Qu'est-ce que le RGPD ?

Définition RGPD

Que veut dire RGPD ? Le RGPD (Règlement Général sur la Protection des Données) est une réglementation européenne entrée en vigueur le 25 mai 2018. Son objectif principal est la protection des données personnelles des citoyens de l’Union européenne et de garantir leur confidentialité.

Ce règlement impose des règles strictes concernant la collecte, le traitement, la conservation et la sécurité des données à caractère personnel. Il prévoit également des sanctions en cas de non-respect des obligations légales.

L’un des principes fondamentaux du RGPD est la mise en conformité des entreprises, organisations et institutions qui traitent des données personnelles. Cela inclut la désignation d’un responsable du traitement, souvent accompagné d’un délégué à la protection des données (DPO), chargé de garantir que les traitements de données réalisés sont légitimes, sécurisés, documentés et inscrits dans un registre des traitements, assurant ainsi une protection des données RGPD optimale.

Téléchargez le texte intégral du règlement européen

Qu’est-ce qu’une donnée personnelle ?

Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne physique identifiée ou identifiable. Il s’agit d’une notion centrale en matière de protection des données personnelles et du RGPD.

Exemples de données personnelles :

• Identification directe : nom, prénom, adresse e-mail, numéro de téléphone.

• Identification indirecte : numéro client, identifiant en ligne, adresse IP, données biométriques (empreintes digitales, reconnaissance faciale), caractéristiques personnelles, économiques, sociales ou culturelles.

Les données sensibles

Certaines informations sont considérées comme données sensibles, nécessitant des précautions renforcées :

• Origine ethnique

• Opinions politiques

• Croyances religieuses

• Données de santé

• Données biométriques

• Orientation sexuelle

Une personne physique peut être identifiée à partir :

• D'une seule donnée (ex. : numéro de sécurité sociale, ADN).

• D’un croisement de plusieurs données (ex. : combinaison d’adresse, date de naissance et abonnements).

Exemple concret : un fichier marketing contenant des informations sur les habitudes d’achat ou la géolocalisation constitue un traitement de données personnelles. Même si le nom n’est pas mentionné.

Qu'est-ce qu'un traitement de données personnelles ?

Le traitement de données personnelles désigne toute opération réalisée sur des informations permettant d’identifier directement ou indirectement une personne physique : nom, prénom, adresse e-mail, numéro de téléphone, identifiant client, etc.

Il ne se limite pas à la collecte. Il englobe aussi le stockage, la modification, la consultation, l’utilisation, la transmission ou la suppression des données.

Finalité et légitimité du traitement

Un traitement doit toujours avoir une finalité précise, légitime et clairement définie. On ne peut pas collecter des données personnelles « juste au cas où » : chaque action doit répondre à un objectif concret, en lien direct avec votre activité professionnelle.

Exemple concret : vous collectez les informations de vos clients pour livrer un produit, éditer une facture ou créer une carte de fidélité. Ces actions font partie d’un traitement dont la finalité est la gestion de votre clientèle.

Ce traitement doit être documenté et encadré par le responsable du traitement, c’est-à-dire la personne (ou l’entité) qui détermine les finalités et les moyens du traitement.

Une notion large, au-delà du numérique

Le RGPD définit le traitement de manière très large, quel que soit le support (informatique ou papier). Il peut inclure : la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion, le rapprochement ou l'interconnexion, la suppression ou la destruction.

Exemples concrets de traitements :

• Tenue d'un fichier clients
• Collecte de contacts via un formulaire en ligne
• Mise à jour d'une base fournisseurs
• Transmission d'un fichier à un prestataire (ex. : envoi à une plateforme marketing)

💡 Important : un fichier contenant uniquement des données d'entreprise (nom de société, numéro de standard, email générique) n'est pas un traitement de données personnelles, car il ne permet pas d'identifier une personne physique.

📎 À noter : le RGPD s'applique aussi aux fichiers papier contenant des données personnelles. Ils doivent être protégés par des mesures techniques et organisationnelles appropriées, au même titre qu'un fichier numérique.

Quel est l'objectif du RGPD ?

