GDPR : onze actions concrètes de conformité

Le GDPR est le RGPD en anglais : le règlement (UE) 2016/679, applicable depuis le 25 mai 2018. Pour organiser sa mise en conformité, il faut relier chaque obligation à un traitement réel, une personne chargée de l’action et une preuve de réalisation. Un plan sérieux est utile, mais il ne remplace pas le respect des obligations et ne garantit pas l’absence de sanction.

À qui s’applique le GDPR, et quels enjeux ?

Le texte s’applique aux organismes établis dans l’Union, mais aussi, selon l’Art. 3(2), à ceux qui, hors de l’Union, proposent des biens ou services à des personnes se trouvant dans l’Union ou suivent leur comportement. Une société américaine ou britannique qui vend en ligne à des clients français peut donc être concernée. Le guide sur les personnes concernées par le RGPD et l’analyse de l’Art. 3 détaillent ces critères. Le texte officiel est consultable sur EUR-Lex.

Côté sanctions, l’Art. 83(4) prévoit des amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour certains manquements (registre, sécurité, sous-traitance, DPO, AIPD), et l’Art. 83(5) jusqu’à 20 millions d’euros ou 4 % pour d’autres (principes de l’Art. 5, bases légales, droits des personnes, transferts). Le montant le plus élevé s’applique. Ce sont des plafonds, pas des tarifs : l’autorité tient compte de la gravité, de la durée et de la coopération (Art. 83(2)). Voir l’Art. 83 et les sanctions à connaître.

Les onze actions ci-dessous suivent l’ordre logique d’un chantier. Pour une vue d’ensemble plus courte, lisez d’abord le résumé du RGPD.

1. Définir le périmètre et les responsabilités

Listez les activités utilisant des données personnelles, y compris les fichiers papier structurés, les applications, les exports et les prestations externes. Identifiez les entités qui déterminent les finalités et moyens essentiels et celles qui agissent pour leur compte. Les définitions des Art. 4(1), 4(2), 4(7) et 4(8) figurent au chapitre I du RGPD.

Le livrable utile est une liste de traitements avec un interlocuteur métier. Évitez de confondre l’inventaire des logiciels avec celui des finalités : un logiciel peut servir plusieurs traitements, un traitement utiliser plusieurs outils.

2. Tenir le registre adapté à son rôle

Vérifiez l’obligation de l’Art. 30 et sa dérogation limitée pour les organismes de moins de 250 personnes. Un traitement non occasionnel peut devoir figurer au registre même dans une petite structure. Distinguez le registre du responsable, Art. 30(1), de celui du sous-traitant, Art. 30(2).

Documentez les rubriques applicables et reliez-les aux informations disponibles dans l’entreprise. Un exemple de registre rempli aide à commencer ; le support choisi doit surtout permettre la mise à jour et l’accès aux informations.

3. Justifier les finalités et bases légales

Pour chaque opération, décrivez son objectif et les conditions de la base légale retenue. La formule « consentement ou intérêt légitime » sans décision ni justification ne suffit pas. Lorsque plusieurs finalités existent, distinguez-les.

L’Art. 6(1) prévoit six bases. Le consentement n’est pas un choix par défaut et la présence d’un contrat ne justifie pas tout usage commercial. Le guide des bases légales permet de conduire cette analyse. Les principes et conditions figurent au chapitre II du RGPD.

4. Réduire les données et fixer les durées

Examinez les champs collectés, les pièces demandées et les copies créées. Pour chacun, demandez quelle finalité exige encore cette information. Un champ facultatif reste une collecte à justifier.

Fixez ensuite le point de départ et la durée utile, les éventuelles archives justifiées, les accès et le sort final. Le tableau des durées de conservation doit se traduire en paramètres et opérations effectifs. Le principe de minimisation, Art. 5(1)(c), et celui de conservation, Art. 5(1)(e), s’appliquent ensemble.

