Le règlement général sur la protection des données (RGPD) est un règlement adopté par le

législateur européen, le 27 avril 2016 et applicable depuis le 25 mai 2018 (1). Ce texte
ambitieux organise et harmonise la collecte, le traitement et la protection des données
personnelles des citoyens européens.

À savoir : le RGPD renvoyait à la réglementation nationale pour certains éléments, or la

réglementation interne, c'est-à-dire française, pouvait être en contradiction avec le RGPD.

C'est pourquoi la France, par étape, a adapté sa législation interne au nouveau cadre
européen :

 la loi du 20 juin 2018 (2) a modifié la loi informatique et liberté (3) pour la rendre
conforme au RGPD ;
 le décret d'application de la loi informatique et liberté a lui-même été modifié, toujours
dans un souci de mise en conformité avec le RGPD, par le décret du 1er août 2018
(4) ;
 la loi informatique et liberté a été réécrite et mise en cohérence par ordonnance du 12
décembre 2018 (5) ;
 un nouveau décret d'application a été élaboré pour la loi informatique et liberté en date
du 29 mai 2019 (6).

e RGPD s’applique à toutes les entreprises et les organismes qui traitent des données
personnelles dès lors :

 qu’ils sont établis sur le territoire de l’Union européenne ;

 ou qu’ils sont établis dans des pays tiers à l'UE mais proposent des biens et des
services à des résidents européens.

Il n’est pas possible de déroger aux dispositions du RGPD si l’on fait partie d’un de ces deux
cas.

Exemple :

Une entreprise de vente en ligne établie en France devra respecter le RGPD tandis qu’une
entreprise américaine qui fournit des services exclusivement aux résidents des États-Unis n’a
aucune obligation de respecter le RGPD.

Quelles données sont protégées par le RGPD ?

Avec le règlement général, il est question de la protection des données personnelles, mais de
quoi parle-t-on exactement ?
Les données personnelles

Une donnée personnelle est définie comme "toute information se rapportant à une
personne physique identifiée ou identifiable" (7).

Ces données peuvent être sous une forme physique ou numérique, peu importe leur mode de
collecte et leur mode de traitement.

Quelques exemples de données personnelles :

 le nom ou prénom ;
 une adresse postale ;
 une adresse e-mail ;
 un numéro de carte d’identité, de Sécurité sociale ;
 des données de localisation (GPS, IP) ;
 etc.

Les données sensibles

Parmi les données personnelles, le RGPD prévoit une catégorie spéciale de données
considérées comme “sensibles” (8) :

 origine raciale ou ethnique ;

 opinions politiques ;
 convictions religieuses ou philosophiques ;
 appartenance syndicale ;
 traitement des données génétiques ;
 données biométriques destinées à vous identifier de manière unique en tant que
personne physique ;
 santé ;
 vie sexuelle ou orientation sexuelle.

Besoin d'une assistance juridique ?

Consultez en illimité notre base documentaire et posez toutes vos questions à nos juristes
experts grâce à nos solutions spécialement conçues pour les professionnels !

Par défaut, recueillir et utiliser ces données est interdit. Toutefois, il est possible d’y déroger
dans les cas suivants :
  si la personne concernée a donné son consentement exprès (démarche active, explicite
et de préférence écrite, qui doit être libre, spécifique et informée) ;
 si les informations sont manifestement rendues publiques par la personne concernée ;
 si elles sont nécessaires à la sauvegarde de la vie humaine ;
 si leur utilisation est justifiée par l'intérêt public et autorisée par la CNIL ;
 si elles concernent les membres ou adhérents d'une association ou d'une organisation
politique, religieuse, philosophique, politique ou syndicale.

Qu’est-ce qu’un traitement de données personnelles ?

Définition d’un traitement

Le traitement d’une donnée personnelle représente toute action qui s’y rapporte :
enregistrement, conservation, modification, transmission, etc.

Le traitement n’est pas nécessairement informatisé, une donnée sur un support papier peut
également faire l’objet d’un traitement.

La finalité d’un traitement

Le traitement doit poursuivre une finalité déterminée.

Le principe de finalité est la pierre angulaire du RGPD : c’est le “pourquoi” du traitement, ce

à quoi il va servir. Il faut déterminer l’objectif que vise le traitement (ex : gestion de
prospects, recrutement, gestion du personnel).

