Comprendre le RGPD en 15 minutes

Si vous n’avez jamais été confronté au RGPD, cette synthèse vous permettra d’aller rapidement à l’essentiel. L’objectif est de comprendre ce qui protège les personnes et ce que votre organisation doit être capable de démontrer.

Les deux vidéos ci-dessous accompagnent la version initiale de cet article, publiée en mai 2024. Pour les règles et nuances juridiques, reportez-vous au texte actualisé ci-dessous ; les exemples et interfaces présentés dans les vidéos peuvent avoir évolué.

Qu’est-ce que le RGPD ?

Le Règlement général sur la protection des données encadre l’utilisation des données personnelles et protège les droits des personnes physiques. Il est entré en vigueur le 24 mai 2016 et est applicable depuis le 25 mai 2018 : ces deux dates ne désignent pas le même événement. RGPD, art. 99(1)–(2).

Une donnée personnelle permet d’identifier directement ou indirectement une personne : nom, coordonnées, identifiant ou combinaison d’informations. Un traitement comprend notamment la collecte, la consultation, le classement, la transmission et l’effacement. Un fichier papier structuré peut aussi être concerné. RGPD, art. 2(1), 4(1)–(2).

Le règlement s’applique notamment aux activités d’un établissement dans l’Union et, sous conditions, à des organismes extérieurs qui proposent des biens ou services à des personnes dans l’Union ou y suivent leur comportement. Il ne dépend pas de la seule nationalité des personnes. L’usage strictement personnel ou domestique bénéficie d’une exclusion spécifique. RGPD, art. 2(2)(c), 3(1)–(2).

Qui doit agir dans l’organisation ?

Le responsable de traitement détermine les finalités et les moyens ; le sous-traitant agit pour son compte. Ces rôles doivent correspondre à la réalité, et non seulement au titre du contrat. RGPD, art. 4(7)–(8).

Dans une PME, le dirigeant doit organiser la démarche avec les responsables métier et l’informatique. Un DPO conseille et contrôle le respect des règles lorsqu’il est désigné ; il ne remplace pas le responsable de traitement. Sa désignation n’est pas obligatoire pour toute entreprise : les critères concernent notamment les organismes publics et certaines activités de base à grande échelle. RGPD, art. 24(1), 37(1), 39(1).

Les principes à comprendre avant de collecter

Ces questions traduisent les principes de licéité, loyauté, transparence, finalité, minimisation, exactitude, conservation limitée, sécurité et responsabilité. RGPD, art. 5(1)–(2).

Le consentement n’est pas requis pour tout traitement. Le contrat, l’obligation légale ou l’intérêt légitime peuvent notamment constituer une base selon leurs conditions. Une signature générale « j’accepte le RGPD » ne remplace pas cet examen. RGPD, art. 6(1) et 7.

Exemple hypothétique : un formulaire d’inscription à une lettre d’information demande une adresse électronique. Ajouter une date de naissance obligatoire exige une justification propre ; la possibilité technique de la collecter ne suffit pas. Notre guide de minimisation des données détaille cette démarche.

Certaines informations, comme celles relatives à la santé ou aux opinions politiques, relèvent de catégories particulièrement protégées. Leur traitement exige une exception à l’interdiction de principe, en plus du fondement général applicable. Consultez le guide des données sensibles. RGPD, art. 9(1)–(2).

Informer les personnes et rendre leurs droits effectifs

Les personnes doivent comprendre qui utilise leurs données, pour quels objectifs, sur quel fondement, avec quels destinataires et pendant combien de temps. Les informations dépendent notamment du fait que les données sont recueillies auprès d’elles ou auprès d’une autre source. RGPD, art. 13(1)–(3), 14(1)–(5).

Les droits comprennent notamment l’accès, la rectification, l’effacement, la limitation, la portabilité et l’opposition. Leurs conditions diffèrent : toute demande d’effacement n’impose pas de supprimer une pièce que la loi oblige à conserver. La réponse doit intervenir en principe sous un mois ; une prolongation encadrée est possible. RGPD, art. 12(3), 15 à 21.

Prévoyez un interlocuteur et un circuit connu des équipes. Une demande reçue par le service client ne doit pas rester sans suite parce qu’elle n’utilise pas le formulaire prévu.

Encadrer les prestataires et les transferts

Un hébergeur ou un prestataire qui traite des données pour votre compte doit offrir des garanties suffisantes et être lié par les clauses requises. Choisir une entreprise européenne ne dispense pas de vérifier ses pratiques, ses sous-traitants et ses accès. RGPD, art. 28(1) et (3).

Les transferts hors EEE doivent reposer sur un mécanisme applicable, par exemple une décision d’adéquation ou des garanties appropriées. Examinez les destinataires et les accès réels ; la nationalité du groupe ou la localisation affichée du serveur ne suffit pas à conclure. Notre guide de l’article 44 du RGPD présente les critères. RGPD, art. 44, 45(1), 46(1).

Sécuriser et savoir réagir

Adaptez la sécurité aux risques : accès individuels, mises à jour, sauvegardes restaurables, chiffrement lorsque pertinent et procédures connues des utilisateurs. Une violation peut résulter d’un piratage, mais aussi d’un courriel envoyé au mauvais destinataire ou d’une indisponibilité accidentelle. RGPD, art. 32(1)–(2) ; art. 4(12).

Toutes les violations doivent être documentées. Leur notification à l’autorité dépend du risque ; l’information des personnes dépend notamment d’un risque élevé. Les 72 heures ne constituent donc pas une obligation d’informer systématiquement tous les clients. RGPD, art. 33(1), (5), 34(1), (3).

Passer de la compréhension à l’action

Commencez par un inventaire des activités, le tri des données, l’information et les droits, puis la sécurité. C’est également l’approche proposée par la CNIL pour démarrer. CNIL, premières étapes.

Le registre des traitements aide à organiser cet inventaire. La dérogation pour les petits organismes est limitée et ne couvre notamment pas leurs traitements réguliers. Les activités présentant un risque élevé probable peuvent en outre nécessiter une AIPD. RGPD, art. 30(5), 35(1).

Attribuez ensuite chaque correction à une personne et vérifiez sa réalisation. Le guide de mise en conformité pour les PME fournit les livrables à constituer. Aucun document unique ne remplace l’ensemble de cette démarche.

Ce qu’il faut retenir

• Le RGPD encadre l’usage des informations concernant les personnes.
• Chaque traitement demande un objectif, un fondement et des garanties adaptées.
• Le consentement et le DPO ne sont pas obligatoires dans tous les cas.
• La conformité se démontre par des pratiques, des décisions et des preuves tenues à jour.

FAQ

Le RGPD concerne-t-il seulement les sites internet ?

Non. Il concerne aussi les dossiers RH, les fichiers clients, la vidéosurveillance ou certains dossiers papier structurés. Le support ne constitue pas le seul critère.

Une adresse professionnelle est-elle une donnée personnelle ?

Elle l’est lorsqu’elle permet d’identifier une personne physique. Le contexte professionnel ne fait pas disparaître la protection.

Peut-on devenir conforme en quinze minutes ?

Quinze minutes permettent de comprendre les principes et de choisir une première action. La mise en conformité demande ensuite d’examiner les traitements réels et de corriger les écarts.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.