Le RGPD en résumé : six questions pour comprendre

Le RGPD (règlement (UE) 2016/679) s’applique dès qu’un organisme, quelle que soit sa taille, utilise des informations se rapportant à des personnes identifiables : clients, salariés, adhérents, candidats, visiteurs d’un site. Il impose de savoir ce que l’on fait de ces données, de le justifier et de le prouver. Ce résumé répond à six questions, puis montre sur un cas hypothétique comment passer de la lecture à un plan d’action.

1. Qui doit respecter le RGPD ?

Le règlement concerne les entreprises, associations et organismes publics lorsqu’ils réalisent des traitements entrant dans son champ. Il couvre les traitements automatisés et certains fichiers non informatisés. Une petite taille ou l’absence de but lucratif ne crée pas une exemption générale : un club de sport qui gère ses adhérents ou un artisan qui conserve les coordonnées de ses clients sont concernés.

Son champ territorial n’est pas défini par la nationalité des personnes. Il vise les traitements liés aux activités d’un établissement dans l’Union, ainsi que, sous les conditions de l’Art. 3(2), ceux d’acteurs extérieurs liés à une offre de biens ou services aux personnes dans l’Union ou au suivi de leur comportement dans l’Union. La seule présence d’un contact européen ne suffit pas à résumer ces critères. Sources : Art. 2 et 3.

Deux rôles sont à distinguer, car les obligations n’y sont pas les mêmes. Le responsable de traitement décide des finalités et des moyens ; le sous-traitant traite les données pour son compte (hébergeur, prestataire de paie, outil d’emailing). Une même société peut être l’un pour certains traitements et l’autre pour d’autres.

2. Qu’est-ce qu’une donnée personnelle ?

C’est une information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement (Art. 4(1)). Un nom, un identifiant client, une adresse IP, une localisation ou un faisceau de détails peuvent suffire. Une information professionnelle n’est pas exclue parce qu’elle concerne un salarié dans son travail.

Remplacer le nom par un numéro ne rend pas automatiquement le dossier anonyme : c’est une pseudonymisation, et si une table de correspondance ou un rapprochement permet de retrouver la personne, le RGPD reste applicable. Notre définition des données personnelles détaille ces situations. Les catégories particulières de l’Art. 9 (santé, opinions politiques, appartenance syndicale, données biométriques pour identifier une personne, etc.) sont en principe interdites de traitement, sauf exception prévue par le texte.

3. Quels usages sont concernés au quotidien ?

Un traitement ne se limite pas à la collecte : la consultation, le stockage, le partage et l’effacement en font aussi partie (Art. 4(2)). Pour repérer vos traitements, partez des activités plutôt que des logiciels :

Cette cartographie doit inclure les prestataires et les copies dans les outils de travail (tableurs, messageries, outils de gestion de projet). Un traitement « interne » n’échappe pas au règlement.

4. Quelles obligations faut-il appliquer ?

Les obligations se rangent en trois familles : les principes, les droits des personnes et les mesures d’organisation.

Les principes

Chaque traitement doit avoir une finalité précise et une base légale adaptée. Le consentement est l’une des six bases de l’Art. 6(1), pas une autorisation universelle à demander systématiquement ; le contrat, l’obligation légale ou l’intérêt légitime sont souvent plus adaptés (voir notre article sur le choix de la base légale). Les données doivent être nécessaires (minimisation), exactes au regard du besoin, protégées et conservées pendant une durée justifiée. Sources : Art. 5, 6 et 9.

Les droits des personnes

Informez les personnes selon les Art. 13 (collecte directe) ou 14 (collecte indirecte), puis organisez leurs droits d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité. Leurs conditions diffèrent : l’opposition à la prospection commerciale est absolue (Art. 21(2)-(3)), alors que l’effacement connaît des exceptions. La réponse intervient sans tarder et au plus tard dans un mois, prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, la personne devant être informée de la prolongation et de ses motifs dans le premier mois (Art. 12(3)). Source : chapitre III du RGPD. Un modèle de procédure de gestion des droits évite de découvrir le délai au moment de la première demande.

L’organisation et la preuve

Les autres obligations dépendent du traitement, et il ne faut pas les présenter comme universelles :

Ces obligations relèvent du chapitre IV. Les transferts hors de l’EEE ne sont pas tous interdits : ils doivent respecter le chapitre V du règlement.

