RGPD : le guide pratique de référence pour les organisations

L’essentiel en 2 minutes

Le règlement général sur la protection des données encadre l’utilisation des informations concernant les personnes. À chaque étape, posez quatre questions : pourquoi ces données sont-elles nécessaires, quelle base autorise leur utilisation, qui peut y accéder et quand seront-elles supprimées ? La sécurité contribue à la réponse, mais ne remplace pas les autres obligations.

Pour une PME, commencez par les clients, salariés et fournisseurs. Identifiez les finalités et bases légales, informez les personnes, limitez les accès, définissez la conservation et vérifiez les prestataires. Préparez les demandes de droits et les incidents avant la première urgence. Tout traitement ne nécessite pas un consentement, toute entreprise n’a pas besoin d’un DPO et tout hébergement ne doit pas être européen.

Ce guide s’adresse aux dirigeants, équipes TI, développeurs et propriétaires de sites. Dernière vérification des sources : 4 novembre 2026. Son contenu informatif doit être adapté à chaque organisation ; il n’a pas fait l’objet d’une validation juridique professionnelle. Les articles cités indiquent des obligations ; les textes des autorités précisent leur interprétation ; nos méthodes et échéances de projet constituent des bonnes pratiques proposées.

Sommaire

À qui et à quoi s’applique le RGPD ?

Le règlement (UE) 2016/679 a été adopté le 27 avril 2016, est entré en vigueur le 24 mai 2016 et s’applique depuis le 25 mai 2018. Il protège les droits fondamentaux et organise la circulation des données avec des garanties communes. Le cadre s’applique aussi dans l’EEE selon ses mécanismes propres. Les règles nationales restent importantes, notamment pour l’emploi, les enfants et la prospection.

L’article 2 couvre les traitements automatisés et les données manuelles contenues ou appelées à figurer dans un fichier. Un classement papier structuré de candidatures peut donc être concerné. L’activité strictement personnelle ou domestique bénéficie d’une exclusion ; une entreprise ne peut pas l’invoquer pour ses clients. D’autres exclusions visent notamment certaines activités hors du droit de l’Union et certains traitements répressifs soumis à des textes distincts.

L’article 3 vise les traitements réalisés dans le cadre des activités d’un établissement dans l’Union, même si les opérations se déroulent ailleurs. Un organisme extérieur peut aussi être concerné lorsqu’il propose des biens ou services, gratuits compris, à des personnes dans l’Union ou y suit leur comportement. La simple accessibilité d’un site ne démontre pas nécessairement ce ciblage. Examinez ensemble les livraisons proposées, devises, langues et publicités.

La citoyenneté n’est pas le critère. Un visiteur américain présent dans l’Union peut être protégé ; un citoyen européen vivant ailleurs ne soumet pas automatiquement toute transaction étrangère au RGPD. Indépendants, associations, PME et organismes publics peuvent avoir des obligations. Analysez chaque activité avant de conclure à une exemption globale. Articles 2 et 3.

Reconnaître les données personnelles et sensibles

Une donnée personnelle se rapporte à une personne physique identifiée ou identifiable. Nom, adresse professionnelle nominative, numéro client, localisation et adresse IP peuvent en être. Une information sur une société peut identifier son entrepreneur individuel ou son interlocuteur. La possibilité de croiser plusieurs sources raisonnablement accessibles suffit parfois à rendre une personne identifiable.

L’article 9 protège particulièrement l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l’appartenance syndicale, les données génétiques, biométriques utilisées pour identifier une personne de manière unique, de santé, de vie sexuelle ou d’orientation sexuelle. Il faut normalement une base de l’article 6 et une exception de l’article 9. Une photographie ordinaire n’est pas automatiquement une donnée biométrique sensible. Les condamnations et infractions relèvent de l’article 10 : contrôle d’une autorité publique ou autorisation légale assortie de garanties.

