RGPD

Nicolas LEBEY 2022

RGPD : de quoi parle-t-on ?
Le règlement général sur la protection des données (RGPD)
responsabilise les organismes publics et privés qui traitent leurs données.
RGPD : de quoi parle-t-on ?
Le sigle RGPD signifie « Règlement Général sur la Protection des Données » (en
anglais « General Data Protection Regulation » ou GDPR). Le RGPD encadre le
traitement des données personnelles sur le territoire de l’Union européenne.
Le contexte juridique s’adapte pour suivre les évolutions des technologies et de
nos sociétés (usages accrus du numérique, développement du commerce en
ligne…).
Ce nouveau règlement européen s’inscrit dans la continuité de la Loi française
Informatique et Libertés de 1978 et renforce le contrôle par les citoyens de
l’utilisation qui peut être faite des données les concernant.
Il harmonise les règles en Europe en offrant un cadre juridique unique aux
professionnels. Il permet de développer leurs activités numériques au sein de
l’UE en se fondant sur la confiance des utilisateurs.
 Un cadre juridique unifié pour l’ensemble de
l’UE
• Le texte adopté est un règlement européen, ce qui signifie que, contrairement à une directive, il est directement
applicable dans l’ensemble de l’Union sans nécessiter de transposition dans les différents États membres. Le même
texte s’applique donc à partir du 25 mai 2018 dans toute l’Union. Dès lors, les traitements déjà mis en œuvre à cette
date doivent d’ici là être mis en conformité avec les dispositions du règlement.
• Un champ d’application étendu
Le critère du ciblage
• Le règlement s’applique dès lors que le responsable de traitement ou le sous-traitant est établi sur le territoire de
l’Union européenne ou que le responsable de traitement ou le sous-traitant met en œuvre des traitements visant à
fournir des biens et des services aux résidents européens ou à les « cibler » (en anglais monitor).
• En pratique, le droit européen s’applique chaque fois qu’un résident européen est directement visé par un traitement
de données, y compris par Internet.

La responsabilité des sous-traitants

• Par ailleurs, alors que le droit de la protection des données actuel concerne essentiellement les « responsables de
traitements », c’est-à-dire les organismes qui déterminent les finalités et les modalités de traitement de données
personnelles, le règlement étend aux sous-traitants une large partie des obligations imposées aux responsables de
traitement.
Qui concerné par le RGPD ?
• Tout organisme quels que soient sa taille, son pays d’implantation et son activité, peut être concerné.
• En effet, le RGPD s’applique à toute organisation, publique et privée, qui traite des données personnelles pour son compte ou non,
dès lors :
• qu'elle est établie sur le territoire de l’Union européenne,
• ou que son activité cible directement des résidents européens.

• Par exemple, une société établie en France, qui exporte l’ensemble de ses produits au Maroc pour ses clients moyen-orientaux
doit respecter le RGPD.

• De même, une société établie en Chine, proposant un site de e-commerce en français livrant des produits en France doit respecter
le RGPD.

• Le RGPD concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres organismes.

• Ainsi, si vous traitez ou collectez des données pour le compte d’une autre entité (entreprise, collectivité, association), vous avez
des obligations spécifiques pour garantir la protection des données qui vous sont confiées.
Qu'est-ce qu'une donnée personnelle ?
• La notion de « données personnelles » est à
comprendre de façon très large
• Une « donnée personnelle » est « toute
information se rapportant à une personne
physique identifiée ou identifiable ».
• Une personne peut être identifiée :
• directement (exemple : nom, prénom)
• ou indirectement (exemple : par un identifiant (n°
client), un numéro (de téléphone), une donnée
biométrique, plusieurs éléments spécifiques propres à
son identité physique, physiologique, génétique,
psychique, économique, culturelle ou sociale, mais
aussi la voix ou l’image).
 Qu'est-ce qu'une donnée personnelle ?
• L’identification d’une personne physique peut être réalisée :
• à partir d’une seule donnée (exemple : numéro de sécurité sociale, ADN)
• à partir du croisement d’un ensemble de données (exemple : une femme vivant à
telle adresse, née tel jour, abonnée à tel magazine et militant dans telle association)

Exemple : une base marketing contenant de nombreuses informations

précises sur la localisation, l’âge, les goûts et les comportements d’achats de
consommateurs, y-compris si leur nom n’est pas stocké, est considérée
comme un traitement de données personnelles, dès lors qu’il est possible de
remonter à une personne physique déterminée en se basant sur ces
informations.
Qu’est-ce qu’un traitement de données
personnelles ?
• Cette notion est également très large.
• Un « traitement de données personnelles » est une opération, ou ensemble d'opérations, portant
sur des données personnelles, quel que soit le procédé utilisé (collecte, enregistrement,
organisation, conservation, adaptation, modification, extraction, consultation, utilisation,
communication par transmission diffusion ou toute autre forme de mise à disposition,
rapprochement).
Exemple : tenue d’un fichier de ses clients, collecte de coordonnées de prospects via un
questionnaire, mise à jour d’un fichier de fournisseurs, etc.