L’objectif du RGPD est de permettre aux citoyens européens de mieux contrôler leurs données personnelles. Il renforce aussi la confiance dans la façon dont les entreprises utilisent leurs données. Au cœur du RGPD se trouvent des principes clés visant à protéger la vie privée et les droits des individus :

• garantir aux individus un contrôle accru sur leurs données personnelles ;

• instaurer une confiance accrue dans le traitement de ces données par les entreprises et les institutions.

3 objectifs RGPD :

• Améliorer les droits des personnes

• Encourager que les personnes qui manipulent les données soient plus impliquées et responsables

•  Accroître la légitimité de la régulation grâce à un travail plus étroit entre les organismes de protection des données

L’idée est de faire face aux nouveaux défis numériques, aux risques accrus de fuite de données et de garantir un cadre de confiance dans les relations entre les utilisateurs et les entreprises.

Les 6 grands principes du RGPD

Ce sont les principes de l'article 5 du RGPD, socle de toute conformité :

1. Licéité, loyauté et transparence : les données doivent être traitées de façon légale, sur une base légale valable, et les personnes informées clairement de l'usage qui en est fait.
2. Limitation des finalités : les données sont collectées pour des finalités déterminées, explicites et légitimes, et ne peuvent pas être réutilisées pour un usage incompatible.
3. Minimisation des données : on ne collecte que les données strictement nécessaires à la finalité poursuivie, rien de plus.
4. Exactitude : les données doivent être exactes et tenues à jour ; les données inexactes doivent être corrigées ou effacées.
5. Limitation de la conservation : les données ne sont conservées que le temps nécessaire à la finalité, puis archivées, anonymisées ou supprimées.
6. Intégrité et confidentialité (sécurité) : les données doivent être protégées par des mesures techniques et organisationnelles appropriées contre la perte, l'accès non autorisé ou la divulgation.

À ces six principes s'ajoute le principe de responsabilité (accountability) : l'organisation doit être capable de démontrer, à tout moment, qu'elle respecte l'ensemble de ces règles.

Pour en savoir plus découvrez notre article sur les 6 principes du RGPD

Qui est concerné par le RGPD ?

À qui s’applique le RGPD ? Le RGPD s’applique à toute organisation, quelle que soit sa taille ou sa position géographique : elle est établie sur le territoire de l’Union européenne, ou traite les données personnelles de personnes situées dans l’Espace Économique Européen, même si l’entreprise est basée hors de l’UE.

Cela inclut : les entreprises commerciales, associations et ONG, institutions publiques, sous-traitants et prestataires, fournisseurs de services en ligne.

👉 Même les organisations qui agissent pour le compte d’une entreprise sont soumises aux obligations du RGPD.

Le RGPD s’applique également aux transferts de données vers des pays tiers, hors UE. Dans ce cas, des garanties spécifiques doivent être mises en place pour protéger les données personnelles transférées.

Les obligations des entreprises

Concrètement, une organisation soumise au RGPD doit :

• Tenir un registre des traitements recensant l'ensemble de ses activités de traitement de données ;
• S'appuyer sur une base légale valable pour chaque traitement (consentement, contrat, obligation légale, intérêt légitime, etc.) ;
• Informer les personnes de manière claire (mentions d'information, politique de confidentialité) ;
• Garantir l'exercice des droits (accès, rectification, effacement, opposition, portabilité…) dans les délais légaux ;
• Sécuriser les données par des mesures techniques et organisationnelles adaptées au risque ;
• Notifier les violations de données à la CNIL sous 72 heures, et informer les personnes concernées si le risque est élevé ;
• Réaliser une analyse d'impact (AIPD) pour les traitements susceptibles d'engendrer un risque élevé ;
• Désigner un délégué à la protection des données (DPO) lorsque c'est obligatoire ;
• Encadrer la sous-traitance par un contrat conforme à l'article 28 (DPA) ;
• Appliquer les principes de protection des données dès la conception et par défaut (privacy by design & by default).

