1. Le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit règlement général sur la protection des données (RGPD), est le texte de référence en matière de protection des personnes physiques à l’égard du traitement des données à caractère personnel et de libre circulation de ces données. Il abroge la directive 95/46/CE et s’applique directement dans tous les États membres depuis le 25 mai 2018.
2. Le RGPD a été modifié par un rectificatif publié au JOUE L127 du 23/05/2018, qui corrige notamment certaines références linguistiques et de numérotation. Même si ces ajustements semblent formels, ils rappellent l’importance de se référer à la version consolidée du texte pour éviter des erreurs d’interprétation dans vos politiques de conformité.
3. L’article 1er – Objet et objectifs précise que le règlement fixe les règles relatives à la protection des données à caractère personnel et garantit que la circulation de ces données au sein de l’Union n’est ni restreinte ni interdite pour des motifs liés à la protection des personnes physiques.
4. L’article 2 – Champ d’application matériel et l’article 3 – Champ d’application territorial sont déterminants pour savoir si vous êtes soumis au RGPD. Toute activité de traitement de données à caractère personnel réalisée dans le cadre des activités d’un établissement dans l’Union, ou visant des personnes concernées se trouvant dans l’Union (offre de biens ou de services, ou suivi du comportement), entre dans le champ du règlement.
5. Le non-respect de ces règles peut entraîner des amendes administratives très élevées (article 83) et d’autres mesures correctrices prononcées par l’autorité de contrôle (en France, la CNIL). Comprendre le cadre juridique général est la première étape pour éviter les sanctions et instaurer une conformité pérenne.
6. L’article 4 – Définitions est central pour maîtriser le vocabulaire du RGPD et donc vos obligations. Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable. Les considérants (26), (28), (29) et (30) illustrent l’ampleur de cette notion : identifiants en ligne (adresses IP, cookies), identifiants radio (RFID), données génétiques, données de santé, identifiants uniques, etc.
7. Un traitement est toute opération ou ensemble d’opérations effectuées sur des données à caractère personnel : collecte, enregistrement, organisation, conservation, consultation, communication, effacement, etc. Il s’applique aux traitements automatisés et manuels dès lors que les données sont contenues ou destinées à être contenues dans un fichier (considérant (15)).
8. Le responsable du traitement est l’entité (personne physique ou morale, autorité publique, service ou autre organisme) qui détermine les finalités et les moyens du traitement. Il porte la responsabilité principale de la conformité (article 24 – Responsabilité du responsable du traitement).
9. Le sous‑traitant (article 28) est l’entité qui traite des données à caractère personnel pour le compte du responsable du traitement. Il ne s’agit pas d’un simple exécutant : le RGPD lui impose désormais des obligations légales propres (sécurité, registre, coopération avec l’autorité de contrôle, notification des violations, etc.), pouvant entraîner des sanctions directes.
10. Les notions d’établissement principal (considérant (36)) et de groupe d’entreprises (considérant (37)) sont essentielles pour identifier l’autorité de contrôle chef de file (article 56) et appliquer le mécanisme de contrôle de la cohérence (article 63 et suivants), ce qui impacte la gestion transfrontalière de vos traitements.
11. Le chapitre II – Principes et notamment l’article 5 listent les principes relatifs au traitement des données à caractère personnel. Le non-respect de ces principes est l’un des motifs principaux de sanctions lourdes (article 83, paragraphe 5, a)). Ils structurent l’ensemble de vos obligations.
12. Licéité, loyauté et transparence (article 5, paragraphe 1, a) ; considérant (39) : tout traitement doit reposer sur une base légale (article 6), être effectué de manière loyale et être compréhensible pour la personne concernée. Cela implique une information claire et accessible, des modalités simples pour exercer les droits, et l’interdiction des pratiques trompeuses.
13. Limitation des finalités (article 5, paragraphe 1, b)) : les finalités du traitement doivent être déterminées, explicites et légitimes dès la collecte. Tout usage ultérieur incompatible avec ces finalités initiales expose à un risque de sanction.
