Le RGPD, c'est quoi au juste

Vous laissez votre adresse à un commerçant pour être livré. Trois mois plus tard, vous recevez le catalogue d'une société dont vous n'avez jamais entendu parler.

Rien n'a été volé. L'information a simplement changé de mains, puis d'usage. Vous l'aviez confiée pour une chose, elle a servi à une autre, et personne ne vous a demandé votre avis parce que personne n'a estimé devoir le faire.

Le RGPD tient tout entier dans ce décalage. Il ne dit pas qu'il est interdit de collecter des informations sur les gens. Il dit qu'une information confiée pour un usage précis reste attachée à cet usage, que la personne qui l'a confiée doit pouvoir savoir où elle se trouve et ce qu'on en fait, et qu'elle doit pouvoir en demander la correction ou la suppression.

Une donnée personnelle n'est pas un bien que l'on acquiert. C'est un objet que l'on vous prête, et dont il faut pouvoir rendre compte.

Ce que veulent dire ces quatre lettres

RGPD signifie Règlement général sur la protection des données. On rencontre aussi le sigle anglais GDPR, pour General Data Protection Regulation : il désigne le même texte.

Il s'agit du règlement européen 2016/679, adopté le 27 avril 2016 et applicable depuis le 25 mai 2018. Le mot règlement a ici un sens juridique précis, et il n'est pas anodin : contrairement à une directive, qui demande à chaque pays de la traduire dans son droit national, un règlement s'applique directement et à l'identique dans les vingt-sept États membres. Le texte lu à Cholet est le même que celui lu à Berlin ou à Lisbonne.

En France, il ne remplace pas la loi Informatique et Libertés du 6 janvier 1978, qui reste en vigueur. Les deux textes se combinent : le règlement pose le cadre commun, la loi française l'adapte sur les marges de manœuvre laissées aux États et conserve des dispositions propres, dont celles relatives aux traceurs déposés sur les terminaux.

Son champ d'application ne dépend pas de la nationalité de l'organisme, mais de deux critères : être établi dans l'Union européenne, quel que soit le lieu d'hébergement des données, ou bien viser depuis l'étranger des personnes qui s'y trouvent. Un site américain qui propose ses produits en français, en euros, à des clients situés en France, y est soumis.

Ce qui compte comme donnée personnelle

La définition est plus large que ce que l'on imagine généralement. Est une donnée personnelle toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement.

Un nom, bien sûr. Mais aussi une adresse électronique, un numéro de téléphone, une photographie, un enregistrement vocal, une plaque d'immatriculation, un identifiant client, une adresse IP, un numéro de badge, un historique de commandes, ou le numéro contenu dans un cookie. Le critère n'est pas la présence d'un nom, mais la possibilité de rattacher l'information à une personne, éventuellement en la croisant avec d'autres.

Certaines catégories bénéficient d'une protection renforcée et sont en principe interdites de traitement, sauf exception : origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données de santé, données biométriques ou génétiques, vie sexuelle ou orientation sexuelle. Une simple case « régime alimentaire » dans un formulaire d'inscription peut ainsi révéler une conviction religieuse.

Il faut une raison de collecter

Aucun traitement de données personnelles n'est licite sans base légale. Le RGPD en prévoit six, et une seule doit être retenue pour un traitement donné.

Le consentement de la personne. L'exécution d'un contrat auquel elle est partie, ou de mesures précontractuelles. Le respect d'une obligation légale qui pèse sur l'organisme. La sauvegarde des intérêts vitaux d'une personne. L'exécution d'une mission d'intérêt public. Enfin l'intérêt légitime de l'organisme, à condition qu'il ne porte pas une atteinte disproportionnée aux droits des personnes.

Le contresens le plus répandu consiste à ramener tout le RGPD au consentement. Livrer une commande ne requiert pas le consentement du client à l'usage de son adresse : c'est l'exécution du contrat. Conserver une facture dix ans ne requiert pas non plus son accord : c'est une obligation légale. Demander un consentement là où il n'a pas lieu d'être crée d'ailleurs une difficulté, puisqu'un consentement peut être retiré à tout moment, y compris pour un traitement dont l'organisme ne peut pas se passer.

À l'inverse, l'envoi d'une lettre d'information commerciale à un particulier repose bien sur le consentement, et ce consentement doit être distinct de celui du contrat.

Une raison, et une seule

Trois principes commandent ensuite tout le reste.

La finalité doit être déterminée avant la collecte, et explicite. On ne collecte pas des données « au cas où », pour décider ensuite de ce qu'on en fera.

Les données doivent être limitées à ce qui est nécessaire à cette finalité. C'est le principe de minimisation, et c'est le plus souvent négligé. Un formulaire de contact qui exige la date de naissance, le numéro de téléphone et l'adresse postale pour répondre à une question ne collecte pas des données : il en accumule sans justification.

La durée de conservation doit être définie et proportionnée. Une donnée n'a pas vocation à rester indéfiniment dans une base parce que personne n'a pensé à la supprimer. Chaque catégorie de données appelle une durée, une règle de purge, et parfois un archivage intermédiaire distinct de la base active.