5. Examiner les catégories particulières de données

Si le traitement comporte des données relevant de l’Art. 9(1), identifiez une exception applicable de l’Art. 9(2), en plus de la base légale de l’Art. 6. Le consentement explicite est une possibilité sous conditions ; il n’est pas la solution automatique à toutes les situations.

Les condamnations et infractions relèvent de l’Art. 10. Les données financières ne sont pas, par nature, toutes dans l’Art. 9, mais leur contexte ou les informations qu’elles révèlent peuvent exiger une protection particulière. Faites examiner les traitements qui dépassent les usages ordinaires documentés.

6. Informer au moment requis

Rédigez des informations compréhensibles correspondant au traitement effectif. En collecte directe, l’Art. 13 prévoit l’information lors de la collecte. En collecte indirecte, l’Art. 14(3) prévoit un délai raisonnable au plus égal à un mois, avec une information plus tôt lors du premier contact ou de la première communication dans les cas concernés.

Vérifiez les destinataires, les durées, les droits et les transferts. Une politique générique sur le site ne garantit pas que les personnes ont reçu l’information au bon moment. Source : Art. 12 à 14.

7. Rendre les droits opérationnels

Prévoyez un canal de réception, un responsable de réponse, une recherche dans les systèmes et un contrôle de l’identité proportionné. L’Art. 12(3) impose une réponse sans tarder et en principe sous un mois ; la prolongation est conditionnelle et doit être annoncée dans le premier mois.

Les droits ne sont pas interchangeables. L’effacement comporte des exceptions ; la portabilité de l’Art. 20 concerne certains traitements automatisés fondés sur le consentement ou le contrat. Vérifiez le droit demandé avant de promettre un export ou une suppression générale.

8. Encadrer les sous-traitants et transferts

Évaluez les garanties des prestataires, leurs contrats, sous-traitants ultérieurs, accès et modalités de restitution ou suppression. L’Art. 28 impose plus qu’une présence du mot « RGPD » dans les conditions générales.

Pour les flux hors EEE, identifiez le mécanisme du chapitre V : décision d’adéquation applicable, garanties appropriées ou dérogation dans ses conditions strictes. Lorsque des clauses contractuelles types sont utilisées, examinez leur effectivité et les mesures supplémentaires éventuellement nécessaires. Ne présumez pas une adéquation pour toute société d’un pays : chapitre V du RGPD.

9. Vérifier la sécurité et préparer les incidents

Choisissez des mesures adaptées aux risques pour les personnes : habilitations, authentification, protection des échanges, mises à jour, sauvegardes et capacité de restauration. Vérifiez leur fonctionnement et la gestion des exceptions. Une liste de mesures annoncées ne prouve pas leur application.

Documentez toutes les violations. Le responsable notifie l’autorité sauf si la violation est peu susceptible d’engendrer un risque, sans tarder et si possible dans les 72 heures après en avoir pris connaissance. Un retard doit être motivé ; les informations peuvent être complétées par étapes. L’information des personnes répond au seuil de risque élevé et aux conditions de l’Art. 34. La procédure de notification organise cette décision.

10. Décider du DPO et de l’AIPD

Examinez les critères de l’Art. 37(1), notamment les activités de base impliquant suivi régulier et systématique à grande échelle ou traitement à grande échelle des catégories visées. Si un DPO est désigné, ses moyens, son indépendance et l’absence de conflit d’intérêts doivent être assurés. La responsabilité du traitement ne lui est pas transférée.

Évaluez aussi l’obligation d’AIPD avant le traitement : l’Art. 35(1) vise le risque élevé, avec les cas et listes applicables. Un transfert international n’entraîne pas, à lui seul, systématiquement une AIPD. Les règles sur registre, sous-traitance, sécurité, incidents, DPO et AIPD sont regroupées au chapitre IV du RGPD.

11. Suivre les corrections et les changements

Pour chaque écart, décrivez la correction, son responsable, son échéance et la preuve attendue. Priorisez les risques et les manquements, sans transformer cette priorité en dispense pour le reste. Une correction n’est close qu’après vérification de son résultat.