• Par contre, un fichier ne contenant que des coordonnées d’entreprises (par exemple, entreprise «
Compagnie A » avec son adresse postale, le numéro de téléphone de son standard et un email de
contact générique « compagnieA@[Link] ») n’est pas un traitement de données personnelles.
• Un traitement de données personnelles n’est pas nécessairement informatisé : les fichiers papier
sont également concernés et doivent être protégés dans les mêmes conditions.
Qu’est-ce qu’un traitement de données
personnelles ?
• Un traitement de données doit avoir un objectif, une finalité, c’est-à-dire
que vous ne pouvez pas collecter ou traiter des données personnelles
simplement au cas où cela vous serait utile un jour. A chaque traitement de
données doit être assigné un but, qui doit bien évidemment être légal et
légitime au regard de votre activité professionnelle.

Exemple : vous collectez sur vos clients de nombreuses informations, lorsque

vous effectuez une livraison, éditez une facture ou, proposez une carte de
fidélité. Toutes ces opérations sur ces données constituent votre traitement
de données personnelles ayant pour objectif la gestion de votre clientèle.
Précisions
• L’expression du consentement est définie : les utilisateurs doivent être informés de l’usage de leurs données et doivent en
principe donner leur accord pour le traitement de leurs données, ou pouvoir s’y opposer. La charge de la preuve du consentement
incombe au responsable de traitement. La matérialisation de ce consentement doit être non ambigüe.
De nouveaux droits
• Le droit à la portabilité des données : ce nouveau droit permet à une personne de récupérer les données qu’elle a fournies sous
une forme aisément réutilisable, et, le cas échéant, de les transférer ensuite à un tiers. Il s’agit ici de redonner aux personnes la
maîtrise de leurs données, et de compenser en partie l’asymétrie entre le responsable de traitement et la personne concernée.
• Des conditions particulières pour le traitement des données des enfants : Pour la première fois, la législation européenne
comporte des dispositions spécifiques pour les mineurs de moins de 16 ans. L’information sur les traitements de données les
concernant doit être rédigée en des termes clairs et simples, que l'enfant peut aisément comprendre. Le consentement doit être
recueilli auprès du titulaire de l’autorité parentale. Les États membres peuvent abaisser cet âge par la loi, sans toutefois qu’il
puisse être inférieur à 13 ans.
• En France par exemple, l’âge retenu est de 15 ans. En deçà, la loi française prévoit que le consentement conjoint de l’enfant et du
titulaire de l’autorité parentale doit être recueilli.
• Devenu adulte, le consentement donné sur un traitement doit pouvoir être retiré et les données effacées.
• Introduction du principe des actions collectives : Tout comme pour la législation relative à la protection des consommateurs, les
associations actives dans le domaine de la protection des droits et libertés des personnes en matière de protection des données
ont la possibilité d’introduire des recours collectifs en matière de protection des données personnelles.
• Un droit à réparation des dommages matériel ou moral : Toute personne ayant subi un dommage matériel ou moral du fait d'une
violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.
 Précisions
Une conformité basée sur la transparence et la responsabilisation
• Alors que la directive de 1995 reposait en grande partie sur la notion de « formalités préalables » (déclaration,
autorisations), le règlement européen repose sur une logique de conformité, dont les acteurs sont responsables, sous
le contrôle et avec l’accompagnement du régulateur.

Une clé de lecture : la protection des données dès la conception et par défaut (privacy by design)
• Les responsables de traitements doivent mettre en œuvre toutes les mesures techniques et organisationnelles
nécessaires au respect de la protection des données personnelles, à la fois dès la conception du produit ou du service
et par défaut. Concrètement, ils doivent veiller à limiter la quantité de données traitée dès le départ (principe dit de «
minimisation »).

