Qu’est-ce que le RGPD ?

Depuis son entrée en vigueur le 25 mai 2018, chaque formulaire en ligne, chaque fichier client et chaque newsletter envoyée depuis l’Union européenne relève d’un même texte de référence. Le Règlement général sur la protection des données (RGPD) reste le cadre que juristes, DPO, développeurs et responsables marketing consultent chaque semaine. Il oriente leurs choix techniques, contractuels et commerciaux.

Beaucoup de professionnels l'appliquent pourtant par fragments : une bannière cookies ici, une clause contractuelle là. La logique d'ensemble leur échappe. Or le texte forme un système cohérent. Des principes généraux produisent des droits individuels, ces droits créent des obligations pour les organismes, et des sanctions graduées en assurent le respect.

Comprendre qu'est-ce que le RGPD, c'est donc saisir cette architecture plutôt que mémoriser une liste de contraintes. Les sections qui suivent reprennent chaque étage de cet édifice : son origine, ses principes, les droits qu'il ouvre, les responsabilités qu'il impose et la manière dont la CNIL le fait respecter en France. Pour une PME comme pour un groupe coté, les enjeux pratiques sont les mêmes.

Origines et objectifs fondamentaux du RGPD

Le RGPD, ou règlement (UE) 2016/679, a été adopté le 27 avril 2016 par le Parlement européen et le Conseil. Il est entré en application le 25 mai 2018. Il remplace la directive 95/46/CE, conçue à une époque où le web commercial balbutiait et où les réseaux sociaux n'existaient pas. Cette directive devait être transposée par chaque État membre, ce qui avait produit 28 législations nationales aux exigences divergentes.

Le choix d'un règlement, d'application directe, répond précisément à cette fragmentation. Une entreprise lyonnaise qui vend en Espagne et en Belgique applique désormais les mêmes règles partout. La France disposait déjà d'une tradition solide avec la loi Informatique et Libertés du 6 janvier 1978. Cette loi a été refondue en 2018 pour s'articuler avec le règlement et encadre les marges laissées aux États, comme l'âge du consentement numérique, fixé à 15 ans en France.

Le texte poursuit deux objectifs explicites dans son article 1er. Il protège les personnes physiques à l'égard du traitement de leurs données. Il garantit aussi la libre circulation de ces données au sein du marché intérieur. Son champ territorial, défini à l'article 3, s'étend aux acteurs établis hors de l'Union dès lors qu'ils ciblent ou suivent des résidents européens.

Les principes clés de la protection des données

L'article 5 du règlement pose les principes dont découle l'ensemble des autres obligations. Tout traitement doit pouvoir être justifié au regard de chacun d'eux :

• Licéité, loyauté, transparence : le traitement repose sur l'une des six bases légales de l'article 6 (consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime).
• Limitation des finalités : les données collectées pour la facturation ne servent pas, sans nouvelle base légale, à du profilage publicitaire.
• Minimisation : seules les données strictement nécessaires sont collectées. La date de naissance complète est rarement indispensable pour vérifier une majorité.
• Exactitude : les données erronées doivent être rectifiées ou effacées sans tarder.
• Limitation de la conservation : chaque catégorie de données a une durée définie, puis elle est supprimée ou archivée.
• Intégrité et confidentialité : chiffrement, gestion des habilitations et journalisation protègent contre les accès non autorisés.

Un septième principe, l'accountability ou responsabilité, change la charge de la preuve. Il ne suffit plus d'être conforme : le responsable de traitement doit pouvoir le démontrer. Le registre des traitements, les analyses d'impact et la documentation des arbitrages deviennent alors des pièces centrales en cas de contrôle.

Les nouveaux droits des citoyens européens

Le RGPD consolide les droits existants (accès, rectification, opposition) et en crée de nouveaux. Le responsable de traitement doit répondre à toute demande dans un délai d'un mois. Ce délai peut être prolongé de deux mois pour les demandes complexes, à condition d'en informer la personne. L'exercice de ces droits est en principe gratuit.

Droit à l'oubli et portabilité des données

Le droit à l'effacement, prévu à l'article 17, permet d'obtenir la suppression de ses données lorsqu'elles ne sont plus nécessaires, que le consentement est retiré ou que le traitement est illicite. Il connaît des exceptions : liberté d'expression, obligations légales de conservation, constatation de droits en justice. Un cabinet comptable ne peut donc pas effacer des pièces soumises à une durée de conservation légale au seul motif qu'un client le demande.

La portabilité, prévue à l'article 20, est une véritable innovation. La personne peut récupérer les données qu'elle a fournies dans un format structuré, couramment utilisé et lisible par machine, comme le CSV ou le JSON. Elle peut aussi demander leur transmission directe à un autre prestataire. Ce droit ne s'applique qu'aux traitements fondés sur le consentement ou le contrat et automatisés.

Le consentement explicite et transparent

Lorsque le traitement repose sur le consentement, celui-ci doit être libre, spécifique, éclairé et univoque. Les cases précochées, le silence ou la simple poursuite de la navigation ne valent pas accord. Le retrait doit être aussi simple que le don : un clic pour accepter implique un chemin équivalent pour refuser.