14. Minimisation des données (article 5, paragraphe 1, c)) : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités. Les collectes excessives (demandes de données non indispensables) constituent une non‑conformité fréquente.
15. Exactitude (article 5, paragraphe 1, d)) : vous devez prendre toutes mesures raisonnables pour que les données inexactes soient rectifiées ou effacées sans délai, en lien direct avec le droit de rectification (article 16) et les obligations de notification (article 19).
16. Limitation de la conservation (article 5, paragraphe 1, e)) : la durée de conservation doit être limitée au strict nécessaire. Le RGPD impose de fixer des délais ou des critères clairs d’effacement ou de révision. La conservation indéfinie sans justification est particulièrement risquée lors des contrôles.
17. Intégrité et confidentialité (article 5, paragraphe 1, f) et article 32) : vous devez garantir une sécurité appropriée des données (protection contre l’accès non autorisé, la destruction, la perte, l’altération, etc.) grâce à des mesures techniques et organisationnelles adaptées : chiffrement, gestion des habilitations, politiques d’accès, tests de vulnérabilité, sensibilisation.
18. Responsabilité (accountability) (article 5, paragraphe 2 et article 24) : le responsable du traitement doit non seulement respecter ces principes, mais aussi être en mesure de prouver leur respect. Tenir un registre des activités de traitement (article 30), documenter les analyses et les choix effectués est au cœur de cette logique et conditionne la capacité à démontrer votre conformité à l’autorité de contrôle.
19. L’article 6 – Licéité du traitement énumère les bases juridiques qui permettent de qualifier un traitement de licite. L’absence de base légale ou une base mal choisie expose à des amendes administratives maximales (article 83, paragraphe 5).
20. Les bases principales sont : consentement, exécution d’un contrat, obligation légale, intérêt vital, mission d’intérêt public ou relevant de l’exercice de l’autorité publique et intérêts légitimes du responsable du traitement ou d’un tiers, sous réserve des droits et libertés des personnes physiques.
21. Le consentement est particulièrement encadré (articles 6 et 7, considérants (32) à (34)). Il doit être : libre, spécifique, éclairé et univoque. Le consentement par silence, cases cochées par défaut ou inaction est explicitement exclu (considérant (32)). Le responsable du traitement doit pouvoir prouver que la personne concernée a consenti (article 7, paragraphe 1).
22. Pour les enfants, l’article 8 impose des conditions particulières lorsque des services de la société de l’information sont directement offerts à un enfant. Un consentement du titulaire de la responsabilité parentale peut être requis, ce qui suppose des mécanismes de vérification appropriés.
23. Les données sensibles ou catégories particulières de données à caractère personnel (article 9, considérants (34) et (35)) – notamment données génétiques, biométriques, données concernant la santé, données révélant l’origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, vie sexuelle ou orientation sexuelle – sont en principe interdites de traitement, sauf exceptions précises prévues par le RGPD ou le droit d’un État membre.
24. Les données relatives aux condamnations pénales et infractions (article 10) sont soumises à un régime particulier, souvent combiné avec des lois nationales plus strictes. Une vigilance particulière est requise pour éviter des traitements illicites.
25. Pour éviter les sanctions, il est crucial de : cartographier vos traitements, associer chaque traitement à une base légale documentée, vérifier la pertinence de cette base au regard des finalités, et veiller à la conformité continue (modification de finalités, nouveaux traitements, changement de destinataires, etc.).
26. Le chapitre III – Droits de la personne concernée (articles 12 à 23) est au cœur de la logique de contrôle par les personnes physiques sur leurs données à caractère personnel. Les manquements aux droits d’accès, de rectification, d’effacement, de limitation, d’opposition ou de portabilité peuvent entraîner des amendes élevées (article 83, paragraphe 5, b)).
27. Les obligations de transparence (article 12, considérant (39)) exigent des informations claires, accessibles et formulées en des termes simples. Le responsable du traitement doit faciliter l’exercice des droits, répondre sans retard excessif, et en principe dans un délai d’un mois, prolongeable de deux mois en cas de complexité, sous conditions et avec information motivée.
