Une définition simple du RGPD : le RGPD (Règlement Général sur la Protection des Données) est le règlement européen (UE) 2016/679, applicable depuis le 25 mai 2018, qui encadre le traitement des données personnelles des personnes situées dans l'Union européenne. Il impose aux organisations des obligations de transparence, de conservation limitée et de sécurité des données, et leur demande de pouvoir le prouver.
Le RGPD, c'est quoi ? Définition et signification
Le RGPD (Règlement Général sur la Protection des Données, Règlement (UE) 2016/679 du 27 avril 2016) est applicable depuis le 25 mai 2018. Il remplace la directive 95/46/CE et uniformise la protection des données personnelles dans l'Union européenne. Comme c'est un règlement et non une directive, il s'applique directement dans chaque État membre, sans transposition.
Il s'applique à toute organisation - entreprise, association, administration - qui collecte, stocke ou traite des données personnelles, dès lors qu'elle est établie dans l'UE, ou qu'elle cible ou suit des personnes situées dans l'UE (article 3 RGPD).
RGPD : l'acronyme
RGPD = Règlement Général sur la Protection des Données. En anglais, on parle de GDPR (General Data Protection Regulation) : c'est le même texte.
Les deux définitions à connaître : donnée personnelle et traitement
L'article 4 du RGPD pose les deux notions qui déclenchent son application :
- Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement (article 4.1).
- Traitement : toute opération appliquée à ces données, qu'elle soit automatisée ou non - collecte, enregistrement, consultation, modification, transmission, effacement (article 4.2).
Autrement dit : dès qu'une organisation manipule une information qui permet de remonter à une personne, elle réalise un traitement soumis au RGPD.
Quelles données sont protégées par le RGPD ?
Sont protégées les données personnelles, c'est-à-dire toute information permettant d'identifier une personne physique, directement ou indirectement :
- Directement : nom, prénom, adresse, téléphone, email, photo
- Indirectement : numéro client, adresse IP, identifiant cookie, données de localisation
Certaines données sont dites « sensibles » et font l'objet d'une protection renforcée (article 9 RGPD) : données de santé, opinion politique, religion, appartenance syndicale, orientation sexuelle, données biométriques et génétiques. Pour aller plus loin : définition et exemples de données personnelles.
Données hors champ du RGPD
Ne sont pas concernées par le RGPD :
- Les personnes morales (sociétés, associations) - seules les personnes physiques sont protégées
- Les données anonymisées de façon irréversible
- Les traitements purement personnels ou domestiques (agenda personnel, répertoire téléphonique privé)
Les 7 principes clés du RGPD
Le RGPD repose sur 7 principes fondamentaux (article 5 RGPD) qui s'appliquent à tout traitement de données :
- Licéité, loyauté et transparence. Tout traitement doit reposer sur une base légale valide (consentement, contrat, obligation légale, intérêt légitime...) et les personnes doivent en être informées clairement.
- Limitation des finalités. Les données collectées ne peuvent être utilisées que pour les objectifs définis au moment de la collecte. Exemple : des données collectées pour la livraison ne peuvent pas servir à la prospection commerciale sans base légale adéquate.
- Minimisation des données. Seules les données strictement nécessaires à la finalité doivent être collectées (pas de collecte "au cas où").
- Exactitude. Les données doivent être tenues à jour et exactes. Des procédures de correction ou de suppression des données inexactes doivent exister.
- Limitation de la conservation. Les données ne peuvent pas être conservées indéfiniment. Une durée de rétention précise doit être définie pour chaque traitement.
- Intégrité et confidentialité (sécurité). Les données doivent être protégées contre les accès non autorisés, les pertes ou les destructions, par des mesures techniques et organisationnelles adaptées (article 32 RGPD).
- Responsabilité (accountability). Les organisations doivent non seulement respecter le RGPD mais aussi être en mesure de le prouver à tout moment (registre des traitements, politique de confidentialité, AIPD, formation des équipes...).
Ces principes sont détaillés, avec leur traduction opérationnelle, dans notre guide sur les 7 règles à respecter pour être conforme.
Qui est concerné par le RGPD ?
Toute organisation qui traite des données personnelles de personnes situées dans l'UE est concernée, quelle que soit sa taille, son secteur ou son pays d'établissement. L'applicabilité du RGPD ne dépend pas d'un seuil de chiffre d'affaires mais de l'activité de traitement.
Les deux rôles principaux définis par le RGPD sont :
- Responsable de traitement (RT) : décide des finalités et des moyens du traitement (l'employeur, l'organisme public, la marque e-commerce...)