Le responsable doit en outre conserver la preuve du consentement, à savoir l'horodatage, la version de l'information affichée et les finalités acceptées. Pour les cookies non essentiels, la CNIL exige depuis ses lignes directrices de 2020 un bouton « Tout refuser » aussi visible que le bouton « Tout accepter ».

Obligations et responsabilités pour les entreprises

Le règlement supprime la plupart des formalités déclaratives préalables. En contrepartie, il impose une conformité documentée et continue. Plusieurs chantiers structurent cette démarche.

Le registre des activités de traitement, prévu à l'article 30, recense pour chaque traitement ses finalités, les catégories de données et de personnes concernées, les destinataires, les transferts hors UE et les durées de conservation. L'analyse d'impact (AIPD) s'impose quant à elle pour les traitements susceptibles d'engendrer un risque élevé, comme la vidéosurveillance à grande échelle ou le profilage. Les relations avec les sous-traitants doivent enfin être encadrées par un contrat conforme à l'article 28.

Le rôle crucial du Délégué à la protection des données (DPO)

La désignation d'un DPO est obligatoire pour les autorités publiques et pour les organismes dont l'activité de base implique un suivi régulier et systématique à grande échelle ou le traitement de données sensibles. Le DPO peut être interne ou externe, mutualisé entre plusieurs entités d'un groupe. Il doit être désigné auprès de la CNIL.

Ses missions sont l'information, le conseil, le contrôle de la conformité et la coopération avec l'autorité. Il bénéficie d'une indépendance protégée : il ne reçoit aucune instruction sur l'exercice de ses missions et ne peut être sanctionné pour les avoir accomplies. Son poste doit éviter les conflits d'intérêts. Un directeur informatique qui détermine lui-même les moyens des traitements se trouve mal placé pour les contrôler.

La gestion des violations de données et notifications

Une violation de données couvre toute destruction, perte, altération, divulgation ou accès non autorisé. Le responsable doit la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes. En cas de risque élevé, comme la fuite de données bancaires ou de santé, les personnes concernées doivent aussi être informées directement.

Toutes les violations, notifiées ou non, sont consignées dans un registre interne. Une procédure écrite, testée par des exercices, fait souvent la différence entre une notification maîtrisée et une crise subie.

Sanctions et autorités de contrôle : le rôle de la CNIL

En France, la Commission nationale de l'informatique et des libertés est l'autorité de contrôle. Elle conseille, contrôle sur place, en ligne ou sur pièces, et sanctionne par l'intermédiaire de sa formation restreinte. Elle publie aussi des référentiels sectoriels et des recommandations pratiques, utiles pour interpréter les zones grises du texte.

L'article 83 prévoit deux plafonds d'amendes administratives :

Le montant le plus élevé s'applique. Parmi les décisions marquantes de la CNIL figurent l'amende de 50 millions d'euros prononcée contre Google en 2019 pour défaut de transparence et de consentement valable, puis plusieurs sanctions liées aux cookies à partir de 2020. Une procédure simplifiée existe depuis 2022 pour traiter plus vite les dossiers de moindre gravité. Pour les traitements transfrontaliers, le mécanisme du guichet unique désigne une autorité chef de file, qui coopère avec ses homologues au sein du Comité européen de la protection des données.

L'impact durable du RGPD sur l'économie numérique

Le règlement a d'abord produit un effet d'entraînement international. Plusieurs législations s'en inspirent, comme la LGPD brésilienne ou certaines lois d'États américains. Les entreprises qui opèrent sur plusieurs continents alignent souvent leurs politiques globales sur le standard européen, plus simple à gérer qu'une mosaïque de régimes.

Il a ensuite redessiné les transferts internationaux. L'invalidation du Privacy Shield par l'arrêt Schrems II de la CJUE en 2020 a imposé des analyses d'impact des transferts. Le Data Privacy Framework a ensuite été adopté en 2023 pour les flux vers les États-Unis. Ces épisodes ont nourri la demande pour des hébergements et des clouds soumis au droit européen.

Le RGPD sert enfin de socle aux textes plus récents : Digital Markets Act, Digital Services Act, Data Act et règlement sur l'intelligence artificielle. Dès qu'un système d'IA est entraîné sur des données personnelles, les principes de minimisation, de base légale et de transparence s'appliquent pleinement. Le privacy by design, inscrit à l'article 25, est ainsi devenu un critère d'architecture logicielle autant qu'une exigence juridique.

Une conformité à piloter dans la durée

Le RGPD ne se résume pas à une bannière cookies ou à une politique de confidentialité recopiée. Il repose sur sept principes, se traduit par des droits opposables et exige des entreprises une preuve permanente de leur conformité. La CNIL dispose des moyens de sanctionner les manquements, avec des plafonds calculés sur le chiffre d'affaires mondial.

Pour une organisation, la démarche la plus efficace reste méthodique. Elle commence par la cartographie des traitements dans un registre à jour. Viennent ensuite la vérification de la base légale de chacun, la révision des contrats avec les sous-traitants et la mise en place d'une procédure de gestion des violations et des demandes d'exercice de droits.

Savoir ce qu'est le RGPD constitue une première étape. Le faire vivre au quotidien, à chaque nouveau projet et à chaque nouvel outil, est ce qui distingue une conformité de façade d'une protection réelle des données.