analyse d’impact (AIPD) pour les traitements à risque élevé.
- Délégué à la protection des données obligatoire pour les autorités publiques et certains organismes (suivi à grande échelle, données sensibles).
- Notification des violations de données à la CNIL dans les 72 heures si elles présentent un risque, et aux personnes concernées si le risque est élevé.
- Encadrement des transferts de données hors de l’Union européenne.
- Protection des données dès la conception et par défaut (privacy by design).
Les sanctions
| Niveau | Montant maximal |
|---|---|
| Manquements les plus graves (principes, droits, transferts) | 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu |
| Autres manquements (sécurité, registre, sous-traitance) | 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial |
Les autorités peuvent aussi prononcer des avertissements, des mises en demeure, des limitations de traitement, et rendre publiques leurs sanctions. Les plus fortes amendes infligées en Europe ont dépassé le milliard d’euros (Meta, 1,2 milliard d’euros en 2023, par l’autorité irlandaise). En France, la CNIL a sanctionné de grandes plateformes à plusieurs reprises, notamment pour des manquements sur les cookies.
RGPD et autres textes européens
Le RGPD s’articule avec la directive ePrivacy (cookies, prospection électronique), le règlement sur les services numériques (DSA), le règlement sur les marchés numériques (DMA) et le règlement sur l’intelligence artificielle, qui renvoie au RGPD pour les données personnelles utilisées par les systèmes d’IA (voir intelligence artificielle).
Questions fréquentes
Que signifie RGPD ?
Règlement général sur la protection des données. En anglais : General Data Protection Regulation (GDPR).
Une entreprise peut-elle refuser de supprimer mes données ?
Oui dans certains cas : obligation légale de conservation (factures, bulletins de paie), constatation ou défense d’un droit en justice, liberté d’expression, intérêt public. Elle doit alors motiver son refus et vous indiquer la possibilité de saisir la CNIL.
Le RGPD s’applique-t-il aux petites entreprises et aux associations ?
Oui, quelle que soit leur taille, dès qu’elles traitent des données personnelles. Certaines obligations (comme le registre) sont allégées pour les structures de moins de 250 salariés dont les traitements sont occasionnels et sans risque.
Comment se désinscrire de la prospection commerciale ?
Par le lien de désinscription des courriels, en exerçant son droit d’opposition, et pour le téléphone, en s’inscrivant gratuitement sur la liste Bloctel.
Que faire si mes données ont fuité ?
Changer les mots de passe concernés, se méfier des messages qui s’appuient sur les données volées (voir phishing), surveiller ses comptes bancaires. L’organisme responsable doit vous informer si la fuite présente un risque élevé.