- Sous-traitant (ST) : traite les données pour le compte du RT (hébergeur cloud, prestataire RH, agence marketing...)
Les deux sont soumis au RGPD. Le sous-traitant doit apporter des garanties suffisantes et signer un contrat de traitement de données (DPA - Data Processing Agreement) avec le RT (article 28 RGPD). La frontière entre les deux rôles, et le cas de la co-responsabilité, sont détaillés dans responsable de traitement ou sous-traitant.
Les bases légales du RGPD
Tout traitement de données personnelles doit reposer sur l'une des 6 bases légales définies par l'article 6 du RGPD :
- Consentement : la personne a donné son accord explicite et révocable
- Contrat : le traitement est nécessaire à l'exécution d'un contrat avec la personne
- Obligation légale : le traitement est imposé par la loi (ex : conservation des bulletins de paie)
- Sauvegarde des intérêts vitaux : traitement nécessaire pour protéger la vie d'une personne
- Mission d'intérêt public : traitement effectué dans le cadre d'une mission publique
- Intérêt légitime : intérêt de l'organisation, à condition qu'il ne prévale pas sur les droits des personnes
L'intérêt légitime est la base légale la plus souple mais aussi la plus risquée : il nécessite une analyse de mise en balance (LIA - Legitimate Interest Assessment) documentée. Méthode de choix : sur quelle base légale s'appuyer.
Le consentement RGPD
Le consentement est valide uniquement s'il est :
- Libre (pas de déséquilibre de pouvoir)
- Spécifique (pour chaque finalité)
- Éclairé (information claire sur l'usage)
- Univoque (action positive, pas de cases pré-cochées)
Le retrait du consentement doit être aussi simple que son octroi (article 7.3 RGPD).
Les droits des personnes sous le RGPD
Le RGPD accorde 8 droits aux personnes concernées, que les organisations doivent être en mesure d'exercer dans un délai d'1 mois (prolongeable de 2 mois pour les demandes complexes, article 12.3 RGPD) :
- Droit d'accès (art. 15) : obtenir une copie des données détenues
- Droit de rectification (art. 16) : corriger des données inexactes
- Droit à l'effacement (« droit à l'oubli », art. 17) : supprimer les données sous certaines conditions
- Droit à la limitation (art. 18) : suspendre un traitement contesté
- Droit à la portabilité (art. 20) : récupérer ses données dans un format structuré
- Droit d'opposition (art. 21) : s'opposer à un traitement basé sur l'intérêt légitime ou à des fins de prospection
- Droits relatifs aux décisions automatisées (art. 22) : ne pas faire l'objet d'une décision uniquement automatisée aux effets significatifs
- Droit d'information (art. 13 et 14) : être informé de la collecte et de l'usage de ses données
Le détail de chaque droit et les modalités de réponse sont dans notre guide sur les droits RGPD des personnes.
Les obligations principales des entreprises
La mise en conformité RGPD repose sur un socle de documents et de processus obligatoires :
Le registre des traitements
Le registre recense tous les traitements de données : finalité, base légale, durée de conservation, destinataires, mesures de sécurité (article 30 RGPD). L'article 30.5 ne dispense les organisations de moins de 250 salariés que si leurs traitements sont occasionnels, sans risque pour les personnes et sans données sensibles ou pénales : en pratique, presque toute organisation qui gère une paie ou un fichier clients doit en tenir un. Méthode : rédiger son registre des traitements.
L'Analyse d'Impact relative à la Protection des Données (AIPD)
Obligatoire pour les traitements susceptibles d'engendrer un risque élevé (article 35 RGPD) : vidéosurveillance, scoring, traitement de données sensibles à grande échelle... L'AIPD évalue les risques et les mesures pour y remédier. Pas à pas : réaliser son AIPD en 5 étapes.
La politique de confidentialité
Tout site web ou application collectant des données doit afficher une politique de confidentialité complète (articles 13 et 14 RGPD) : identité du responsable, finalités, bases légales, durées, droits des personnes, transferts hors UE. La même obligation d'information vaut pour une collecte ponctuelle, comme un formulaire ou une enquête en ligne : voir comment créer des questionnaires conformes au RGPD.
Les contrats sous-traitants (DPA)
Chaque prestataire traitant des données pour votre compte doit signer un Data Processing Agreement (DPA) conforme à l'article 28 RGPD. Ce contrat définit les obligations du sous-traitant en matière de sécurité, de confidentialité et de gestion des violations. Contenu attendu : qu'est-ce qu'un DPA et comment le rédiger.
La gestion des violations de données
Toute violation de données à caractère personnel doit être notifiée à la CNIL dans un délai de 72 heures, sauf si elle n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes (article 33 RGPD). Si le risque est élevé, les personnes concernées doivent également être informées (article 34 RGPD). Procédure détaillée : réagir à une violation de données.