Ce que cela change sur un site web

Un site vitrine sans compte utilisateur ni boutique traite déjà des données personnelles, ne serait-ce que par son formulaire de contact et ses journaux de connexion.

Chaque formulaire doit être accompagné d'une information concise indiquant qui est responsable du traitement, pour quelle finalité les données sont collectées, sur quelle base légale, combien de temps elles seront conservées, et comment exercer ses droits. Un lien vers la politique de confidentialité, placé au niveau du formulaire, remplit cette fonction s'il est explicite.

Une case d'inscription à la lettre d'information ne peut pas être pré-cochée, ni conditionner l'envoi du message. Le consentement doit résulter d'un acte positif, distinct, et pouvoir être retiré aussi simplement qu'il a été donné.

Le prestataire d'hébergement, l'outil de messagerie, le service de sauvegarde, le formulaire externalisé ou l'outil de statistiques sont des sous-traitants au sens du RGPD. Leur intervention doit être encadrée par un contrat comportant les mentions prévues à l'article 28, et ils doivent être mentionnés dans la politique de confidentialité, au moins par catégorie.

Si l'un de ces prestataires héberge ou consulte les données hors de l'Union européenne, le transfert doit reposer sur un fondement identifié, et cette circonstance doit être portée à la connaissance des visiteurs. Une police de caractères chargée depuis un serveur américain suffit à transmettre l'adresse IP du visiteur hors de l'Union.

Enfin, la sécurité n'est pas une option accessoire : chiffrement des échanges, contrôle des accès, mots de passe robustes, mises à jour du gestionnaire de contenu et de ses extensions, journalisation. La très grande majorité des sanctions prononcées en France portent sur ce terrain.

Le dépôt de traceurs sur le terminal du visiteur relève quant à lui d'un régime distinct, celui de l'article 82 de la loi Informatique et Libertés. Nous l'expliquons en détail sur la page consacrée aux cookies.

Ce que cela change dans une application

Une application mobile ajoute deux difficultés que le web ne connaît pas au même degré.

La première tient aux permissions. Accepter une demande d'accès à la position, au carnet d'adresses, au microphone ou aux photos est une autorisation technique délivrée par le système d'exploitation. Ce n'est pas un consentement au sens du RGPD, qui suppose une information préalable sur la finalité poursuivie. Une application qui demande la géolocalisation en arrière-plan sans expliquer à quoi elle sert ne dispose d'aucune base valable, quand bien même l'utilisateur a appuyé sur « Autoriser ».

La seconde tient aux composants tiers. Une application assemble des kits de développement fournis par des sociétés externes : mesure d'audience, rapports de plantage, régie publicitaire, notifications, authentification. Chacun peut transmettre l'identifiant publicitaire de l'appareil, un identifiant d'installation, le modèle du téléphone, la version du système, parfois la position. Ces transmissions démarrent fréquemment au premier lancement, avant le moindre écran d'information.

S'ajoutent les catégories les plus sensibles, particulièrement fréquentes dans les applications : santé, sommeil, activité physique, cycles, position permanente. Elles relèvent de l'article 9 et supposent, dans le cas courant, un consentement explicite.

Le RGPD impose par ailleurs que la protection des données soit intégrée dès la conception et par défaut. Concrètement, cela signifie que les réglages les plus protecteurs sont ceux qui s'appliquent sans intervention de l'utilisateur, et que les données collectées à l'installation se limitent au fonctionnement du service.

Les droits des personnes

Toute personne dont les données sont traitées peut demander à en obtenir une copie, à les faire rectifier si elles sont inexactes, à les faire effacer, à s'opposer à un traitement, à en demander la limitation, ou à récupérer dans un format réutilisable celles qu'elle a fournies afin de les transmettre ailleurs.

La réponse doit intervenir dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes, à condition d'en informer la personne. L'absence de réponse est en elle-même un manquement, et c'est un motif de plainte fréquent.

Ces droits supposent qu'un canal existe et fonctionne : une adresse dédiée, une personne qui la relève, et une procédure interne permettant de retrouver effectivement les données d'une personne dans l'ensemble des outils utilisés. C'est souvent à ce moment qu'un organisme découvre qu'il ne sait pas où se trouvent ses propres données.

Ce qu'il faut pouvoir démontrer

Le RGPD ne repose pas sur une déclaration préalable mais sur la responsabilité de l'organisme, qui doit être en mesure de prouver sa conformité à tout moment.

Le registre des traitements en constitue la pièce centrale : la liste des traitements mis en œuvre, avec pour chacun la finalité, les catégories de données et de personnes, les destinataires, les durées de conservation et les mesures de sécurité. L'exemption prévue pour les organismes de moins de deux cent cinquante salariés est assortie de conditions si restrictives qu'elle ne s'applique presque jamais en pratique.