Cet objectif doit être légitime, clair et compréhensible et conditionne la durée de

conservation des données.

La base légale d’un traitement

Un traitement de données à caractère personnel est obligatoirement basé sur 1 des 6 bases
juridiques prévues par le RGPD (9) :

 le consentement : la personne a consenti au traitement de ses données ;

 le contrat : le traitement est nécessaire à l’exécution ou à la préparation d’un contrat
avec la personne concernée ;
 l’obligation légale : le traitement est imposé par des textes légaux ;
 la mission d’intérêt public : le traitement est nécessaire à l’exécution d’une mission
d’intérêt public ;
 l’intérêt légitime : le traitement est nécessaire à la poursuite d’intérêts légitimes de
l’organisme qui traite les données ou d’un tiers, dans le strict respect des droits et
intérêts des personnes dont les données sont traitées ;
 la sauvegarde des intérêts vitaux : le traitement est nécessaire à la sauvegarde des
intérêts vitaux de la personne concernée, ou d’un tiers.

Lorsqu’un traitement poursuit plusieurs finalités, il est nécessaire de définir une base légale
pour chacune des finalités.
Quels sont les règles et principes majeurs du RGPD ?
Proportionnalité et pertinence (ou principe de minimisation)

Les données personnelles collectées doivent être pertinentes et limitées en rapport avec les
finalités pour lesquelles elles sont utilisées. Elles doivent également être le plus exactes et à
jour possible.

En bref : le minimum de données doit être collectées, strictement proportionnées de

l’utilisation visée.

Exemple :

Une société demandait aux candidats à l'embauche de fournir obligatoirement leur lieu de
naissance, leur nationalité, leur situation de famille (situation de couple, profession du
conjoint, le nombre d'enfants ainsi que leur âge), ou encore l'ensemble des salaires perçus
dans les entreprises précédentes (10).
Après avoir indiqué que certaines informations demandées au salarié sont interdites car
relatives à la vie privée et susceptibles de discrimination, la CNIL a rappelé à la société le
principe de minimisation, c'est-à-dire que les informations demandées doivent être limitées et,
dans ce cas, seulement nécessaire au recrutement. Par exemple, collecter les données relatives
à la situation de couple d'un candidat ne peut avoir pour objectif de valider, ou non, la
candidature d'un individu.
Après une mise en demeure, la société s'est d'ailleurs conformée à ce principe.

Une durée de conservation limitée

Dans la continuité du principe de proportionnalité, les données personnelles ne doivent pas

être conservées plus longtemps que la finalité ne l’exige. La durée de conservation des
données doit être fixée à l’avance et celles-ci doivent être supprimées ou anonymisées à
l’expiration de ce délai.

La traçabilité des traitements de données à caractère personnel

Le RGPD introduit le concept d’accountability, c’est-à-dire l’obligation de mettre en œuvre

des procédures internes qui permettent de s’assurer du respect des règles relatives à la
protection des données personnelles.

Sécurité des données

Le RGPD impose aux organismes qui traitent les données personnelles d’assurer la sécurité
des données. Il faut donc prendre des mesures afin de garantir la confidentialité, l’intégrité
et la disponibilité des données.
Ces mesures peuvent être : le chiffrement des données, amélioration de la résilience des
systèmes informatiques, une bonne gestion des incidents, etc.

Quels sont les droits des personnes physiques sur leurs

données ?
Le RGPD consacre de nombreux droits pour les personnes sur leurs données (11) :

 d’être informé de la collecte de leurs données et des finalités du traitement ;

 d'obtenir gratuitement une copie des données la concernant ;
 de faire rectifier les données qui se révèleraient inexactes ou de les compléter ;
 à l'effacement ("droit à l'oubli”), sous conditions, de ces données, notamment
lorsqu'elles ne sont plus nécessaires, que l'intéressé s'oppose au traitement ou encore
lorsqu'il retire son consentement ;
 de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, au
traitement des données, sauf motif légitime du responsable du traitement.

Lettre de réponse à une demande d'accès à ses données personnelles

Une personne vous demande l'accès à ses données personnelles ? Notifiez lui votre réponse
grâce à notre modèle crée par nos juristes experts !