Les bases légales dont le consentement

L'un des principaux aspects du RGPD est la nécessité d'avoir une base légale pour traiter les données, dont fait partie le consentement. Dans certains cas, les organisations doivent obtenir un consentement clair et spécifique de la part des individus avant de collecter et de traiter leurs données personnelles. Ce consentement doit être librement donné, informé et révocable à tout moment par l'individu. Six bases légales permettent de traiter des données personnelles :

Dans certains cas, les organisations doivent obtenir un consentement clair et spécifique de la part des individus. Ce consentement doit être reçu avant de collecter et de traiter leurs données personnelles. Ce consentement doit être librement donné, informé et révocable à tout moment par l'individu.

Six bases légales permettent de traiter des données personnelles :

• le consentement
• les intérêts légitimes
• les intérêts vitaux
• l'intérêt public
• l'obligation légale
• le contrat

Les droits des personnes

Le RGPD garantit plusieurs droits aux individus :

• droit d'accès
• Droit de rectification
• Droit à l’effacement (ou droit à l’oubli)
• droit à la portabilité des données
• Droit d’opposition
• Droit à la limitation du traitement

Le responsable du traitement est tenu de faciliter l’exercice de ces droits, dans des délais raisonnables.

La responsabilité (accountability)

Une autre disposition essentielle du RGPD est le principe de responsabilité et de transparence des organisations. Les entreprises doivent être en mesure de démontrer leur conformité au RGPD en mettant en place des mesures de protection des données et en tenant des registres détaillés de leurs activités de traitement.

Les sanctions RGPD de la CNIL

En cas de non-respect du RGPD, la CNIL dispose d'un éventail de sanctions RGPD graduées : rappel à l'ordre, mise en demeure, injonction de mise en conformité (éventuellement sous astreinte), limitation ou interdiction d'un traitement, et sanction pécuniaire.

Les amendes sont organisées en deux paliers, selon la gravité du manquement :

• jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (manquements aux obligations, ex. registre, sécurité, notification) ;
• jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (manquements aux principes et aux droits des personnes), le montant le plus élevé étant retenu.

La CNIL peut également rendre la sanction publique, ce qui ajoute un risque réputationnel important. Au-delà de l'amende, une non-conformité expose aussi à des contentieux, à une perte de confiance des clients et à des coûts de remédiation. C'est pourquoi la conformité doit s'inscrire dans une démarche continue plutôt que ponctuelle.

Comment se mettre en conformité RGPD avec un Logiciel

Se mettre en conformité avec le RGPD peut rapidement devenir un défi pour les organisations. Entre la tenue du registre des traitements, la gestion des consentements, les analyses d'impact (AIPD) et le suivi des demandes d'exercice des droits, les obligations sont nombreuses et évoluent régulièrement.

Pour simplifier cette démarche et limiter les risques de non-conformité, Dastra propose une plateforme complète qui centralise l'ensemble de vos actions de conformité.

Grâce à ses fonctionnalités intuitives et à ses outils d'automatisation, vous gagnez du temps, sécurisez vos processus et démontrez facilement votre conformité auprès des autorités de contrôle.

Pour aller plus loin

• Les 8 règles d'or de la protection des données personnelles
• Qu'est-ce qu'une violation de données ?
• Analyse d'impact (AIPD) : guide pratique
• DPA (Data Processing Agreement) : le contrat de sous-traitance RGPD
• Pseudonymisation : définition et bonnes pratiques
• Caviardage et RGPD : pourquoi votre méthode actuelle ne suffit pas
• Intérêts légitimes et objectif purement commercial : c'est possible… sous conditions !

FAQ

Que signifie RGPD ?
RGPD signifie « Règlement Général sur la Protection des Données ». C'est le règlement européen (2016/679), entré en application le 25 mai 2018, qui encadre le traitement des données personnelles et harmonise les règles de protection de la vie privée dans toute l'Union européenne.

Qui est concerné par le RGPD ?
Toute organisation (entreprise, association ou administration) qui traite des données personnelles de personnes situées dans l'Union européenne, quel que soit son pays d'implantation. Cela vaut aussi bien pour les responsables de traitement que pour leurs sous-traitants.

Quelles sanctions en cas de non-conformité au RGPD ?
Les manquements les plus graves peuvent être sanctionnés jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu). Les infractions moins graves sont plafonnées à 10 millions d'euros ou 2 % du chiffre d'affaires.