Une analyse d'impact est requise lorsque le traitement est susceptible d'engendrer un risque élevé : surveillance systématique à grande échelle, données sensibles en volume, profilage produisant des effets juridiques, croisement de fichiers.

En cas de violation de données, une notification à la CNIL est due dans les soixante-douze heures, et les personnes concernées doivent être informées lorsque le risque pour elles est élevé.

Les manquements exposent à des amendes pouvant atteindre dix ou vingt millions d'euros selon leur nature, ou deux à quatre pour cent du chiffre d'affaires annuel mondial si ce montant est supérieur. Dans les faits, la CNIL module fortement selon la taille de l'organisme, la gravité et la coopération, et dispose de mesures plus légères : rappel à l'ordre, mise en demeure, injonction sous astreinte.

Le RGPD dans l'entreprise, au-delà du site web

Un organisme qui traite les données de ses clients traite aussi celles de ses salariés, et cette seconde catégorie donne lieu à davantage de contentieux que la première.

Le dossier du personnel, les fiches de paie, les candidatures reçues, les évaluations, les données d'absence relèvent tous du règlement. Les curriculum vitae des candidats non retenus ne peuvent être conservés indéfiniment : la CNIL retient une durée de deux ans à compter du dernier contact, au-delà de laquelle le maintien du dossier suppose l'accord de l'intéressé.

Les dispositifs de contrôle appellent une vigilance particulière. La vidéosurveillance ne peut placer un poste de travail sous surveillance permanente, sauf circonstances exceptionnelles tenant à la nature de l'activité. La géolocalisation des véhicules de service ne peut être active en dehors du temps de travail et ne peut servir à contrôler en continu la vitesse ou les déplacements. L'accès à la messagerie professionnelle d'un salarié est encadré : les messages identifiés comme personnels échappent au regard de l'employeur.

Ces dispositifs supposent tous une information individuelle des salariés, l'information et la consultation du comité social et économique lorsqu'il existe, et une inscription au registre. Une charte informatique annexée au règlement intérieur en constitue le support usuel.

Un dernier point mérite l'attention : le RGPD ne connaît pas de seuil d'effectif. Une entreprise individuelle qui tient un fichier clients y est soumise exactement comme un groupe international. Ce sont les obligations documentaires qui s'allègent, pas les principes.

Le cas des administrations et des collectivités

Le secteur public relève du même règlement, avec trois différences notables.

La première concerne la base légale. Une administration ne peut, en règle générale, pas fonder ses traitements sur le consentement : le RGPD considère que celui-ci n'est pas librement donné lorsqu'il existe un déséquilibre manifeste entre la personne et l'organisme, ce qui est le cas face à une autorité publique. L'inscription scolaire, la gestion de la cantine, l'état civil, l'aide sociale reposent sur l'exécution d'une mission d'intérêt public ou sur une obligation légale. Les autorités publiques ne peuvent pas davantage invoquer l'intérêt légitime dans l'exercice de leurs missions. En pratique, une commune qui affiche une demande de consentement pour un service obligatoire se place sur un fondement invalide.

La deuxième concerne le délégué à la protection des données. Sa désignation est obligatoire pour toute autorité ou tout organisme public, sans considération de taille : une commune de trois cents habitants y est tenue au même titre qu'un département. La fonction peut être mutualisée entre plusieurs collectivités ou confiée à un prestataire externe, et la CNIL a déjà mis en demeure des communes qui ne l'avaient pas désigné.

La troisième concerne la nature des traitements. Les collectivités manipulent des données particulièrement sensibles ou massives : fichiers d'état civil, listes électorales, données sociales des centres communaux d'action sociale, dossiers d'urbanisme, systèmes de vidéoprotection sur la voie publique, badges de cantine parfois biométriques. Ces traitements se situent fréquemment dans le champ de l'analyse d'impact obligatoire, et se superposent à des régimes spécifiques, comme le code de la sécurité intérieure pour la vidéoprotection ou les règles d'ouverture des données publiques, qui n'autorisent pas la republication de données personnelles sans traitement préalable.

Quant à l'idée selon laquelle la sphère publique échapperait aux sanctions, elle ne correspond pas à la pratique française. Le règlement laisse chaque État déterminer si des amendes peuvent être infligées aux organismes publics, et la France ne les a pas exclues. Le 22 janvier 2026, la CNIL a ainsi sanctionné France Travail d'une amende de cinq millions d'euros pour ne pas avoir assuré la sécurité des données des demandeurs d'emploi, assortie d'une injonction sous astreinte.

Par où commencer

La conformité ne se décrète pas dans un document. Elle commence par un inventaire : quelles données sont détenues, dans quels outils, pour quelle finalité, pendant combien de temps, et qui y a accès. Tout le reste en découle, y compris la politique de confidentialité, qui n'est que la traduction publique de cet inventaire.

Pour un site web ou une application, une partie de cet état des lieux peut être établie de l'extérieur : mentions obligatoires présentes ou absentes, traceurs déposés avant consentement, ressources tierces chargées hors Union européenne, formulaires dépourvus d'information.

Lancer une analyse gratuite de votre site