💡 Vous êtes un particulier ? Ce modèle peut vous intéresser : Lettre de demande d'accès à ses
données personnelles

Quel est le rôle de la CNIL dans le respect du RGPD en

France ? Quelles sanctions en cas de manquements ?
La Commission nationale de l'informatique et des libertés de France (CNIL) est
compétente pour s'assurer que la collecte et le traitement des données personnelles sont licites
(12). Ainsi, elle a pour mission de réguler ces traitements :

 en accompagnant les professionnels dans leur mise en conformité au RGPD ;

 en informant les particuliers sur leurs droits.

Dans le cadre de sa mission, la CNIL procède à des contrôles et peut sanctionner en cas de
violation de données personnelles.
Elle dispose de moyens lui permettant de veiller à la bonne application du RGPD.

Sur décision de son Président, la CNIL peut procéder à différents types de contrôles :
  sur pièces ;
 sur convocation ;
 sur place ;
 en ligne.

Une question juridique ?

Pour vous accompagner, nos juristes sont à votre disposition et répondent gratuitement à votre
1ère question juridique en seulement 24h.

La mission de contrôle a pour objectif d'apprécier les conditions dans lesquelles est mis en
œuvre le traitement des données à caractère personnel, et de s'assurer que celles-ci répondent
aux exigences réglementaires en vigueur.

La délégation de la CNIL peut demander :

 tous documents nécessaires à l'accomplissement de sa mission quel qu'en soit le

support ;
 l'accès aux programmes informatiques et aux données ;
 la copie des contrats de location de fichiers, de sous-traitance informatique,
formulaires, dossiers papiers, bases de données, etc.

Elle dispose de 2 procédures de sanction :

 la procédure ordinaire, le RGPD prévoit des sanctions pouvant aller jusqu’à 20

millions d’euros ou 4 % du chiffre d’affaires annuel mondial. La CNIL peut aussi
infliger des rappels à l’ordre, des amendes administratives ainsi que limiter ou
suspendre des traitements ou des flux de données.
 la procédure simplifiée est basée sur la loi Informatique et Libertés et prévoit des
sanctions moins importantes avec un rappel à l’ordre, une mise en conformité sous
astreinte ou encore une amende administrative d’un montant maximal de 20.000 euros.

Découvrez également :

- Comprendre et expliquer le RGPD aux salariés

- RGPD : Vidéosurveillance au travail et respect de votre vie privée
- Cyber-attaques entreprise : comment faire face ?
- Le nom de domaine pour votre entreprise : coût, enregistrement, protection
- Litiges avec la DGCCRF, CNIL : comment les régler ?
- Demande de suppression de données personnelles

RGPD, IA, Cybersécurité : Visionnez notre webconférence

sur comment protéger votre entreprise et réagir face aux
attaques ?
Références :

(1) Règlement (UE) 2016/679 du 27 avril 2016

(2) Loi n°2018-493 du 20 juin 2018 relative à la protection des données
personnelles
(3) Loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux
libertés
(4) Décret n°2018-687 du 1er août 2018 pris pour l'application de la loi n° 78-
17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés,
modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des
données personnelles
(5) Ordonnance n°2018-1125 du 12 décembre 2018 prise en application de
l'article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des
données personnelles et portant modification de la loi n° 78-17 du 6 janvier
1978 relative à l'informatique, aux fichiers et aux libertés et diverses
dispositions concernant la protection des données à caractère personnel
(6) Décret n°2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-
17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés
(7) Règlement (UE) 2016/679 du 27 avril 2016, article 4
(8) Règlement (UE) 2016/679 du 27 avril 2016, article 9
(9) Règlement (UE) 2016/679 du 27 avril 2016, article 6
(10) CNIL, "Recrutement : la CNIL met en demeure une société de minimiser
la collecte de données personnelles de candidats", 25 avril 2024
(11) Règlement (UE) 2016/679 du 27 avril 2016, chapitre 3
(12) Règlement (UE) 2016/679 du 27 avril 2016, article 51
Le RGPD reprend de nombreux grands principes déjà inscrits dans le droit européen et
dans la loi "Informatique et libertés" du 6 janvier 1978, dite loi CNIL

Les données personnelles doivent être "traitées de manière licite, loyale et transparente" et
"collectées pour des finalités déterminées, explicites et légitimes". Elles doivent être
"adéquates, pertinentes et limitées" aux finalités du traitement, être "exactes et, si nécessaire,
tenues à jour". Elles doivent être conservées de façon réduite dans le temps et dans des
conditions de "sécurité appropriée".

