RGPD : définition, obligations et mise en conformité

Huit ans après son entrée en application, le RGPD reste mal compris. Beaucoup y voient un bandeau cookies, d'autres une affaire d'informaticiens, d'autres encore un sujet réservé aux grandes entreprises. En réalité, c'est un texte juridique qui concerne toute structure manipulant des informations sur des personnes, du cabinet de kinésithérapie à la PME industrielle.

Ce guide explique ce que dit vraiment le RGPD, à qui il s'applique et ce qu'il exige concrètement. Il se termine par un plan de mise en conformité réaliste pour une petite structure.

RGPD : définition et signification

RGPD signifie Règlement général sur la protection des données. En anglais, on parle de GDPR (General Data Protection Regulation). On dit « le » RGPD et non « la », puisqu'il s'agit d'un règlement.

Juridiquement, c'est le règlement (UE) 2016/679 du 27 avril 2016, adopté par le Parlement européen et le Conseil. Il compte 99 articles répartis en 11 chapitres, précédés de 173 considérants qui éclairent leur interprétation.

Un règlement européen se distingue d'une directive : il s'applique directement dans tous les États membres, sans loi de transposition. Le même texte s'impose donc à une entreprise française, allemande ou espagnole. Chaque pays garde toutefois des marges de précision sur certains points, comme l'âge du consentement numérique, fixé à 15 ans en France.

Loi RGPD : quels textes s'appliquent en France ?

On parle souvent de « loi RGPD », mais le RGPD n'est pas une loi française. En France, trois textes principaux s'articulent :

1. Le RGPD lui-même, adopté le 27 avril 2016, publié au Journal officiel de l'UE le 4 mai 2016 et applicable depuis le 25 mai 2018. Les organisations ont eu deux ans pour s'y préparer.
2. La loi Informatique et Libertés du 6 janvier 1978, refondue en 2018 pour s'aligner sur le RGPD. Elle précise les points laissés aux États et encadre les pouvoirs de la CNIL.
3. Les règles « ePrivacy » (article 82 de la loi Informatique et Libertés), qui régissent notamment les cookies et traceurs. Voir notre guide cookies et traceurs.

Le RGPD n'est pas non plus une « norme » au sens ISO : il n'y a pas de label officiel à obtenir. C'est une obligation légale, dont le respect se démontre par la documentation et les pratiques de l'organisation.

À quoi sert le RGPD ?

Redonner aux personnes la maîtrise de leurs données. Chacun peut savoir qui détient quoi sur lui, pourquoi, et exiger une correction ou une suppression.

Responsabiliser les organisations. Avant 2018, beaucoup de traitements devaient être déclarés à la CNIL. Le RGPD a supprimé la plupart de ces formalités préalables au profit d'une logique d'accountability : l'organisation évalue elle-même ses risques, se met en conformité et doit pouvoir le prouver à tout moment.

Harmoniser les règles en Europe. Un seul socle pour 27 pays simplifie la vie des entreprises qui opèrent dans plusieurs États et renforce le poids de l'Europe face aux acteurs non européens.

À qui s'applique le RGPD ?

Une condition matérielle : traiter des données personnelles. Peu importe le support. Un fichier Excel, un CRM, un logiciel métier, des dossiers papier classés par nom ou des enregistrements d'appels sont tous concernés. Seul l'usage strictement personnel ou domestique est exclu, comme le carnet d'adresses familial.

Une condition territoriale. Soit l'organisation est établie dans l'Union européenne. Soit elle est établie hors UE mais propose des biens ou services à des personnes qui se trouvent dans l'UE, ou suit leur comportement. C'est ce qui soumet les grandes plateformes américaines au RGPD.

• Il n'existe aucun seuil de taille. Une TPE, un indépendant, une association ou une collectivité sont concernés au même titre qu'un grand groupe. Seules quelques modalités s'allègent, comme certaines exemptions de registre, très encadrées.
• Le RGPD protège les personnes, pas les citoyens. Un touriste japonais dont les données sont traitées par un hôtel à Lyon est protégé, quelle que soit sa nationalité.

Le RGPD distingue enfin deux rôles. Le responsable de traitement décide pourquoi et comment les données sont utilisées. Le sous-traitant agit pour son compte : éditeur SaaS, hébergeur, prestataire de paie. Les deux ont des obligations, et leur relation doit être encadrée par un contrat.

RGPD et données personnelles : les définitions clés

Qu'est-ce qu'une donnée personnelle ?

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable (article 4 du RGPD). L'identification peut être :

• directe : nom, photo, adresse e-mail nominative ;
• indirecte : numéro de client, numéro de téléphone, adresse IP, plaque d'immatriculation, identifiant de connexion ;
• par recoupement : un poste, un service et une ville suffisent parfois à désigner une seule personne dans une entreprise.

Une donnée pseudonymisée (nom remplacé par un code, mais réversible) reste une donnée personnelle. Seule une donnée réellement anonymisée, c'est-à-dire sans retour possible à la personne, sort du champ du RGPD.

Qu'est-ce qu'un traitement ?

