RGPD : éviter les sanctions grâce aux mesures de conformité CNIL

Comprendre le RGPD à la lumière des considérants (171) à (173)

1. Le règlement général sur la protection des données (RGPD) s’inscrit dans un ensemble cohérent de normes européennes visant la protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel. Les considérants (171) à (173) précisent, en particulier, l’articulation du règlement avec l’ancienne directive 95/46/CE, la directive 2002/58/CEprincipe de subsidiarité et le principe de proportionnalité consacrés à l’article 5 du traité sur l’Union européenne.

2. Pour les responsables du traitement et les sous‑traitants, ces considérants ne sont pas de simples éléments de contexte : ils orientent l’interprétation des obligations de conformité et permettent de comprendre comment la CNIL et les autres autorités de contrôle européennes apprécient les mesures de conformité et, par conséquent, les risques de sanctions.

Principe de subsidiarité et champ d’application du RGPD

3. Le RGPD rappelle expressément qu’il est adopté dans le respect du principe de subsidiarité, tel qu’énoncé à l’article 5 du traité sur l’Union européenne. Ce principe implique que l’Union n’intervienne que si les objectifs envisagés ne peuvent pas être atteints de manière suffisante par les États membres, mais peuvent l’être mieux au niveau de l’Union.

4. En matière de protection des données à caractère personnel, le législateur européen a considéré qu’un cadre harmonisé était indispensable pour garantir un niveau de protection équivalent dans tous les États membres et assurer la libre circulation des données au sein du marché intérieur. C’est ce qui justifie que le RGPD prenne la forme d’un règlement – d’application directe – et non plus d’une directive transposée de manière hétérogène.

Principe de proportionnalité : un RGPD qui « n’excède pas ce qui est nécessaire »

5. Le considérant rappelle aussi le principe de proportionnalité, toujours à l’article 5 du traité sur l’Union européenne. Le RGPD « n’excède pas ce qui est nécessaire pour atteindre ses objectifs ». Concrètement, cela signifie que :

6. D’une part, le législateur européen doit démontrer que les règles imposées sont adaptées pour protéger les libertés et droits fondamentaux et la vie privée des personnes, sans aller au‑delà de ce qui est requis.

7. D’autre part, ce principe irrigue aussi les obligations pesant sur le responsable du traitement : les mesures de conformité qu’il met en œuvre (techniques, organisationnelles, contractuelles) doivent être adaptées, nécessaires et proportionnées aux risques présentés par les traitements.

8. Dans l’analyse de conformité par la CNIL, la proportionnalité est un critère central : adéquation des finalités, limitation de la collecte, durée de conservation, étendue des destinataires, niveau de sécurité, tout doit être justifié au regard de la nécessité.

Abrogation de la directive 95/46/CE et continuité juridique (considérant 171)

9. Le considérant (171) précise que la directive 95/46/CE est abrogée par le RGPD. Toutefois, pour assurer une transition ordonnée :

10. Les traitements déjà en cours à la date d’application du RGPD doivent être mis en conformité avec le règlement dans un délai de deux ans après son entrée en vigueur (c’est la période transitoire prévue par le texte). Cette disposition a permis aux organisations d’adapter progressivement leurs processus, registres, contrats et politiques internes.

11. Lorsqu’un traitement est fondé sur un consentement donné sous l’empire de la directive 95/46/CE, le RGPD prévoit qu’il n’est pas nécessaire de recueillir à nouveau ce consentement, à condition que :

12. La manière dont ce consentement a été obtenu soit déjà conforme aux conditions énoncées par le RGPD (libre, spécifique, éclairé et univoque). Si le consentement antérieur ne répondait pas à ces exigences élevées, une nouvelle collecte conforme doit être organisée.

13. Les décisions de la Commission européenne adoptées sur le fondement de la directive 95/46/CE (par exemple, les décisions d’adéquation pour les transferts internationaux) et les autorisations accordées par les autorités de contrôle – comme la CNIL – demeurent en vigueur tant qu’elles ne sont pas modifiées, remplacées ou abrogées. Les acteurs ne partent donc pas d’une « feuille blanche », mais doivent vérifier si ces décisions restent compatibles avec le RGPD.

