RGPD : guide complet 2026 (droits, sanctions, checklist)

L’essentiel. Le RGPD (Règlement UE 2016/679) encadre tout traitement de données personnelles de personnes se trouvant dans l’Union européenne, quelle que soit la taille ou le lieu d’établissement de l’organisation. Il repose sur 7 principes (art. 5), impose de choisir l’une des 6 bases légales (art. 6), garantit 8 droits aux personnes (art. 12 à 22) et expose à des sanctions pouvant atteindre 20 M€ ou 4 % du chiffre d’affaires mondial. La conformité n’est pas un état déclaratif : c’est un processus documenté et continu.

Le RGPD — Règlement Général sur la Protection des Données — est le texte européen qui encadre la manière dont les organisations collectent, utilisent et protègent les données personnelles. Applicable depuis le 25 mai 2018, il est devenu en huit ans la colonne vertébrale du droit de la protection des données en Europe, et une norme de référence bien au-delà. Ce guide vous donne les clés pour le comprendre de façon complète, précise et opérationnelle, avec des tableaux de synthèse et une méthode de mise en conformité en sept étapes.

J’ai eu l’honneur de conseiller les services du Premier ministre en qualité d’expert national pendant l’élaboration du texte. Après plus de vingt ans de pratique en droit des nouvelles technologies et un doctorat en droit privé (Paris II), je mesure à quel point ce règlement a transformé la relation entre les organisations et les individus. La CNIL prononce désormais chaque année plusieurs dizaines de sanctions pour des montants cumulés de plusieurs dizaines de millions d’euros : le risque juridique et financier de la non-conformité est bien réel.

Qu’est-ce que le RGPD ?

Le RGPD est un règlement européen — ce qui signifie qu’il s’applique directement dans tous les États membres de l’Union européenne, sans transposition nationale nécessaire. Adopté le 27 avril 2016, il est devenu applicable le 25 mai 2018, abrogeant la Directive 95/46/CE qui encadrait jusque-là la protection des données au niveau européen.

La directive de 1995 devait être transposée dans chaque État membre, ce qui avait engendré autant de législations différentes — un casse-tête pour les entreprises opérant sur plusieurs marchés. Le règlement a mis fin à cette fragmentation en imposant un texte unique et directement applicable.

En France, le RGPD est complété par la Loi Informatique et Libertés du 6 janvier 1978, profondément révisée en 2018 pour s’articuler avec le règlement (texte consolidé disponible dans notre Loi Informatique et Libertés — texte intégral). Les deux textes forment un ensemble cohérent : le RGPD fixe le cadre général, la loi française précise les marges de manœuvre laissées aux États membres (âge du consentement des mineurs, données de santé, etc.).

Le champ d’application territorial du RGPD est particulièrement large (art. 3). Le règlement s’applique :

• à toute organisation établie dans l’UE qui traite des données personnelles, que le traitement ait lieu dans l’UE ou non ;
• à toute organisation établie hors de l’UE qui traite les données de personnes se trouvant dans l’UE, dès lors qu’elle leur propose des biens ou services ou qu’elle suit leur comportement.

Concrètement, une entreprise américaine qui vend en ligne à des consommateurs français est soumise au RGPD. C’est cette portée extraterritoriale qui a fait du règlement une norme de référence mondiale, inspirant des législations similaires au Brésil (LGPD), au Japon, en Corée du Sud et ailleurs.

À qui s’applique le RGPD ?

Le champ d’application matériel est aussi large que le champ territorial. Le RGPD concerne toute organisation — entreprise, association, administration, collectivité, indépendant — qui traite des données personnelles.

La notion de donnée personnelle

L’article 4(1) définit une donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable. La définition est volontairement englobante :

Type de donnée	Exemple
Identité	Nom, prénom, adresse postale
Contact	Adresse email (y compris professionnelle), téléphone
Identifiants techniques	Adresse IP, identifiant de cookie, identifiant publicitaire
Localisation	Données GPS, données Wi-Fi
Image	Photographie, séquence vidéo permettant d’identifier
RH	Salaire, évaluations, arrêts maladie
Biométrie	Empreinte digitale, gabarit facial (voir données sensibles)

La notion est trompeuse : elle ne se limite pas aux données « intimes ». Dès qu’une information permet de remonter, directement ou indirectement, à une personne physique, le RGPD s’applique. La CJUE a par exemple confirmé que l’adresse IP dynamique est une donnée personnelle pour l’exploitant d’un site web (affaire Breyer).