La pseudonymisation remplace par exemple le nom par un code salarié, avec une table de correspondance protégée. Les données restent personnelles. Hacher une adresse courriel ne garantit pas l’anonymat si elle reste devinable ou appariable. L’anonymisation suppose que l’identification ne soit plus raisonnablement possible, en considérant les moyens, coûts, délais et technologies disponibles.

Développeurs : examinez aussi les exports, journaux, événements analytiques et pièces jointes du support. Une adresse courriel dans une URL peut circuler dans les journaux et référents. Privilégiez des données de test synthétiques et supprimez les identifiants inutiles à la source. Ce sont des moyens pratiques de minimisation, et non des prescriptions techniques universelles. Article 4, articles 9–10 et considérant 26.

Responsable, sous-traitant, DPO et représentant

Le responsable du traitement décide des finalités et moyens essentiels. Le sous-traitant agit pour son compte, selon ses instructions. Une boutique est généralement responsable de ses commandes ; son hébergeur contractuel peut être sous-traitant. Un prestataire peut aussi être responsable de sa propre facturation ou prévention de fraude. L’étiquette du contrat ne remplace pas l’analyse des décisions réelles.

Les responsables conjoints déterminent ensemble finalités et moyens. L’article 26 impose de répartir les obligations de façon transparente et de rendre accessibles les grandes lignes de l’accord. La personne conserve la possibilité d’exercer ses droits auprès de chacun. Un sous-traitant qui décide d’utiliser des données à ses propres fins peut devenir responsable pour cet usage. Qualifiez chaque flux plutôt que toute une entreprise une fois pour toutes.

Le DPO, ou délégué à la protection des données, est obligatoire pour les autorités et organismes publics, sauf juridictions agissant dans leur fonction juridictionnelle, ainsi que lorsque les activités de base impliquent un suivi régulier et systématique à grande échelle ou un traitement à grande échelle des données des articles 9 ou 10. Le droit national peut ajouter des cas. Il conseille, contrôle et coopère avec l’autorité ; la direction conserve sa responsabilité. Prévoyez indépendance, moyens, accès à la direction et absence de conflit d’intérêts. Une fonction externe ou mutualisée est possible sous conditions.

L’organisme relevant de l’article 3(2) doit généralement désigner un représentant dans l’Union. L’exception de l’article 27 est étroite : traitement occasionnel, sans traitement à grande échelle de données sensibles ou pénales, et peu susceptible d’engendrer un risque ; les autorités publiques disposent d’une exception distincte. Le représentant n’est pas un DPO. Une personne peut déposer une plainte notamment auprès de l’autorité de sa résidence habituelle, de son travail ou du lieu de la violation alléguée. Articles 26–29, 37–39 et 77.

Principes et six bases légales

L’article 5 impose licéité, loyauté, transparence, finalités déterminées, minimisation, exactitude, conservation limitée et sécurité appropriée. La responsabilité démontrable consiste à prouver leur application. Un tableau de décisions effectivement suivi vaut davantage qu’une politique élégante ignorée des équipes. L’analyse doit précéder la collecte et porter sur chaque finalité.

La nécessité contractuelle est restrictive : inscrire une publicité comportementale dans les conditions générales ne la rend pas nécessaire à la livraison d’un produit. Une obligation légale suppose une règle applicable, pas une politique interne. La mission d’intérêt public exige un fondement juridique. Les autorités publiques ne peuvent pas invoquer l’intérêt légitime pour l’exécution de leurs missions. Articles 5 et 6.

Pour l’intérêt légitime, documentez l’objectif précis, la nécessité du traitement et la mise en balance avec les attentes, droits et effets pour les personnes. Étudiez les solutions moins intrusives et les garanties, surtout pour les enfants et personnes vulnérables. Des journaux de sécurité limités et protégés se justifient plus facilement qu’une surveillance permanente de toute activité salariée. L’acronyme LIA désigne souvent cette analyse ; il ne remplace pas le raisonnement.