5. Que risque l’organisme ?

La CNIL dispose de pouvoirs correcteurs et de sanction. Selon les manquements, les plafonds généraux d’amende peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial précédent, ou 20 millions d’euros ou 4 %, le montant le plus élevé étant retenu pour les entreprises. Ce sont des plafonds, pas un tarif automatique : le montant et les mesures sont appréciés dans le dossier (Art. 58(2) et Art. 83).

Des injonctions, limitations ou interdictions de traitement peuvent aussi avoir des conséquences opérationnelles plus lourdes qu’une amende. Pour le détail des décisions et des plafonds, voir notre guide des sanctions RGPD. La priorité doit rester le respect des personnes et des obligations, pas uniquement le calcul d’une amende possible.

6. Par où commencer concrètement ?

Choisissez un traitement courant, par exemple la gestion des clients, et rédigez une fiche décrivant sa finalité, les données, les personnes, les destinataires, la durée et la sécurité. Un exemple de registre rempli peut aider à structurer ce travail. Comparez ensuite la fiche avec les formulaires, les contrats et les logiciels réellement utilisés, et inscrivez chaque écart dans un plan d’action avec un responsable, une échéance et une preuve de correction. Les onze actions de conformité développent cette méthode, et la CNIL propose aussi un parcours pour démarrer.

Exemple résolu : une boutique en ligne de dix salariés (hypothétique)

Imaginons une boutique fictive de dix salariés qui vend des articles de sport en ligne, utilise un outil d’emailing, un prestataire de paie et un hébergeur. Voici ce que donne la méthode appliquée au seul traitement « commandes clients ».

En comparant cette fiche à la réalité, la boutique relève trois écarts : le formulaire demande la date de naissance sans besoin, l’inscription à la lettre d’information est précochée, et aucun contrat écrit ne couvre l’outil d’emailing. Le plan d’action en découle : supprimer le champ inutile, remplacer la case précochée par une demande d’accord explicite, signer le contrat de sous-traitance, puis conserver la preuve de chaque correction. Pour la lettre d’information, la prospection par voie électronique auprès des clients peut dans certains cas reposer sur d’autres règles que le consentement ; l’essentiel est de choisir la règle applicable, de l’écrire et d’offrir un désabonnement simple.

La boutique n’a, dans ce scénario, pas besoin de nommer un DPO, puisque aucun critère de l’Art. 37(1) n’est rempli, mais elle doit disposer d’une procédure pour les demandes d’accès et de désinscription. Ce n’est pas une analyse juridique d’une situation réelle : un cas concret peut changer la conclusion.

Ce qu’il faut retenir

• Le RGPD protège les personnes identifiables dans des contextes très variés, y compris professionnels, et s’applique quelle que soit la taille de l’organisme.
• Le consentement, le DPO et l’AIPD ne répondent pas aux mêmes conditions : chacun a ses critères propres.
• Il faut respecter les règles et pouvoir démontrer leur application ; une documentation seule ne suffit pas.
• Commencez par un traitement réel, rédigez sa fiche, repérez les écarts et attribuez chaque correction à un responsable.
• Tenez un plan d’action vivant : le dispositif doit être maintenu à jour quand les outils et les usages changent.

FAQ

Une association sans salarié est-elle concernée ?

Elle peut l’être pour ses adhérents, donateurs ou autres activités comportant des données personnelles. L’absence de salarié n’est pas une exemption générale.

Faut-il demander le consentement pour chaque traitement ?

Non. Il faut choisir et justifier la base légale correspondant à l’opération. Certaines activités reposent sur un contrat, une obligation légale ou une autre base de l’Art. 6(1).

Une petite entreprise doit-elle tenir un registre des traitements ?

En pratique, souvent oui. L’exemption de l’Art. 30(5) pour les organismes de moins de 250 personnes ne joue pas si le traitement n’est pas occasionnel, comporte un risque pour les personnes ou concerne des données sensibles ; la paie et la gestion des clients sont des traitements réguliers.

Que faire en cas de violation de données ?

Documentez l’incident, évaluez le risque pour les personnes et, s’il existe, notifiez la CNIL dans les meilleurs délais et si possible dans les 72 heures (Art. 33). Si le risque est élevé, informez aussi les personnes concernées (Art. 34).

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.