La notion de traitement

L’article 4(2) définit le traitement de manière tout aussi large : toute opération effectuée sur des données personnelles, automatisée ou non — collecte, enregistrement, stockage, consultation, utilisation, transmission, rapprochement, effacement, destruction. En pratique, dès qu’une organisation possède un fichier client, un CRM, une base email, un système de vidéosurveillance ou un simple formulaire de contact, elle effectue des traitements soumis au règlement.

Les exceptions

Le RGPD ne s’applique pas aux traitements réalisés par une personne physique dans le cadre d’une activité strictement personnelle ou domestique (art. 2(2)©) — par exemple un carnet d’adresses privé. Les traitements de prévention et détection des infractions pénales relèvent d’un texte spécifique (Directive 2016/680, dite « police-justice »).

Les 7 principes fondamentaux du RGPD

L’article 5 pose les principes que tout traitement doit respecter. Ce ne sont pas de vagues déclarations d’intention : ce sont des règles juridiques contraignantes dont la violation expose au palier de sanctions le plus élevé.

Principe (art. 5)	Ce qu’il impose	Traduction opérationnelle
Licéité, loyauté, transparence — 5(1)(a)	Une base légale valide, pas de tromperie, une information claire	Mentions d’information (art. 12-14)
Limitation des finalités — 5(1)(b)	Finalités déterminées, explicites, légitimes	Pas de réutilisation incompatible
Minimisation — 5(1)©	Données adéquates, pertinentes, limitées	Ne collecter que le nécessaire (minimisation)
Exactitude — 5(1)(d)	Données exactes et à jour	Droit de rectification (art. 16)
Limitation de la conservation — 5(1)(e)	Pas de conservation au-delà du nécessaire	Tableau des durées
Intégrité et confidentialité — 5(1)(f)	Sécurité contre perte, accès non autorisé	Mesures de l’art. 32
Responsabilité (accountability) — 5(2)	Pouvoir démontrer le respect des principes	Documentation, registre, preuves

Le principe de minimisation (art. 5(1)©) est l’un des plus fréquemment méconnus : beaucoup d’organisations collectent par défaut toutes les données disponibles « au cas où ». Le RGPD impose l’approche inverse. Quant à l’accountability (art. 5(2)), il est peut-être le plus structurant : la conformité doit être documentée et démontrable à tout moment, pas seulement affirmée. Ce principe se décline en obligations concrètes — voir aussi le principe de finalité, le principe de proportionnalité et le principe de temporalité.

Les 6 bases légales du traitement

L’article 6 exige que tout traitement repose sur l’une des six bases légales énumérées au paragraphe 1. Point fondamental et souvent mal compris : le consentement n’est pas toujours requis. C’est l’une des six options, et souvent pas la plus appropriée.

Base légale (art. 6(1))	Quand l’utiliser	Exemple
Consentement — (a)	Choix libre, éclairé, révocable	Cookies non essentiels, newsletter, prospection B2C
Contrat — (b)	Nécessaire à l’exécution ou à des mesures précontractuelles	Livraison d’une commande, gestion d’un abonnement
Obligation légale — ©	Imposé par un texte	Conservation des factures, déclarations sociales
Intérêts vitaux — (d)	Urgence pour la vie d’une personne	Situation d’urgence médicale (rare)
Mission de service public — (e)	Autorité publique, intérêt public	Traitements des administrations
Intérêt légitime — (f)	Intérêt réel, non supplanté par les droits de la personne	Prospection B2B, prévention de la fraude, sécurité

Le consentement doit être libre, spécifique, éclairé et univoque, et pouvoir être retiré aussi facilement qu’il a été donné (voir notre modèle de consentement RGPD). L’intérêt légitime, lui, exige un triple test documenté : identification de l’intérêt poursuivi, test de nécessité, puis mise en balance avec les droits de la personne (voir notre méthode du triple test). Le choix de la base légale est l’une des étapes les plus structurantes de la conformité : une erreur à ce stade peut remettre en cause l’ensemble du traitement.

Les droits des personnes

Les articles 12 à 22 confèrent aux personnes un ensemble de droits sur leurs données. Ces droits ne sont pas théoriques : l’organisation doit mettre en place des procédures effectives et répondre dans un délai d’un mois (art. 12(3)), prolongeable de deux mois en cas de complexité. L’article 12 impose en outre des obligations de transparence strictes.