Écrivez par exemple : « Nous conservons l’identité de facturation pour satisfaire l’obligation comptable applicable ; les préférences marketing sont gérées séparément. » Plusieurs finalités peuvent avoir des bases différentes. Ne remplacez pas discrètement le consentement retiré par l’intérêt légitime pour poursuivre exactement le même usage.

Consentement, enfants et conservation

Le consentement doit être libre, spécifique, éclairé et univoque, exprimé par un acte positif. Le silence, les cases précochées et l’acceptation globale de conditions ne suffisent pas. Distinguez les usages facultatifs, expliquez l’identité du responsable et les objectifs, conservez la preuve du choix et rendez le retrait aussi simple que l’accord. Le retrait n’annule pas rétroactivement les traitements licites. Certaines situations, dont des exceptions de l’article 9, exigent un consentement explicite.

Dans l’emploi, le lien de dépendance peut empêcher un choix libre. Évitez aussi de conditionner un service à des autorisations inutiles. La preuve doit rester proportionnée : ne constituez pas un nouveau dossier d’identité pour chaque abonnement. Un enregistrement utile contient la version de l’information, la finalité, la date, le canal et l’état du retrait. Articles 4(11), 7 et 9.

L’article 8 fixe par défaut 16 ans pour les services de la société de l’information proposés directement aux enfants et fondés sur le consentement ; les États peuvent descendre jusqu’à 13 ans. La France retient 15 ans dans ce cadre, avec un accord conjoint de l’enfant et du titulaire de l’autorité parentale en dessous. L’Espagne fixe son seuil national à 14 ans. Ces seuils ne régissent pas universellement tout contrat ou traitement. Vérifiez pays, service, base et moyens proportionnés de contrôle de l’âge et de l’autorité parentale. Commission, CNIL, AEPD.

Il n’existe pas de durée RGPD unique. Définissez une phase active, un éventuel archivage restreint pour les obligations ou contentieux, puis la suppression ou l’anonymisation. Vérifiez les règles fiscales, sociales et de prescription applicables. Consignez déclencheur, durée, justification, responsable et méthode. La fermeture d’un compte peut supprimer le profil tout en conservant légalement certaines factures, avec accès limité. Incluez exports et sauvegardes, et empêchez une restauration de réactiver des données supprimées.

Droits, exceptions et délais de réponse

L’information doit expliquer clairement finalités, bases, destinataires, transferts, conservation, droits et contacts. Les articles 13 et 14 distinguent collecte directe et indirecte. Dans ce dernier cas, l’information intervient généralement dans un délai raisonnable ne dépassant pas un mois, ou plus tôt lors du premier contact ou de la première communication à un tiers, sous réserve des exceptions prévues.

L’accès comprend confirmation, copie des données et informations de contexte. La rectification corrige les erreurs. L’effacement répond à des motifs définis ; obligations légales, expression, intérêt public ou défense de droits peuvent justifier des exceptions. La limitation permet de préserver les données pendant l’examen d’un différend. Informez les destinataires des rectifications, effacements ou limitations, sauf impossibilité ou effort disproportionné, et identifiez-les à la demande.

La portabilité concerne les données fournies par la personne, traitées automatiquement sur consentement ou contrat, dans un format structuré, courant et lisible par machine. Elle ne couvre pas toute analyse interne ou archive papier. L’opposition vise notamment l’intérêt légitime et la mission publique selon leurs conditions. L’opposition à la prospection impose d’arrêter cet usage, y compris le profilage associé.

Répondez sans retard injustifié et dans un mois. La complexité ou le nombre de demandes peut justifier deux mois supplémentaires, mais il faut prévenir dans le premier mois et motiver. Les demandes sont normalement gratuites ; une demande manifestement infondée ou excessive peut justifier des frais raisonnables ou un refus, à démontrer par le responsable. Demandez une preuve d’identité seulement en cas de doute raisonnable et de façon proportionnée. Motivez les refus et indiquez les recours. Articles 12–21.