Rôle du Contrôleur européen de la protection des données (considérant 172)

14. Le considérant (172) rappelle que le Contrôleur européen de la protection des données (CEPD au sens institutionnel, à ne pas confondre avec le Comité européen de la protection des données) a été consulté conformément à l’article 28, paragraphe 2, du règlement (CE) n° 45/2001 et a rendu un avis le 7 mars 2012.

15. Cette consultation illustre la logique de cohérence du cadre européen de protection des données : même si le RGPD vise principalement les responsables et sous‑traitants du secteur privé et public dans les États membres, il doit rester aligné avec les règles applicables aux institutions et organes de l’Union.

16. Pour les organisations, cette cohérence se traduit notamment par la convergence progressive des lignes directrices, des recommandations et de la pratique décisionnelle au niveau de l’Union, sous l’impulsion du Comité européen de la protection des données (CEPD) qui succède au G29.

Articulation du RGPD avec la directive 2002/58/CE (e‑Privacy) (considérant 173)

17. Le considérant (173) précise que le RGPD s’applique à tous les aspects de la protection des libertés et droits fondamentaux à l’égard du traitement des données à caractère personnel qui ne sont pas soumis à des obligations spécifiques ayant le même objectif énoncées dans la directive 2002/58/CE du Parlement européen et du Conseil.

18. La directive 2002/58/CE, souvent appelée « directive e‑Privacy », vise notamment les communications électroniques, les métadonnées, la confidentialité des communications et l’utilisation de certains traceurs. Elle complète et précise le RGPD dans ce champ spécifique.

19. Pour clarifier la relation entre les deux textes, le considérant prévoit que la directive 2002/58/CE doit être modifiée en conséquence, puis réexaminée après l’adoption du RGPD, afin d’assurer la cohérence entre les deux instruments. La pratique décisionnelle de la CNIL prend largement en compte ce double cadre réglementaire.

20. En pratique, le responsable du traitement doit donc articuler :

21. Les règles générales du RGPD (bases légales, droits des personnes, sécurité, documentation) ;

22. Avec les règles spécifiques de la directive 2002/58/CE (telles que transposées en droit national) en matière de cookies, de prospection électronique, de conservation des données de communication, etc.

Champ matériel : protection des libertés et droits fondamentaux

23. Le RGPD vise la protection des libertés et droits fondamentaux et, en particulier, du droit à la protection des données à caractère personnel. Le texte ne se limite pas à la seule notion de vie privée, mais englobe l’ensemble des impacts potentiels du traitement de données sur la personne (discrimination, profilage, atteinte à la réputation, sécurité, etc.).

24. Le considérant (173) souligne que les obligations incombant au responsable du traitement et les droits des personnes physiques constituent le cœur du dispositif. Toute analyse de conformité doit donc, d’une part, vérifier la mise en œuvre effective de ces obligations, et, d’autre part, apprécier la réalité des garanties offertes aux personnes concernées.

Responsable du traitement : obligations structurantes de conformité

25. Le responsable du traitement a la charge de s’assurer que chaque opération impliquant des données à caractère personnel respecte le RGPD et les exigences nationales complémentaires. Les obligations clés, dans une optique d’éviter les sanctions, incluent notamment :

26. Définir des finalités déterminées, explicites et légitimes, en cohérence avec le principe de proportionnalité : seules les données strictement nécessaires aux finalités déclarées doivent être collectées et traitées.

27. Identifier une base légale appropriée (exécution d’un contrat, obligation légale, intérêt légitime, consentement, mission d’intérêt public, sauvegarde des intérêts vitaux) et vérifier que ses conditions sont effectivement réunies.

28. Mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté aux risques (contrôles d’accès, chiffrement, pseudonymisation, sauvegardes, procédures de gestion des incidents, etc.).

29. Tenir un registre des activités de traitement documentant finalités, catégories de données, catégories de personnes, destinataires, transferts, durées de conservation, mesures de sécurité, etc.

30. Intégrer la protection des données dès la conception et par défaut dans les projets, en veillant à limiter les données, les accès et les durées de conservation au strict nécessaire.

31. Encadrer les relations avec les sous‑traitants par des contrats conformes au RGPD, précisant les instructions, les mesures de sécurité, les droits d’audit, la gestion des violations de données, la confidentialité, etc.