Comme précédemment, les personnes disposent du droit d’accéder à leurs données ou de

demander à les rectifier ou de s’y opposer. Elles ont aussi un droit à l’oubli c’est-à-dire un
droit à l’effacement de leurs données et au déréférencement (droit de demander à un moteur
de recherche de supprimer certains résultats associés à ses noms et prénoms). Ces droits sont
complétés et consacrés.

Le RGPD renforce les droits des personnes

Il élargit les informations qui doivent être fournies par les responsables de traitement et leur
impose de mettre à disposition des personnes concernées une information claire, simple et
facilement accessible. Les personnes doivent, sauf exceptions, donner leur consentement au
traitement de leurs données ou pouvoir le retirer à tout moment. Le consentement doit être
donné de façon "éclairée et univoque" (interdiction notamment des cases pré-cochées).

Le consentement des enfants est pour la première fois encadré. Le RGDP fixe à 16 ans
l’âge à partir duquel un mineur peut consentir seul au traitement de ses données personnelles
pour utiliser un service sur internet, typiquement les réseaux sociaux. On parle de majorité
numérique. En deçà de 16 ans, l’autorisation des parents est nécessaire. Les États membres
peuvent toutefois abaisser ce seuil jusqu'à 13 ans (la France l’a fixé à 15 ans).

En outre, la liste de catégories spéciales de données personnelles dites sensibles et qui

bénéficient d’une protection particulière est complétée. Il s’agit désormais des données
relatives à l’origine raciale ou ethnique, aux opinions politiques, aux convictions religieuses
ou philosophiques, à l’appartenance syndicale, aux données génétiques ou biométriques, à la
santé, à la vie sexuelle ou à l’orientation sexuelle des personnes. Le traitement de ces données
est interdit, sauf dans des cas limitatifs et sous conditions. Les États membres peuvent prévoir
des conditions supplémentaires, y compris des limitations, pour les données génétiques,
biométriques ou de santé.
Le RGPD accorde également une plus grande protection face au profilage. Il maintient le
droit pour toute personne de ne pas faire l’objet d’une décision exclusivement fondée sur un
traitement automatisé, y compris le profilage (par exemple recrutement en ligne sans aucune
intervention humaine). À titre exceptionnel, les décisions individuelles automatisées sont
toutefois autorisées mais les personnes disposent de garanties supplémentaires.

Le RGPD crée de nouveaux droits

 Droit à la portabilité de ses données : toute personne doit pouvoir récupérer les données
qu’elle a fournies à une plateforme et les transférer gratuitement à une autre (réseau social,
etc.) ;
 Droit à notification en cas de piratage de ses données personnelles : la personne concernée
doit être rapidement avertie par le responsable du traitement, sauf dans certaines situations
(par exemple données déjà chiffrées) ;
 Action de groupe : toute personne peut mandater une association ou un organisme actif
dans le domaine de la protection des données pour introduire une réclamation ou un recours
et obtenir réparation en cas de violation de ses données ;
 Droit à réparation du dommage matériel ou moral : toute personne qui a subi un tel
dommage du fait de la violation du RGPD peut obtenir du responsable du traitement ou du
sous-traitant la réparation de son préjudice.

La CJUE précise la portée du droit au déréférencement

Une responsabilisation accrue des acteurs traitant des

données
Le RGPD modifie les obligations qui s’imposent aux acteurs traitant des données
personnelles. Les formalités préalables auprès des autorités de protection des données
auxquelles étaient soumis ces acteurs sont remplacées par des mécanismes de conformité et
de responsabilité.

La première obligation pesant sur les responsables de traitement est de mettre en œuvre toutes
les mesures techniques et organisationnelles nécessaires à la protection des données
personnelles. Cette protection doit se faire dès la conception du produit ou du service
(principe de minimisation des données) et par défaut. Cette obligation s’applique également
aux sous-traitants qui doivent présenter des garanties suffisantes en vue d’assurer la protection
des données personnelles.