28. Les articles 13 et 14 détaillent les informations à fournir lorsque les données sont collectées auprès de la personne concernée (article 13) ou auprès de tiers (article 14) : identité et coordonnées du responsable du traitement, finalités, base juridique, destinataires, transferts vers des pays tiers, durées de conservation, existence des droits, droit d’introduire une réclamation auprès d’une autorité de contrôle, etc.
29. Les principaux droits sont : droit d’accès (article 15), droit de rectification (article 16), droit à l’effacement – «droit à l’oubli» (article 17), droit à la limitation du traitement (article 18), droit à la portabilité des données (article 20), droit d’opposition (article 21), et protection contre les décisions individuelles automatisées, y compris le profilage (article 22).
30. L’article 19 impose une obligation de notification à l’égard des destinataires des données lorsque celles‑ci ont été rectifiées, effacées ou que leur traitement a été limité, sauf si cela s’avère impossible ou exige des efforts disproportionnés. Cette obligation est souvent oubliée, alors qu’elle est contrôlée par les autorités.
31. Pour limiter le risque de sanction, il est nécessaire de : formaliser des procédures internes claires de gestion des demandes de droits, former les équipes, mettre en place des outils techniques facilitant l’extraction, la rectification, l’anonymisation ou l’effacement, et tracer systématiquement les réponses apportées aux personnes concernées.
32. Le chapitre IV – Responsable du traitement et sous‑traitant organise en détail les obligations générales des acteurs. L’article 24 formalise la responsabilité du responsable du traitement, qui doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir et être en mesure de démontrer que le traitement est effectué conformément au RGPD.
33. L’article 25 – Protection des données dès la conception et protection des données par défaut impose d’intégrer la protection des données dès la conception (privacy by design) et par défaut dans les systèmes, applications et processus. Il s’agit par exemple de limiter par défaut l’accès aux données, de minimiser les données collectées, ou de prévoir des mécanismes de pseudonymisation lorsque c’est possible.
34. L’article 30 – Registre des activités de traitement est un outil central de l’accountability. Sauf exceptions limitées pour certaines micro, petites et moyennes entreprises (considérant (13)), les responsables du traitement et les sous‑traitants doivent tenir un registre documentant les traitements sous leur responsabilité : finalités, catégories de personnes concernées et de données, destinataires, transferts, durées de conservation, mesures de sécurité, etc.
35. L’article 28 – Sous‑traitant impose un encadrement contractuel précis du traitement effectué sous l’autorité du responsable du traitement (article 29). Les contrats de sous‑traitance doivent comporter un certain nombre de clauses obligatoires (instructions documentées, confidentialité, sécurité, recours à des sous‑sous‑traitants, assistance en cas de violation, sort des données à la fin de la prestation…). Des contrats incomplets ou imprécis exposent toutes les parties à une responsabilité partagée (article 26 pour les responsables conjoints du traitement).
36. L’article 31 – Coopération avec l’autorité de contrôle rappelle que le responsable du traitement et le sous‑traitant doivent coopérer avec l’autorité de contrôle compétente. Une attitude non coopérative ou obstructive lors d’un contrôle peut aggraver les sanctions.
37. Pour réduire le risque de sanctions, il est indispensable de : mettre à jour régulièrement le registre des activités de traitement, intégrer systématiquement la protection des données dès la conception dans tout nouveau projet, revoir les contrats de sous‑traitance à la lumière des articles 28 et 29, et documenter la coopération avec les autorités de contrôle.
38. La sécurité du traitement (article 32) est une obligation commune au responsable du traitement et au sous‑traitant. Elle doit être proportionnée aux risques, compte tenu notamment de l’ampleur de la collecte et du partage de données à caractère personnel (considérant (6)) et de la nature des données (y compris les données sensibles au sens de l’article 9).
39. Les violations de données à caractère personnel doivent être gérées selon une procédure stricte. L’article 33 impose la notification à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. L’article 34 impose, dans certains cas, une communication à la personne concernée lorsque le risque est élevé.