Droit	Article	Portée
Accès	Art. 15	Obtenir une copie des données et des informations sur le traitement
Rectification	Art. 16	Corriger des données inexactes ou incomplètes
Effacement (« droit à l’oubli »)	Art. 17	Faire supprimer les données dans certains cas
Limitation	Art. 18	Geler l’usage des données sans les supprimer
Portabilité	Art. 20	Récupérer ses données dans un format lisible par machine
Opposition	Art. 21	S’opposer au traitement (absolu pour la prospection)
Décision automatisée	Art. 22	Ne pas subir une décision fondée uniquement sur un algorithme

Deux points de vigilance en pratique. D’abord, le droit d’accès (art. 15) est le plus fréquemment exercé et le plus fréquemment sanctionné : préparez une procédure de réponse claire. Ensuite, pour la prospection commerciale, le droit d’opposition est absolu — l’organisation doit cesser le traitement dès réception de la demande, sans condition ni justification à apprécier.

Les obligations des entreprises

Depuis 2018, le système déclaratif a été remplacé par une logique de responsabilisation permanente. Moins de formalités préalables, mais davantage d’obligations continues.

Le registre des traitements — art. 30

Toute organisation doit tenir un registre des activités de traitement recensant, pour chaque traitement : la finalité, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité. C’est le document fondateur de toute démarche de conformité. Pour démarrer, appuyez-vous sur notre exemple de registre RGPD rempli.

Le délégué à la protection des données (DPO) — art. 37 à 39

La désignation d’un DPO est obligatoire pour les organismes publics, pour les organisations dont l’activité de base implique un suivi régulier et systématique à grande échelle, et pour celles qui traitent à grande échelle des données sensibles. Même lorsqu’elle n’est pas obligatoire, elle est souvent recommandée. Le DPO informe, conseille, contrôle et fait le lien avec la CNIL (voir les tarifs d’un DPO externalisé).

L’analyse d’impact (AIPD) — art. 35

Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, une AIPD doit être réalisée préalablement : vidéosurveillance à grande échelle, profilage systématique, traitement de données sensibles à grande échelle, technologies innovantes (IA, biométrie). La CNIL met à disposition son outil PIA gratuit pour structurer la démarche.

Privacy by design et by default — art. 25

Le RGPD impose d’intégrer la protection des données dès la conception des traitements, et de garantir que, par défaut, seules les données nécessaires sont traitées. En pratique, la conformité doit figurer dans le cahier des charges de tout nouveau projet informatique.

Les contrats avec les sous-traitants — art. 28

Lorsqu’une organisation confie des données à un prestataire (hébergeur, éditeur SaaS, prestataire de paie), un contrat conforme à l’article 28 du RGPD doit être conclu. Il encadre l’objet et la durée du traitement, la nature des données et les obligations du sous-traitant en matière de sécurité, de confidentialité et de notification des violations. Pour vérifier vos prestataires, voir notre questionnaire sous-traitants.

La notification des violations — art. 33 et 34

En cas de violation de données (fuite, piratage, perte accidentelle), le responsable de traitement doit notifier la CNIL dans les 72 heures suivant la prise de connaissance (art. 33). Si la violation est susceptible d’engendrer un risque élevé, les personnes concernées doivent également être informées (art. 34). Notre modèle de notification à la CNIL sous 72 h vous fait gagner un temps précieux dans l’urgence.

Les transferts de données hors UE — art. 44 à 49

Le transfert vers un pays hors UE n’est autorisé que si ce pays assure un niveau de protection adéquat (décision d’adéquation) ou si des garanties appropriées sont mises en place : clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914, règles d’entreprise contraignantes (BCR), ou dérogations de l’art. 49. L’arrêt Schrems II (CJUE, 16 juillet 2020) a invalidé le Privacy Shield UE–États-Unis ; il a été remplacé en juillet 2023 par le EU-US Data Privacy Framework (DPF), qui demeure en vigueur en 2026 mais reste exposé à un risque de contentieux devant la CJUE. Toute organisation qui s’appuie sur le DPF doit donc surveiller son évolution et documenter une solution de repli (CCT).

Les données sensibles

L’article 9 identifie des catégories de données sensibles bénéficiant d’une protection renforcée. Leur traitement est interdit par principe, sauf exceptions limitativement énumérées (art. 9(2)) : consentement explicite, droit du travail et de la sécurité sociale, médecine du travail, intérêt public en santé publique, etc.

Sont des données sensibles : origine raciale ou ethnique ; opinions politiques ; convictions religieuses ou philosophiques ; appartenance syndicale ; données génétiques ; données biométriques aux fins d’identification unique ; données de santé ; données relatives à la vie sexuelle ou à l’orientation sexuelle. En entreprise, les données de santé sont la catégorie la plus fréquemment rencontrée : arrêts maladie, déclarations d’aptitude, dossiers de médecine du travail. Les organismes qui protègent insuffisamment ces données s’exposent à des sanctions.