L’article 22 encadre les décisions exclusivement automatisées produisant un effet juridique ou similaire significatif. Des exceptions existent pour nécessité contractuelle, autorisation légale ou consentement explicite, avec garanties ; les données sensibles font l’objet de restrictions supplémentaires. Selon le cas, expliquez utilement la logique et permettez intervention humaine, expression du point de vue et contestation. Une personne qui valide mécaniquement un score sans pouvoir le réexaminer n’apporte pas une garantie suffisante.

Exemple : accès aux données et suppression du compte

Un client écrit : « Envoyez mes données et fermez mon compte. » Enregistrez deux demandes, leur réception et l’échéance, puis accusez réception. Vérifiez si possible l’identité par un canal déjà authentifié. N’exigez pas systématiquement un passeport. Une précision peut être utile, mais elle ne doit pas devenir un obstacle ni être considérée comme suspendant automatiquement le délai légal.

Recherchez les données dans les comptes, commandes, CRM, tickets de support, outils marketing et chez les sous-traitants concernés. Demandez aux responsables les données et explications nécessaires. Protégez les droits des tiers : masquez les éléments étrangers à la demande lorsque c’est justifié plutôt que de refuser tout accès. Un export accompagné d’explications vaut mieux qu’une collection de tables incompréhensibles.

Effacez ce qui n’a plus de fondement, arrêtez la prospection et expliquez les documents conservés, leur base, les accès et la durée. Une liste minimale d’opposition peut être nécessaire pour ne pas réinscrire la personne. Organisez l’expiration des sauvegardes et la réapplication des suppressions après restauration. Transmettez la copie de façon sûre dans le délai applicable et décrivez les actions réalisées.

Clôturez avec les preuves des recherches, décisions, instructions aux prestataires et transmission. Si un système oublié a retardé la réponse, corrigez le processus. L’objectif est une prise en charge répétable, pas une enquête d’identité complexe pour chaque demande simple. Cet exemple est une méthode proposée pour appliquer les obligations, et non une procédure universelle imposée dans tous ses détails.

Construire une démarche proportionnée

Cartographiez les activités, pas seulement les logiciels. Pour chaque finalité, indiquez personnes, données, source, destinataires, stockage, accès, base, conservation et transferts. « Sélection des candidats » est une activité ; la plateforme de recrutement est un outil qui y contribue. Incluez papier, espaces partagés, comptes professionnels personnels et accès du support fournisseur.

Le registre de l’article 30 contient des informations prescrites pour les responsables et, séparément, les sous-traitants. L’exception sous 250 personnes est limitée : elle ne couvre pas les traitements non occasionnels, susceptibles de présenter un risque ou portant sur des données des articles 9 ou 10. La paie régulière et la gestion client empêchent souvent de qualifier le traitement d’occasionnel. Un faible effectif ne dispense jamais de tout le règlement.

Rédigez une information à plusieurs niveaux fidèle aux pratiques. Une mention courte au formulaire expose les éléments essentiels et renvoie aux détails ; un modèle citant des outils inutilisés trompe le lecteur. Nommez une personne qui surveille le contact prévu, avec remplacement en cas d’absence. Formez support, RH, marketing et développement sur leurs décisions concrètes, au-delà d’une présentation annuelle identique pour tous.

Le contrat de l’article 28 encadre instructions, confidentialité, sécurité, assistance, sous-traitants ultérieurs, restitution ou suppression et informations d’audit. Vérifiez les garanties avant de choisir, puis suivez-les. La sous-traitance ultérieure nécessite une autorisation écrite spécifique ou générale ; dans ce dernier cas, les changements doivent être annoncés pour permettre une objection. L’expression « prêt pour le RGPD » sur une page commerciale ne répond pas à ces exigences. Articles 24, 28 et 30.