Un traitement désigne toute opération sur des données personnelles : collecte, enregistrement, consultation, modification, transmission, archivage, suppression… Autrement dit, presque tout ce que fait une organisation avec des données est un traitement. Gérer la paie, envoyer une newsletter ou filmer un entrepôt en sont des exemples.

Les catégories à protéger davantage

Les données sensibles (santé, origine, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle, données génétiques et biométriques) sont en principe interdites de traitement, sauf exceptions prévues par l'article 9. Les données relatives aux condamnations et infractions relèvent quant à elles d'un régime spécifique (article 10).

Les 7 principes du RGPD

L'article 5 du RGPD pose les principes qui gouvernent tout traitement. C'est le cœur du texte : le reste en découle.

1. Licéité, loyauté, transparence. Le traitement repose sur une base légale, n'est pas déloyal envers la personne et lui est expliqué clairement.
2. Limitation des finalités. Les données sont collectées pour un objectif précis, et ne sont pas réutilisées pour un autre objectif incompatible.
3. Minimisation. On ne collecte que ce qui est nécessaire à cet objectif. Demander la situation familiale pour livrer un colis n'a pas lieu d'être.
4. Exactitude. Les données sont tenues à jour, et les données inexactes sont corrigées ou effacées.
5. Limitation de la conservation. Chaque donnée a une durée de vie, fixée selon la finalité et les obligations légales. Par exemple, la CNIL recommande de conserver deux ans au maximum le dossier d'un candidat non retenu, sauf opposition de sa part.
6. Intégrité et confidentialité. Des mesures de sécurité techniques et organisationnelles protègent les données contre la perte, le vol ou l'accès non autorisé.
7. Responsabilité (accountability). L'organisation doit pouvoir démontrer qu'elle respecte les six principes précédents. Registre, procédures, contrats et preuves de formation font office de preuves.

Les 6 bases légales d'un traitement

Tout traitement doit reposer sur l'une des six bases prévues par l'article 6 :

• le consentement de la personne ;
• l'exécution d'un contrat ou de mesures précontractuelles ;
• le respect d'une obligation légale ;
• la sauvegarde des intérêts vitaux d'une personne ;
• l'exécution d'une mission d'intérêt public ;
• l'intérêt légitime de l'organisation, à condition qu'il ne l'emporte pas sur les droits des personnes.

Le consentement n'est donc qu'une base parmi d'autres, et pas toujours la plus adaptée. Lorsqu'il est utilisé, il doit être libre, spécifique, éclairé et univoque, donné par un acte positif, et aussi facile à retirer qu'à donner. Une case pré-cochée ne vaut pas consentement.

Les 8 droits RGPD des personnes

Le RGPD (articles 12 à 22) accorde aux personnes huit droits sur leurs données :

1. Droit à l'information : savoir qui traite ses données, pourquoi, sur quelle base, combien de temps et avec qui elles sont partagées.
2. Droit d'accès : obtenir la confirmation qu'un traitement existe et une copie des données.
3. Droit de rectification : faire corriger des données inexactes ou incomplètes.
4. Droit à l'effacement (« droit à l'oubli ») : obtenir la suppression des données dans les cas prévus par le texte.
5. Droit à la limitation : faire geler temporairement l'utilisation des données, par exemple pendant une contestation.
6. Droit à la portabilité : récupérer ses données dans un format réutilisable pour les transmettre à un autre prestataire.
7. Droit d'opposition : s'opposer à un traitement, de façon absolue en matière de prospection commerciale.
8. Droit de ne pas faire l'objet d'une décision entièrement automatisée produisant des effets juridiques ou significatifs, comme un refus de crédit décidé par un algorithme sans intervention humaine.

L'organisation dispose en principe d'un mois pour répondre. Ce délai peut être prolongé de deux mois pour les demandes complexes, à condition d'en informer la personne. Une procédure interne de traitement des demandes est indispensable, même pour une petite structure.

Les obligations RGPD des entreprises

Concrètement, voici ce que le RGPD exige d'une organisation :

• Tenir un registre des activités de traitement (article 30) : la cartographie de tous les usages de données, avec leur finalité, leur base légale, leurs destinataires et leur durée de conservation.
• Informer les personnes au moment de la collecte : politique de confidentialité, mentions sur les formulaires, affichage pour la vidéosurveillance.
• Encadrer les sous-traitants par un contrat comportant les clauses de l'article 28.
• Sécuriser les données à un niveau adapté au risque : contrôle des accès, sauvegardes, chiffrement, gestion des mots de passe.
• Gérer les violations de données : les documenter systématiquement et, en cas de risque pour les personnes, les notifier à la CNIL dans les 72 heures. Voir notre guide pour réagir à une violation de données.
• Réaliser une analyse d'impact (AIPD) pour les traitements susceptibles d'engendrer un risque élevé : données de santé à grande échelle, surveillance systématique, profilage…
• Désigner un DPO lorsque c'est obligatoire. C'est le cas des organismes publics, des structures dont l'activité principale implique un suivi régulier et systématique à grande échelle, et de celles qui traitent à grande échelle des données sensibles. Tout savoir dans notre article DPO RGPD.
• Encadrer les transferts hors UE, par exemple vers un outil hébergé aux États-Unis, avec les garanties prévues au chapitre V : décision d'adéquation, clauses contractuelles types…

Ces obligations ne s'appliquent pas toutes avec la même intensité. Un cabinet comptable de cinq personnes n'aura pas besoin d'une AIPD sur chaque traitement. En revanche, son registre et ses contrats doivent exister.