Les sanctions RGPD

Le RGPD a instauré un régime de sanctions dissuasif, organisé en deux paliers (art. 83).

Palier	Plafond	Manquements visés
1er palier — art. 83(4)	10 M€ ou 2 % du CA mondial	Registre, sécurité, notification des violations, AIPD, DPO
2e palier — art. 83(5)	20 M€ ou 4 % du CA mondial	Principes, bases légales, droits des personnes, transferts, ordres de la CNIL

Le montant retenu est toujours le plus élevé des deux (valeur absolue ou pourcentage). Les sanctions les plus significatives de ces dernières années illustrent la montée en puissance de l’application du règlement :

• Meta — 1,2 milliard d’euros (autorité irlandaise, mai 2023), pour transferts vers les États-Unis en violation des exigences post-Schrems II ;
• Criteo — 40 millions d’euros (CNIL, juin 2023), pour des manquements liés au consentement en matière de ciblage publicitaire ;
• Amazon France Logistique — 32 millions d’euros (CNIL, janvier 2024), pour une surveillance excessive des salariés ;
• Clearview AI — 20 millions d’euros (CNIL, octobre 2022), pour collecte illicite de données biométriques.

La CNIL applique par ailleurs une procédure de sanction simplifiée permettant de prononcer des amendes plafonnées à un montant modéré pour les manquements de moindre gravité, sans passer par la formation restreinte — ce qui multiplie mécaniquement le nombre de décisions. Enfin, au-delà des amendes administratives, le Code pénal français punit les atteintes aux données personnelles (art. 226-16 et suivants) de cinq ans d’emprisonnement et 300 000 euros d’amende pour les infractions les plus graves.

Le RGPD dans l’écosystème réglementaire 2026

Le RGPD ne fonctionne plus de manière isolée. Depuis 2022, l’Union a adopté un ensemble de textes qui s’articulent avec lui :

• AI Act (Règlement UE 2024/1689) — les systèmes d’IA traitent massivement des données personnelles. Le RGPD encadre le volet « données » de tout déploiement d’IA (base légale, transparence, AIPD). Les deux textes se superposent et doivent être articulés — voir notre actualité IA 2026.
• NIS2 — les obligations de cybersécurité rejoignent l’exigence de sécurité de l’art. 32. Une approche unifiée est indispensable pour les entités concernées.
• DORA — pour le secteur financier, la résilience opérationnelle numérique complète les obligations de sécurité du RGPD.
• Data Act et CSRD — l’accès aux données des objets connectés et le reporting ESG impliquent fréquemment des données personnelles, donc l’application du RGPD.

L’enjeu, pour les organisations, est d’adopter une conformité intégrée plutôt que de traiter chaque texte en silo. Le RGPD reste la pierre angulaire : le maîtriser est le prérequis pour aborder sereinement les autres réglementations. Pour suivre l’évolution du cadre, consultez notre actualité RGPD 2026.

Se mettre en conformité : la checklist en 7 étapes

La mise en conformité n’est pas un projet ponctuel — c’est une démarche continue. Voici la méthode que je recommande.

• 1. Cartographier les traitements. Réalisez un audit RGPD pour identifier chaque traitement : données collectées, finalité, base légale, durée, destinataires, mesures de sécurité.
• 2. Constituer le registre. Formalisez votre registre des activités de traitement (art. 30) et maintenez-le à jour.
• 3. Qualifier les bases légales. Déterminez pour chaque traitement la base légale applicable parmi les six de l’art. 6(1).
• 4. Garantir les droits des personnes. Mettez en place des procédures de réponse (accès, rectification, effacement, opposition, portabilité) et vérifiez vos mentions d’information.
• 5. Sécuriser les données. Déployez les mesures techniques et organisationnelles de l’art. 32 : chiffrement, pseudonymisation, contrôle des accès, sauvegardes, journalisation.
• 6. Réaliser les AIPD nécessaires. Identifiez les traitements à risque élevé et menez les analyses d’impact requises.
• 7. Documenter et maintenir. Conservez les preuves de conformité, révisez le dispositif au moins annuellement, formez vos équipes.

Un logiciel RGPD permet d’industrialiser la cartographie des traitements, la tenue du registre et le suivi de la conformité dans le temps — c’est précisément le type de plateforme conçu pour répondre à ces besoins pratiques.