RGPD et PME : des obligations allégées, pas supprimées
Le RGPD n'exonère pas les PME de leurs obligations. Il prévoit simplement quelques aménagements :
- Dispense de registre limitée aux organisations de moins de 250 salariés dont les traitements sont occasionnels, sans risque et sans données sensibles (article 30.5) : une exception étroite, rarement applicable
- Pas d'obligation de désigner un DPO, sauf pour les organismes publics et les organisations dont l'activité de base implique un suivi régulier et systématique à grande échelle ou des données sensibles à grande échelle (article 37 RGPD)
Mais les principes fondamentaux s'appliquent intégralement : bases légales, droits des personnes, sécurité, notification des violations. Une PME qui collecte des emails marketing, gère des RH ou utilise un CRM est pleinement soumise au RGPD.
RGPD et intelligence artificielle : ce qui change en 2026
L'AI Act européen (Règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, applicable progressivement jusqu'en 2027) ne remplace pas le RGPD : les deux textes se cumulent pour tout système d'IA traitant des données personnelles.
Concrètement en 2026, pour un DPO d'ETI :
- Systèmes d'IA à risque élevé (recrutement, scoring crédit, contrôle d'accès...) : AIPD obligatoire sous le RGPD ET conformité AI Act (documentation technique, supervision humaine, enregistrement dans la base de données de l'UE)
- Modèles de langage (LLM) utilisés pour traiter des données clients : bases légales RGPD à vérifier, durées de rétention à définir, information des personnes à mettre à jour
- Profilage automatisé : l'article 22 RGPD s'applique, l'AI Act ajoute des exigences de transparence supplémentaires pour les systèmes à risque élevé
La CNIL publie régulièrement des recommandations sur l'articulation RGPD/AI Act. Sa page dédiée à l'IA fait référence. Côté prestataires, la même double lecture s'applique à vos sous-traitants qui embarquent de l'IA : voir l'audit IA des sous-traitants.
Les 5 priorités opérationnelles d'un DPO en ETI
Pour un DPO d'une ETI de 100 à 5 000 salariés, la mise en conformité RGPD se structure autour de 5 chantiers prioritaires :
Priorité 1 : Tenir le registre des traitements à jour
Le registre est le document central de la conformité. Il doit être mis à jour à chaque nouveau traitement, chaque changement de prestataire ou d'outil. C'est aussi le premier document demandé lors d'un contrôle CNIL.
Priorité 2 : Cartographier et auditer les sous-traitants
Pour une ETI, le nombre de sous-traitants (SaaS, prestataires RH, hébergeurs...) dépasse souvent 50. Chaque sous-traitant doit avoir signé un DPA conforme. L'audit annuel des DPA existants est une priorité opérationnelle : voir comment auditer ses sous-traitants.
Priorité 3 : Traiter les demandes d'exercice de droits
Le délai légal d'1 mois pour répondre aux demandes d'accès, de rectification ou d'effacement est strict. Mettre en place un processus formalisé (formulaire, workflow de traitement, archivage des réponses) est indispensable.
Priorité 4 : Gérer les violations de données
72 heures pour notifier la CNIL : c'est court. Un plan de réponse aux incidents doit exister avant qu'un incident survienne. Il définit les rôles (qui notifie ? qui valide ?), les modèles de notification et les critères de qualification de la violation.
Priorité 5 : Former les équipes
La conformité RGPD n'est pas l'affaire du seul DPO. Les équipes RH, marketing, IT et juridique doivent être formées aux règles essentielles : bases légales, données sensibles, droits des personnes. La formation doit être documentée (preuves de l'accountability).
Ces cinq chantiers se pilotent au quotidien, pas une fois par an. Leto réunit le registre, les AIPD, les demandes d'exercice de droits et la gestion des sous-traitants dans un même outil, avec un audit IA des sous-traitants et Hari, son IA, pour les questionnaires de sécurité. Voir Leto en démo.