Sanctions RGPD : ce que risque une organisation

En France, c'est la CNIL qui contrôle et sanctionne. Ses contrôles peuvent se faire sur place, en ligne, sur pièces ou sur audition. Ils sont déclenchés par une plainte, par l'actualité ou par ses thématiques prioritaires annuelles.

Les pourcentages s'appliquent au chiffre d'affaires annuel mondial, et le montant le plus élevé est retenu (article 83). Au-delà de l'amende, la CNIL peut prononcer un rappel à l'ordre, ordonner une mise en conformité sous astreinte ou limiter un traitement. Elle peut aussi rendre la sanction publique, ce qui est souvent plus coûteux en réputation que l'amende elle-même.

Pour les dossiers les plus simples, la CNIL dispose depuis 2022 d'une procédure de sanction simplifiée. Elle lui permet de traiter beaucoup plus de dossiers, notamment ceux visant des TPE et PME : la petite taille ne protège pas d'un contrôle.

RGPD en entreprise : la mise en conformité en 6 étapes

La mise en conformité RGPD n'est pas un projet ponctuel mais un état à maintenir. Voici une méthode adaptée à une PME.

1. 1Désigner un pilote — Un DPO interne ou externe, ou un référent lorsque le DPO n'est pas obligatoire. Évitez de confier ce rôle à la direction générale, en situation de conflit d'intérêts.
2. 2Cartographier les traitements — Recensez service par service les données collectées, leur usage, leur lieu de stockage et les personnes qui y ont accès : c'est la base du registre, et souvent la révélation de fichiers oubliés.
3. 3Prioriser selon le risque — Commencez par ce qui expose le plus : données de santé, données RH, prospection commerciale, site web et cookies, prestataires hors UE.
4. 4Corriger — Définir les durées de conservation, réécrire les mentions d'information, signer les avenants avec les sous-traitants, renforcer les accès et former les équipes.
5. 5Documenter — Registre, procédure de gestion des droits, procédure de violation, AIPD le cas échéant : c'est ce que la CNIL demande en premier lors d'un contrôle.
6. 6Maintenir dans le temps — Chaque nouvel outil, prestataire ou projet passe par une vérification RGPD, et une revue annuelle garde la documentation fidèle à la réalité.

Un audit RGPD structure les deux premières étapes. Pour estimer l'effort et le budget, consultez notre article sur le prix d'une mise en conformité RGPD. Notre guide de conformité RGPD pour les PME détaille chaque étape. Des approches sectorielles existent aussi pour le e-commerce, les ressources humaines et la prospection commerciale.

Cas pratique : une PME de 30 salariés

Prenons une entreprise de services de 30 salariés, avec un site vitrine, un CRM, un logiciel de paie externalisé et une messagerie en ligne. Sa cartographie fait apparaître une dizaine de traitements : gestion du personnel, paie, recrutement, gestion clients, prospection, site web, vidéosurveillance de l'accueil, messagerie. Les priorités identifiées sont typiquement les suivantes :

• des CV conservés sans limite de durée ;
• un bandeau cookies non conforme ;
• aucun avenant RGPD avec l'éditeur de paie ;
• une caméra filmant le poste d'une salariée en continu.

Aucune de ces corrections n'exige d'investissement lourd. Ensemble, elles couvrent pourtant les motifs de plainte les plus fréquents. C'est souvent ainsi que se présente une première mise en conformité : moins un chantier technique qu'un travail d'organisation.

RGPD et intelligence artificielle : ce qui bouge

L'arrivée de l'IA générative dans les entreprises soulève de nouvelles questions RGPD. Quelles données saisir dans un assistant IA ? Sur quelle base légale entraîner un modèle ? Comment informer les personnes ? Ces usages s'articulent désormais avec l'AI Act, le règlement européen sur l'intelligence artificielle. Voir nos articles RGPD et IA et AI Act.

Une révision ciblée du RGPD est par ailleurs en discussion au niveau européen, dans le cadre du paquet « omnibus numérique » présenté fin 2025. À ce jour, les obligations du RGPD restent inchangées. Nous mettrons ce guide à jour dès l'adoption d'un texte définitif.

Conclusion

Le RGPD repose sur une idée simple : les données d'une personne ne peuvent être utilisées qu'à des fins claires, dans des limites raisonnables, et avec la capacité de le prouver. Pour une organisation, l'enjeu n'est pas de tout faire parfaitement dès le premier jour. Il s'agit de connaître ses traitements, de corriger ce qui expose le plus et de documenter ses choix.

Vous ne savez pas par où commencer ? Faites le point sur votre situation avec un consultant RGPD, ou découvrez notre accompagnement RGPD pour piloter votre conformité au quotidien.