Le RGPD selon votre secteur

Les principes du RGPD sont universels, mais leur application varie fortement selon l’activité. Les risques, les données traitées et la doctrine de la CNIL diffèrent d’un secteur à l’autre :

• Santé — Les professionnels de santé traitent des données sensibles au quotidien (art. 9). Secret médical, hébergement de données de santé (agrément HDS), consentement : voir notre guide RGPD cabinet médical.
• Professions du droit — Secret professionnel de l’avocat, dossiers clients, sous-traitance : voir RGPD cabinet d’avocats.
• Immobilier — Fichiers de prospects locataires et acquéreurs, pièces justificatives (revenus, garants), durée de conservation des candidatures : voir RGPD immobilier.
• Associations — Fichiers d’adhérents et de donateurs, données sensibles (opinions, appartenance syndicale ou religieuse), bénévolat : voir RGPD association.
• E-commerce — Comptes clients, cookies, prospection, paiement, avis : voir RGPD e-commerce et notre page sur la prospection commerciale.

Quel que soit votre secteur, la méthode reste la même — cartographier, qualifier, documenter — mais les points de vigilance se déplacent. Un audit RGPD sectoriel permet d’identifier les traitements réellement critiques pour votre activité.

Les erreurs les plus fréquentes

Vingt ans de pratique m’ont montré que les manquements se répètent d’une organisation à l’autre. Les plus courants :

• Confondre consentement et base légale. Beaucoup d’organisations demandent un consentement là où l’exécution du contrat ou l’intérêt légitime s’imposerait — ce qui fragilise le traitement, car un consentement retiré fait tomber la base.
• Collecter « au cas où ». La violation du principe de minimisation est l’écart le plus répandu : on collecte des champs jamais utilisés.
• Oublier les durées de conservation. Les données restent indéfiniment en base, faute d’un tableau de durées et de purges automatisées.
• Négliger les sous-traitants. Un service SaaS ou un hébergeur utilisé sans contrat conforme à l’article 28 engage pourtant votre responsabilité de responsable de traitement.
• Traiter le RGPD comme un projet ponctuel. La conformité s’entretient : un registre figé en 2018 n’a plus aucune valeur probante aujourd’hui.
• Sous-estimer les demandes de droits. Ne pas répondre à une demande d’accès dans le délai d’un mois est l’un des motifs de plainte les plus fréquents auprès de la CNIL.

Corriger ces six erreurs suffit, dans la plupart des PME, à réduire drastiquement l’exposition au risque de sanction.

Ce qu’il faut retenir

• Le RGPD s’applique à toute organisation traitant des données de personnes dans l’UE, quelle que soit sa taille ou son lieu d’établissement.
• Tout traitement doit reposer sur l’une des 6 bases légales de l’art. 6(1) — le consentement n’est pas toujours nécessaire.
• Les personnes disposent de droits effectifs auxquels il faut répondre sous un mois.
• Le principe d’accountability impose de documenter et de pouvoir démontrer sa conformité.
• Les sanctions atteignent 20 M€ ou 4 % du CA mondial, et la CNIL a intensifié ses contrôles.
• La conformité est un processus continu : cartographie, registre, puis maintien dans la durée.

FAQ

Que signifie RGPD ?

RGPD signifie Règlement Général sur la Protection des Données, dénomination française du Règlement (UE) 2016/679 du 27 avril 2016. En anglais, on parle de GDPR (General Data Protection Regulation).

Quand le RGPD est-il entré en application ?

Le RGPD a été adopté le 27 avril 2016 et est devenu applicable le 25 mai 2018. Toute organisation traitant des données de personnes se trouvant dans l’UE doit s’y conformer depuis cette date.

Qui est concerné par le RGPD ?

Toute organisation — entreprise, association, administration, indépendant — qui traite des données personnelles de personnes se trouvant dans l’Union européenne, quelle que soit sa taille et son lieu d’établissement (art. 3). Le RGPD a une portée extraterritoriale.

Quelles sont les sanctions du RGPD ?

Les sanctions administratives peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (art. 83(5)). En France, le Code pénal prévoit en outre jusqu’à 5 ans d’emprisonnement et 300 000 euros d’amende (art. 226-16 et suivants).

Le consentement est-il toujours obligatoire ?

Non. Le consentement est l’une des six bases légales de l’art. 6(1), mais pas la seule. Un traitement peut reposer sur l’exécution d’un contrat, une obligation légale, les intérêts vitaux, une mission de service public ou l’intérêt légitime. En B2B, l’intérêt légitime ou le contrat sont souvent plus appropriés que le consentement.

Faut-il encore faire une déclaration à la CNIL ?

Non. Depuis le 25 mai 2018, le système des déclarations préalables a été supprimé au profit de la logique d’accountability : chaque organisation est responsable de sa conformité et doit pouvoir la démontrer à tout moment, notamment via son registre et, le cas échéant, un audit.