Les sanctions CNIL : pouvoirs et exemples récents
La CNIL dispose de pouvoirs de sanction gradués (article 83 RGPD) :
- Mise en demeure : injonction de mise en conformité dans un délai fixé (publique ou confidentielle)
- Amende administrative : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel (le montant le plus élevé est retenu)
- Limitation ou interdiction de traitement : mesure provisoire ou définitive
Exemples de sanctions récentes :
- CNIL, délibération du 5 septembre 2024 : 800 000 euros contre CEGEDIM SANTÉ, pour avoir traité sans autorisation des données de santé non anonymisées issues de logiciels de médecins
- CNIL, délibération du 14 novembre 2024 : 50 millions d'euros contre ORANGE, pour avoir affiché des publicités entre les courriels de ses utilisateurs sans leur consentement
- Autorité irlandaise (DPC), 22 mai 2023, sur décision contraignante de l'EDPB n° 1/2023 : 1,2 milliard d'euros contre Meta pour des transferts de données vers les États-Unis sans garanties suffisantes
La CNIL publie ses décisions de sanction en ligne. Les contrôles peuvent être déclenchés par une plainte, une notification de violation ou une initiative de la CNIL (thématiques annuelles de contrôle).
Questions fréquemment posées
Qu'est-ce que le RGPD en termes simples ?
Le RGPD est le règlement européen sur la protection des données personnelles, applicable depuis le 25 mai 2018. Il donne aux personnes des droits sur leurs données et impose aux organisations des règles sur la collecte, la conservation, la sécurité et l'utilisation de ces données. En cas de manquement, les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel.
RGPD et GDPR, est-ce la même chose ?
Oui. GDPR (General Data Protection Regulation) est le nom anglais du même texte, le Règlement (UE) 2016/679. Les deux sigles désignent les mêmes obligations, applicables dans les 27 États membres et dans l'Espace économique européen.
Le RGPD s'applique-t-il aux TPE et PME ?
Oui. Le RGPD s'applique à toutes les organisations qui traitent des données personnelles, sans seuil de taille. Une PME de 10 salariés qui gère des emails clients y est soumise. Les principes (licéité, minimisation, sécurité, droits des personnes) sont identiques quelle que soit la taille ; seules la dispense de registre, très étroite (article 30.5), et l'absence d'obligation générale de DPO allègent la charge.
Quelles sanctions la CNIL peut-elle prononcer en cas de non-respect du RGPD ?
La CNIL peut prononcer des mises en demeure, des injonctions de mise en conformité, des limitations ou interdictions de traitement et des amendes administratives, plafonnées à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel (article 83 RGPD). Ses décisions sont publiées sur cnil.fr.
Quelle est la différence entre RGPD et loi Informatique et Libertés ?
La loi Informatique et Libertés du 6 janvier 1978 est la loi française qui a précédé le RGPD. Le RGPD étant directement applicable, il n'a pas été transposé : la loi a été adaptée en 2018 (loi du 20 juin 2018, puis ordonnance du 12 décembre 2018) pour préciser les marges laissées aux États membres, par exemple l'âge du consentement des mineurs aux services en ligne, fixé à 15 ans en France.
Combien de temps faut-il pour se mettre en conformité au RGPD ?
Pour une ETI (100 à 5 000 salariés), un projet de mise en conformité complet prend généralement 3 à 9 mois selon le nombre de traitements et les ressources disponibles. L'étape la plus longue est la cartographie des traitements et des sous-traitants. La conformité ne s'arrête pas là : le registre et les contrats se maintiennent en continu.
Comment prouver sa conformité au RGPD ?
La preuve de conformité repose sur 5 documents clés : le registre des traitements à jour, les DPA signés avec les sous-traitants, les AIPD pour les traitements à risque, les politiques de confidentialité publiées et les preuves de formation des équipes. C'est l'obligation d'accountability définie par l'article 5.2 du RGPD.
Quel est le rôle du DPO dans le RGPD ?
Le DPO (Délégué à la Protection des Données) informe et conseille l'organisation, contrôle le respect du règlement, conseille sur les AIPD et coopère avec la CNIL (article 39 RGPD). Sa désignation est obligatoire pour les organismes publics et pour les organisations dont l'activité de base implique un suivi régulier et systématique à grande échelle, ou le traitement à grande échelle de données sensibles (article 37 RGPD).
Qu'est-ce que le RGPD concrètement pour une entreprise ?
Concrètement, le RGPD impose à une entreprise de savoir précisément quelles données elle collecte et pourquoi (registre des traitements), de s'assurer que chaque traitement a une base légale valide, de répondre aux demandes des personnes dans le délai légal, de sécuriser les données, de notifier les violations et de contractualiser avec ses sous-traitants.
RGPD et IA : qu'est-ce qui change en 2026 ?
Le RGPD continue de s'appliquer à tout système d'IA traitant des données personnelles. En 2026, l'AI Act (Règlement (UE) 2024/1689) s'y superpose pour les systèmes à risque élevé et les modèles d'IA à usage général. Le DPO doit intégrer une double analyse : conformité RGPD (bases légales, droits des personnes) et conformité AI Act (documentation technique, supervision humaine, transparence).