Conception, analyse d’impact et sécurité

L’article 25 intègre la protection dès la conception et par défaut. Formulaire minimal, profil public désactivé, journaux conservés peu longtemps, accès par rôle et suppression fonctionnelle sont des exemples. Avant une fonctionnalité, demandez si moins de champs ou un calcul local suffisent. Examinez télémétrie et rapports d’erreurs : leur utilité technique ne supprime ni base légale ni information.

Une analyse d’impact relative à la protection des données, ou AIPD, est obligatoire avant un traitement susceptible d’engendrer un risque élevé. L’article 35 cite notamment certaines évaluations automatisées approfondies, le traitement à grande échelle de données sensibles et la surveillance systématique à grande échelle de lieux publics. Consultez les listes de l’autorité compétente. Toute nouvelle base de données n’exige pas une AIPD, mais documentez le raisonnement du filtrage initial.

Une AIPD utile décrit l’activité, apprécie nécessité et proportionnalité, évalue les risques pour les personnes et affecte les mesures à des responsables. Sollicitez l’avis du DPO s’il existe. Un risque résiduel élevé malgré les mesures nécessite la consultation préalable de l’autorité selon l’article 36. Remplir un formulaire sans corriger une conception dangereuse n’atteint pas l’objectif.

L’article 32 impose une sécurité adaptée au risque, au contexte, à l’état des connaissances et aux coûts. Mots de passe uniques, MFA ou clés d’accès, moindre privilège, départs maîtrisés, chiffrement, hachage sécurisé, sauvegardes testées, correctifs et surveillance sont des options pratiques. Testez aussi le rétablissement. Ce sont des moyens, pas une liste juridique universelle. Le guide 2FA et le générateur de politique de mots de passe soutiennent cette démarche ; ils ne certifient pas la conformité.

Sites, cookies, prospection et commerce électronique

Le RGPD encadre les traitements personnels ; les règles nationales issues d’ePrivacy encadrent aussi l’écriture et la lecture sur les terminaux et les communications électroniques. Un traceur peut nécessiter un consentement avant même de discuter du caractère personnel de son contenu. Les technologies strictement nécessaires peuvent être exemptées selon les règles applicables ; financer le site par la publicité ne rend pas les traceurs publicitaires nécessaires.

Bloquez les traceurs non exemptés avant le choix, expliquez objectifs et destinataires, permettez un refus réel et un retrait ultérieur. Contrôlez les chargements effectifs : vidéos intégrées, messagerie, widgets et transmission côté serveur. Un bouton de refus qui laisse la publicité communiquer ne résout rien. Certaines mesures d’audience bénéficient d’exemptions nationales étroites et conditionnelles ; le mot « statistiques » ne suffit pas. CNIL.

Sur les formulaires, limitez les champs à la tâche annoncée. L’adresse de livraison sert à une commande, pas nécessairement à une infolettre. Séparez messages transactionnels et promotionnels. En France, le courriel commercial aux particuliers nécessite généralement un consentement préalable, avec une exception encadrée pour des clients et offres similaires. Créer un compte ne suffit pas. La prospection professionnelle peut suivre d’autres conditions si elle concerne la profession, avec information et opposition facile. Vérifiez séparément les autres pays et canaux. CNIL.

Le commerçant distingue livraison, comptabilité, assistance et marketing, réduit l’exposition des données de paiement et contrôle ses extensions. Conservez les preuves utiles et une liste d’opposition pour éviter les réimportations. Politique de confidentialité, conditions de vente et gestion des cookies remplissent des fonctions différentes. HTTPS protège le transport ; il ne démontre ni la licéité de la collecte ni celle de la conservation ou prospection.

Cloud, SaaS et intelligence artificielle générative

Avant un CRM, espace collaboratif ou service cloud, identifiez l’entité contractante, les lieux de stockage et de support, les sous-traitants ultérieurs, contrôles d’accès, durées, assistance aux incidents et possibilités de sortie. Vérifiez les paramètres réels. Une région de stockage européenne n’exclut pas un accès depuis un pays tiers. L’organisation reste responsable de son choix et de sa configuration.