Un allègement des formalités administratives et une responsabilisation des acteurs

• Afin d’assurer une protection optimale des données personnelles qu’ils traitent de manière continue, les
responsables de traitements et les sous-traitants devront mettre en place des mesures de protection des données
appropriées et démontrer cette conformité à tout moment (accountability).
• La conséquence de cette responsabilisation des acteurs est la suppression des obligations déclaratives dès lors que
les traitements ne constituent pas un risque pour la vie privée des personnes. Quant aux traitements soumis
actuellement à autorisation, le régime d’autorisation est maintenu dans certains cas par le droit national (par
exemple en matière de santé) ou est remplacé par une nouvelle procédure centrée sur l’étude d’impact sur la vie
privée.
Précisions
De nouveaux outils de conformité :
• la tenue d’un registre des traitements mis en œuvre
• la notification de failles de sécurité (aux autorités et personnes
concernées)
• la certification de traitements
• l’adhésion à des codes de conduites
• le DPO (délégué à la protection des données)
• les analyses d’impact relatives à la protection des données (AIPD)
Précisions
Les « analyses d’impact relatives à la protection des données » (AIPD ou PIA)

Pour tous les traitements à risque, le responsable de traitement devra conduire une
analyse d’impact complète, faisant apparaître les caractéristiques du traitement, les
risques et les mesures adoptées. Concrètement, il s’agit notamment des traitements
de données sensibles (données qui révèlent l’origine raciale ou ethnique, les opinions
politiques, philosophiques ou religieuses, l’appartenance syndicale, les données
concernant la santé ou l’orientation sexuelle, mais aussi, fait nouveau, les données
génétiques ou biométriques), et de traitements reposant sur « l’évaluation
systématique et approfondie d’aspects personnels des personnes physiques », c’est-à-
dire notamment de profilage.

En cas de risque élevé, il devra consulter l’autorité de protection des données avant de
mettre en œuvre ce traitement. Les « CNIL » pourront s’opposer au traitement à la
lumière de ses caractéristiques et conséquences.
Précisions
Une obligation de sécurité et de notification des violations de données
personnelles pour tous les responsables de traitements

Les données personnelles doivent être traitées de manière à garantir une

sécurité et une confidentialité appropriées.

Lorsqu’il constate une violation de données à caractère personnel, le

responsable de traitement doit notifier à l’autorité de protection des
données la violation dans les 72 heures. L’information des personnes
concernées est requise si cette violation est susceptible d'engendrer un
risque élevé pour les droits et libertés d'une personne.
Précisions
Le Délégué à la Protection des données (Data Protection Officer)

Les responsables de traitement et les sous-traitants devront

obligatoirement désigner un délégué :
• s’ils appartiennent au secteur public,
• si leurs activités principales les amène à réaliser un suivi régulier et systématique
des personnes à grande échelle,
• si leurs activités principales les amène à traiter (toujours à grande échelle) des
données dites « sensibles » ou relatives à des condamnations pénales et
infractions.
Précisions
Le Délégué à la Protection des données (Data Protection Officer)