Les responsables de traitement et leurs sous-traitants doivent garantir un niveau de sécurité et

de confidentialité approprié et pouvoir démontrer à tout moment que le traitement est effectué
conformément au règlement européen.

Hormis les cas où le droit des États membres peut maintenir des autorisations pour certaines
catégories de données ou de traitements (par exemple en matière de santé), la plupart des
obligations déclaratives et des autorisations préalables sont supprimées.

Pour les responsables de traitement présentant un risque élevé pour les droits et libertés des
personnes, elles sont remplacées par l’obligation de mener une étude d’impact sur la vie
privée (EIVP ou PIA). Concrètement sont visés les traitements de données sensibles (ceux
touchant aux opinions politiques, religieuses, aux données génétiques ou biométriques, etc.) et
les traitements reposant sur l’évaluation des personnes, notamment sur le profilage. En cas de
risque élevé, le responsable du traitement doit consulter son autorité de protection, qui peut
s’opposer au traitement.

L’allègement des formalités des acteurs traitant des données se traduit notamment par :

 la désignation d’un délégué à la protection des données (obligatoire pour les autorités et
organismes publics ainsi que pour les responsables et sous-traitants qui suivent à grande
échelle et de façon systématique des personnes ou traitent à grande échelle des données
sensibles ou relatives à des condamnations pénales et infractions) ;
 l’obligation de tenir une documentation, en particulier un registre des activités des
traitements pour toutes les entreprises de plus de 250 salariés et, dans des cas particuliers,
pour les plus petites structures ;
 la participation à des mécanismes de certification des traitements ;
 l’adhésion à des codes de bonne conduite élaborés par des associations ou organismes
représentant des catégories de responsables de traitement ou sous-traitants (ces codes sont
soumis à l’avis des autorités de protection qui les publient) ;
 l’obligation de notifier dans les 72 heures à leur autorité de protection les fuites de données
personnelles.

Des outils supplémentaires sont prévus pour encadrer les transferts de données vers des
pays hors UE. Ces derniers sont par défaut interdits, sauf s’ils respectent plusieurs
conditions. C’est le cas par exemple si la Commission européenne décide que le pays tiers
"assure un niveau de protection adéquat". C’est sur ce mécanisme que repose le "Privacy
shield", l’accord conclu en 2016 entre l’UE et les États-Unis sur le transfert transatlantique de
données.

Une redéfinition du rôle des autorités de protection des

données
Le RGPD redéfinit le rôle des autorités de protection des données (APD) des pays membres.
En France, c’est la Commission nationale de l’informatique et des libertés (CNIL) qui
assure cette mission.

Ces dernières passent d’une activité de contrôle a priori à une activité de contrôle a posteriori
(notamment sur les études d’impact de la vie privée et les registres des activités de
traitements). Elles ont un nouveau rôle d’accompagnement des entreprises, notamment
des petites et moyennes entreprises, des organismes publics ainsi que des délégués à la
protection des données (DPD).

Le RGPD instaure, par ailleurs, un mécanisme de guichet unique afin d’améliorer

la coopération entre les autorités de protection des données en cas de traitements
transnationaux. Dans ces cas, l’entreprise ne rend compte qu’à une seule autorité de
protection, celle du pays où se situe son établissement principal. Cette autorité, désignée
comme autorité "chef de file", coopère avec les autres autorités de protection concernées
(assistance mutuelle, enquêtes communes, etc.) pour s’assurer de la conformité des
traitements mis en œuvre. Les décisions sont adoptées conjointement par l’ensemble de ces
autorités, notamment en termes de sanctions. En cas de désaccord entre l’autorité chef de file
et les autres autorités de protection quant aux mesures proposées, l’affaire est portée devant
le Comité européen de la protection des données (CEPD). Ce dernier, qui remplace le G29,
est chargé de veiller à l’application uniforme du RGPD dans l’UE.

Enfin, le RGPD permet aux autorités de protection de prononcer des amendes

administratives plus importantes. En cas de violation du règlement, ces amendes peuvent
désormais atteindre, selon la catégorie du manquement, 10 à 20 millions d’euros ou, dans le
cas d’une entreprise, 2% à 4% du chiffre d’affaires annuel mondial, le montant le plus
élevé étant retenu. Les États membres peuvent prévoir ou non dans leur législation de telles
amendes pour leurs autorités et organismes publics.