Revoyez le dispositif lors d’un changement d’outil, de finalité, de prestataire, de données ou de réglementation. La CNIL propose un parcours de départ ; sa mise en œuvre doit rester adaptée à votre situation.

Exemple de plan sur 90 jours (hypothétique)

L’exemple suivant est fictif et sert à illustrer une méthode. Imaginons une agence de 35 personnes qui gère des campagnes e-mail pour des clients, utilise un CRM, un outil de paie externalisé et un service de visioconférence hébergé hors UE.

Dans cet exemple, l’agence découvre au jour 20 qu’elle agit tantôt comme responsable (sa propre prospection), tantôt comme sous-traitante (campagnes pour ses clients). Elle doit donc tenir les deux registres de l’Art. 30(1) et 30(2) et signer des contrats Art. 28 avec ses clients. Ce type d’écart est typique : l’audit révèle souvent un rôle mal qualifié plutôt qu’un document manquant. Pour calibrer un état des lieux, le guide d’audit RGPD propose des points de contrôle.

Erreurs fréquentes

• Copier un modèle sans l’adapter. Un registre ou une politique qui ne correspond pas aux pratiques réelles est inutile en contrôle, voire défavorable.
• Confondre sécurité et conformité. L’Art. 32 n’est qu’une obligation parmi d’autres ; un chiffrement irréprochable ne justifie pas une collecte excessive.
• Appliquer le consentement partout. Chaque finalité demande une base légale propre, et le consentement n’est valable que s’il est libre, spécifique, éclairé et univoque (Art. 4(11) et 7).
• Oublier les prestataires. Les contrats Art. 28 et les transferts hors EEE sont souvent le maillon faible.
• Ne rien documenter. L’Art. 5(2) impose de pouvoir démontrer le respect des principes (responsabilité, ou accountability).
• Traiter le projet comme ponctuel. Un changement d’outil ou de finalité rouvre l’analyse.

Ce qu’il faut retenir

• Respecter et démontrer les obligations sont deux exigences complémentaires.
• Le registre, les contrats et les notices doivent correspondre aux pratiques.
• DPO, AIPD, droits et notifications s’analysent selon leurs conditions propres.
• Le GDPR peut s’appliquer à une entreprise hors UE qui cible des personnes dans l’Union (Art. 3(2)), avec des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial (Art. 83(5)).
• Un plan d’action attribué et vérifié permet de suivre les corrections ; il n’est pas une immunité contre les sanctions.

FAQ

GDPR et RGPD désignent-ils le même texte ?

Oui. Il s’agit du règlement (UE) 2016/679, applicable depuis le 25 mai 2018. Les deux acronymes correspondent aux noms anglais et français.

Le GDPR britannique est-il identique au RGPD ?

Non. Depuis le Brexit, le Royaume-Uni applique son propre régime (UK GDPR et Data Protection Act 2018), proche du règlement européen mais autonome. Une entreprise qui cible des personnes situées dans l’Union reste soumise au RGPD (Art. 3(2)) ; sur les flux vers ce pays, voir l’article sur le transfert de données vers le Royaume-Uni.

Une petite entreprise doit-elle appliquer le GDPR ?

Oui, dès lors qu’elle traite des données personnelles hors cadre strictement domestique. La taille joue sur la proportionnalité des mesures et sur la dérogation limitée de l’Art. 30(5), pas sur l’existence des obligations. Les critères de désignation d’un DPO obéissent à une analyse distincte.

La conformité consiste-t-elle surtout à produire des documents ?

Non. Les documents doivent décrire des règles effectivement appliquées. Les accès, purges, réponses aux personnes et contrats doivent être vérifiés.

Existe-t-il un délai universel pour achever ces actions ?

Non. Le travail dépend des traitements et des écarts. Les obligations applicables ne sont pas suspendues pendant l’exécution du plan de conformité.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.