40. L’article 35 – Analyse d’impact relative à la protection des données (AIPD) est requis lorsque le type de traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques (profilage à grande échelle, suivi systématique, utilisation de données sensibles à vaste échelle, etc.). Il s’agit d’identifier les risques et de définir des mesures pour les atténuer. L’article 36 – Consultation préalable prévoit que, si malgré ces mesures le risque reste élevé, l’autorité de contrôle doit être consultée avant la mise en œuvre du traitement.
41. Les articles 37 à 39 organisent le régime du délégué à la protection des données (DPO) : désignation du délégué, fonction et missions. La désignation d’un DPO est obligatoire pour certaines catégories de responsables et sous‑traitants (autorités et organismes publics, traitements exigeant un suivi régulier et systématique à grande échelle, traitements à grande échelle de catégories particulières de données ou de données relatives à des condamnations pénales et infractions).
42. Le DPO joue un rôle clé dans la prévention des sanctions : conseil, contrôle interne, sensibilisation, audits, point de contact avec l’autorité de contrôle et les personnes concernées. Même lorsqu’il n’est pas obligatoire, sa désignation peut constituer une bonne pratique démontrant une démarche proactive de conformité.
43. Le chapitre V – Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales (articles 44 à 50) encadre fortement les transferts internationaux. Les transferts doivent respecter le principe général applicable aux transferts (article 44) et s’appuyer soit sur une décision d’adéquation (article 45), soit sur des garanties appropriées (article 46, notamment clauses contractuelles types, règles d’entreprise contraignantes article 47), soit sur des dérogations pour des situations particulières (article 49).
44. Le non‑respect du cadre des transferts, y compris en cas de transferts ou divulgations non autorisés par le droit de l’Union (article 48), est un facteur de sanction majeur, spécialement dans un contexte de mondialisation et de recours massif à des prestataires hors Union.
45. Le chapitre VI – Autorités de contrôle indépendantes (articles 51 à 59) définit le statut d’indépendance de ces autorités, leurs missions (article 57) et leur pouvoirs (article 58). Les pouvoirs incluent notamment la réalisation d’enquêtes, l’imposition de amendes administratives, d’injonctions, de limitations ou interdictions de traitement, et la certification ou retrait de certificats.
46. Le chapitre VII – Coopération et cohérence instaure un mécanisme de coordination entre les autorités, via notamment le Comité européen de la protection des données (articles 68 à 76), afin d’assurer un niveau cohérent et élevé de protection dans l’ensemble de l’Union (considérant (10)) et d’éviter la fragmentation.
47. Le chapitre VIII – Voies de recours, responsabilité et sanctions (articles 77 à 84) détaille le droit d’introduire une réclamation auprès d’une autorité de contrôle (article 77), le droit à un recours juridictionnel effectif contre une autorité de contrôle (article 78) ou contre un responsable du traitement ou un sous‑traitant (article 79), le droit à réparation et responsabilité (article 82), et les conditions générales pour imposer des amendes administratives (article 83) ainsi que d’autres sanctions (article 84).
48. L’article 83 prévoit deux niveaux de plafond : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour certaines violations (par exemple, obligations techniques et organisationnelles), et jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les violations les plus graves (princes de base du traitement, droits des personnes, transferts internationaux, non‑respect d’une injonction de l’autorité de contrôle). L’autorité tient compte de nombreux critères (nature, gravité, durée, caractère intentionnel ou non, mesures prises pour atténuer le dommage, antécédents, coopération, catégories de données, etc.).
49. Pour éviter ou limiter les sanctions, il est stratégique de démontrer : une gouvernance claire de la protection des données, la mise en place de mesures de sécurité robustes, la réalisation d’analyses d’impact lorsque nécessaire, la diligence dans la gestion des violations, la coopération active avec les autorités de contrôle, et une attention constante aux droits des personnes concernées.
50. Texte de référence du règlement général sur la protection des données (version française, site de la CNIL) : Règlement (UE) 2016/679 – RGPD sur le site de la CNIL
🇫🇷 Point juridique LegalPlanet.pro — Date de dernière mise à jour : 10 mars 2026.
Approfondir ce sujet :