En dehors de ces cas, la désignation d’un délégué à la protection des données sera
bien sûr possible.
Les responsables de traitement peuvent opter pour un délégué à la protection des
données mutualisé ou externe.
Le délégué devient le véritable « chef d’orchestre » de la conformité en matière de
protection des données au sein de son organisme. Il est ainsi chargé :
• d’informer et de conseiller le responsable de traitement ou le sous-traitant, ainsi que ses
employés ;
• de contrôler le respect du règlement européen et du droit national en matière de protection des
données ;
• de conseiller l’organisme sur la réalisation d’une analyse d'impact (AIPD) et d’en vérifier
l’exécution ;
• de coopérer avec l’autorité de contrôle et d’être le point de contact de celle-ci
Précisions
• Des responsabilités partagées et précisées
Le règlement européen sur la protection des données vise à responsabiliser les acteurs des
traitements de données en uniformisant les obligations pesant sur les responsables de
traitements et les sous-traitants.
• Le représentant légal
C’est le point de contact de l’autorité. Il a mandat pour « être consulté en complément ou à la
place du responsables de traitement sur toutes les questions relatives aux traitements »
• Le sous-traitant
Le sous-traitant est tenu de respecter des obligations spécifiques en matière de sécurité, de
confidentialité et en matière d’accountability. Il a notamment une obligation de conseil auprès
du responsables de traitement pour la conformité à certaines obligations du règlement (PIA,
failles, sécurité, destruction des données, contribution aux audits)
Il est tenu de maintenir un registre et de désigner un DPO dans les mêmes conditions qu’un
responsable de traitement.
Précisions
• Le cadre des transferts hors de l’Union mis à jour
Les responsables de traitement et les sous–traitants peuvent transférer des données
hors UE seulement s’ils encadrent ces transferts avec des outils assurant un niveau de
protection suffisant et appropriés des personnes.
Par ailleurs, les données transférées hors Union restent soumises au droit de l’Union
non seulement pour leur transfert, mais aussi pour tout traitement et transfert
ultérieur.
Ainsi, et hormis les transferts fondés sur une décision d’adéquation de la Commission
Européenne, les responsables de traitement et les sous-traitants peuvent mettre en
place :
• des règles d’entreprises contraignantes (BCR) ;
• des clauses contractuelles types approuvées par la Commission Européenne ;
• des clauses contractuelles adoptées par une autorité et approuvées par la
Commission européenne.
Précisions
• Des sanctions encadrées, graduées et renforcées
Les responsables de traitement et les sous-traitants peuvent faire l’objet de sanctions administratives importantes en cas de
méconnaissance des dispositions du règlement.
• Les autorités de protection peuvent notamment :
• Prononcer un avertissement ;
• Mettre en demeure l’entreprise ;
• Limiter temporairement ou définitivement un traitement ;
• Suspendre les flux de données ;
• Ordonner de satisfaire aux demandes d'exercice des droits des personnes ;
• Ordonner la rectification, la limitation ou l'effacement des données.
S’agissant des nouveaux outils de conformité qui peuvent être utilisés par les entreprises, l’autorité peut retirer la certification délivrée ou
ordonner à l’organisme de certification de retirer la certification.
S’agissant des amendes administratives, elles peuvent s’élever, selon la catégorie de l’infraction, de 10 ou 20 millions d’euros, ou, dans le
cas d’une entreprise, de 2% jusqu’à 4% du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Ce montant doit être rapporté au fait que, pour les traitements transnationaux, la sanction sera conjointement adoptée entre l’ensemble
des autorités concernées, donc potentiellement pour le territoire de toute l’Union européenne.
Dans ce cas, une seule et même décision de sanction décidée par plusieurs autorités de protection sera infligée à l’entreprise.
 Sanction de 250 000 euros à l’encontre
d’INFOGREFFE
13 septembre 2022
La CNIL a prononcé une sanction de 250 000 euros à l’encontre du GIE INFOGREFFE pour avoir manqué à plusieurs obligations du RGPD en matière de durées de conservation et de sécurité des données
personnelles.
• Le contexte
À la suite d’une plainte dont elle a été saisie, la CNIL a procédé à un contrôle en ligne du site web [Link], qui permet de consulter des informations légales sur les entreprises et de commander des
documents certifiés par les greffes des tribunaux de commerce. Les vérifications portaient notamment sur les durées de conservations définies et les mesures de sécurité mises en œuvre par le GIE
INFOGREFFE, qui édite le service de diffusion de l’information légale et officielle sur les entreprises à travers le site web.
Lors des investigations, la CNIL a notamment relevé plusieurs manquements concernant le traitement des données personnelles des utilisateurs du service (les personnes ayant créé un compte pour la
visualisation ou la commande d’un acte et les personnes abonnées disposant d’un abonnement annuel).
Sur la base de ces constatations, la formation restreinte (organe de la CNIL chargé de prononcer des sanctions) a prononcé à l’encontre du GIE INFOGREFFE une amende de 250 000 euros rendue publique.
Cette décision a été prise en coopération avec les autres autorités européennes concernées car des comptes utilisateurs ont été créés depuis tous les États membres de l’Union européenne.

• Les manquements sanctionnés

Un manquement relatif à l’obligation de conserver les données pour une durée proportionnée à la finalité du traitement (article 5.1.e du RGPD)
Le site web [Link] prévoyait que les données personnelles des membres et abonnés (données bancaires, noms, prénoms, adresses postale et électronique, téléphone fixe ou portable, question
secrète et sa réponse) seraient conservées 36 mois à compter de la dernière commande de prestation et/ou document.
Pourtant, la CNIL a constaté que les données de 25 % des utilisateurs du service faisaient l’objet d’une durée de conservation au-delà des délais prévus. L’anonymisation manuelle mise en œuvre,
uniquement sur demande des utilisateurs, ne concernait qu’une très faible quantité de comptes.
L’organisme a indiqué, au cours de la procédure, qu’une purge des comptes inactifs depuis plus de 36 mois était mise en œuvre depuis le contrôle.

• Un manquement relatif à l’obligation d’assurer la sécurité des données personnelles (article 32 du RGPD)
La CNIL a également constaté que l’organisme n’imposait pas l’utilisation d’un mot de passe robuste à la création d’un compte sur son site web et qu’il était impossible pour les 3,7 millions de comptes de
saisir un mot de passe sécurisé en raison de la limitation de leur taille.
En outre, INFOGREFFE transmettait en clair, par courriel, les mots de passe non temporaires permettant l’accès aux comptes et conservait également en clair, dans sa base de données, les mots de passe
ainsi que les questions et réponses secrètes utilisées lors de la procédure de réinitialisation des mots de passe par les utilisateurs.
En conséquence, la CNIL a considéré que le GIE INFOGREFFE n’avait pas pris de mesures suffisantes pour garantir la sécurité des données des membres et des utilisateurs concernés.
L’organisme a toutefois mis en œuvre certaines actions au cours de la procédure concernant la sécurisation de l’accès aux comptes et l’identification des membres et abonnés.