32. Déclarer et documenter les violations de données à caractère personnel, et, le cas échéant, informer la CNIL et les personnes concernées dans les délais prévus.

Droits des personnes physiques : un levier central pour la CNIL

33. Le RGPD consacre de manière détaillée les droits des personnes physiques à l’égard des données à caractère personnel les concernant : droit d’accès, de rectification, d’effacement, de limitation, d’opposition, droit à la portabilité, droits liés à la prise de décision automatisée, etc.

34. Le considérant (173) insiste sur le fait que le RGPD couvre les droits non régis par des obligations spécifiques de la directive 2002/58/CE. Ainsi, l’organisation doit :

35. Mettre en place des procédures opérationnelles pour traiter les demandes d’exercice des droits dans les délais ;

36. Informer les personnes de manière claire et transparente sur les traitements ;

37. Évaluer l’impact pour les libertés et droits fondamentaux avant de déployer des traitements susceptibles de comporter des risques élevés (par exemple au moyen d’analyses d’impact).

38. Les manquements répétés ou systématiques aux droits des personnes sont, dans la pratique, un facteur aggravant important dans l’appréciation des sanctions par la CNIL.

Mesures de conformité CNIL et RGPD : éviter les sanctions par la preuve

39. Le RGPD repose sur la logique d’accountability : le responsable du traitement doit être en mesure de démontrer à tout moment sa conformité, notamment lors d’un contrôle ou d’une enquête de la CNIL.

40. Pour éviter les sanctions grâce aux mesures de conformité, plusieurs axes se dégagent de la pratique de la CNIL et des lignes directrices du Comité européen de la protection des données :

41. Gouvernance : désigner un délégué à la protection des données (DPO) lorsque cela est obligatoire ou pertinent ; lui donner les moyens d’agir et d’être associé en amont à tous les projets impliquant des données à caractère personnel.

42. Cartographie : réaliser un inventaire précis des traitements, en identifiant pour chacun les données à caractère personnel traitées, les finalités, les bases légales, les destinataires, les transferts, ainsi que les mesures de sécurité.

43. Documentation : constituer un corpus documentaire de conformité (registre, politiques internes, modèles d’information, procédures d’exercice des droits, clauses contractuelles types, preuves des consentements, analyses d’impact, etc.).

44. Approche par les risques : analyser les libertés et droits fondamentaux susceptibles d’être affectés par les traitements, mettre en œuvre des mesures proportionnées et, en cas de risque élevé, réaliser une analyse d’impact relative à la protection des données.

45. Formation et sensibilisation : former régulièrement les équipes qui manipulent des données à caractère personnel afin de réduire les erreurs humaines, souvent à l’origine des violations de données.

46. Contrôles internes : organiser des audits ou revues périodiques de conformité, corriger les écarts, renforcer les mesures techniques et organisationnelles lorsque les risques, les technologies ou les usages évoluent.

47. Relation avec la CNIL : anticiper les points de vigilance de l’autorité (transparence, sécurité, transferts, suivi des personnes, profilage), suivre les recommandations et lignes directrices publiées, et, le cas échéant, coopérer activement en cas de contrôle.

Sanctions RGPD et rôle de la CNIL

48. La CNIL dispose, dans le cadre du RGPD, d’un large éventail de mesures correctrices : avertissements, mises en demeure, limitation ou interdiction temporaire ou définitive de certains traitements, injonctions de se conformer, mais aussi amendes administratives pouvant atteindre, selon les cas, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

49. L’ampleur des sanctions encourues accentue l’importance d’une démarche structurée de conformité. Toutefois, la CNIL prend en compte, dans son appréciation, la nature, la gravité et la durée de la violation, le caractère intentionnel ou non, les mesures prises pour atténuer le dommage, le degré de responsabilité du responsable du traitement, les catégories de données concernées et le niveau de coopération avec l’autorité.

50. Une politique de mesures de conformité robuste, documentée et proportionnée, en adéquation avec le principe de subsidiarité et le principe de proportionnalité, contribue ainsi à limiter significativement le risque de sanctions lourdes, voire à transformer un contrôle en simple recommandation corrective.

Pour en savoir plus

51. Texte du règlement général sur la protection des données et ressources de la CNIL : https://www.cnil.fr/fr/reglement-europeen-protection-donnees