Insérer un ticket client ou CV réel dans une requête à une IA peut transmettre des données à une autre organisation. Déterminez rôles et bases, minimisez l’entrée, examinez les données sensibles, informez sur les usages pertinents et contrôlez les transferts. Vérifiez entraînement, conservation des conversations et journaux, revue humaine et portée de la suppression. Désactiver l’entraînement ne règle qu’une partie du problème.

Une bonne pratique interne consiste à approuver des outils et catégories de données, fournir des exemples synthétiques et prévoir une demande d’exception. Retirez les identifiants et rappelez qu’un diagnostic rare ou parcours détaillé peut identifier sans nom. Protégez aussi les sorties générées : un résumé peut conserver les informations sensibles du document d’origine.

L’avis 28/2024 du CEPD examine modèles, anonymat et intérêt légitime au cas par cas ; il s’agit d’une interprétation de l’autorité, pas d’une autorisation générale d’entraînement sur le web. Des données publiques restent protégées. Examinez l’article 22 pour le recrutement automatisé et les décisions significatives. Vérifiez les résultats : une information personnelle inventée peut devenir un problème supplémentaire de droits et d’exactitude. Avis du CEPD.

Transferts internationaux : choisir le mécanisme

Le chapitre V n’impose pas de tout stocker en Europe. Identifiez d’abord le transfert, y compris certains accès distants par une entité distincte située dans un pays tiers, puis le mécanisme couvrant destinataire et usage. La base légale de l’article 6 et la garantie internationale répondent à deux questions différentes ; aucune ne remplace l’autre.

Une décision d’adéquation autorise les transferts couverts sans garanties de l’article 46. La liste de la Commission consultée comprend le cadre UE–États-Unis de protection des données, ou DPF, pour les organisations américaines participantes. Vérifiez l’inscription active de l’entité exacte et les données couvertes. Tous les prestataires américains ne sont pas inclus. L’adéquation du Canada possède un périmètre commercial précis ; elle ne vise pas automatiquement tout destinataire canadien. Liste de la Commission.

Sans adéquation applicable, l’article 46 prévoit notamment clauses contractuelles types, règles d’entreprise contraignantes et autres garanties autorisées. Choisissez les bons modules, évaluez droit et pratiques du pays tiers et ajoutez les mesures supplémentaires nécessaires. Une signature ne neutralise pas un régime d’accès incompatible. Si la protection adéquate reste impossible, ce dispositif ne permet pas de poursuivre le transfert.

Les dérogations de l’article 49 sont restrictives et ne constituent pas l’infrastructure normale des transferts récurrents. Un consentement explicite à un transfert risqué ne remplace pas commodément la stratégie fournisseur. Suivez décisions, statut des destinataires et accès dans le temps. L’ancien Privacy Shield n’est pas le DPF actuel. Datez vos vérifications et recommencez avant une nouvelle communication au lieu de vous fier indéfiniment à la date de ce guide.

Violations : registre, 72 heures et risque élevé

Une violation est un incident de sécurité entraînant destruction, perte, modification, divulgation ou accès non autorisé, accidentel ou illicite, à des données personnelles. Courriel de paie mal adressé, rançongiciel bloquant les dossiers ou ordinateur non chiffré perdu peuvent être concernés. Un pirate n’est pas nécessaire, et l’absence de vol démontré ne prouve pas l’absence de risque.

Contenez l’incident, préservez les preuves et évaluez les effets possibles. Consignez catégories de données, volumes approximatifs, personnes, exposition, protections et mesures correctrices. Toute violation doit être documentée, même si aucune notification n’est nécessaire, avec justification. Le sous-traitant informe le responsable sans retard injustifié ; il ne dispose pas simplement de 72 heures pour attendre.

Le responsable notifie l’autorité compétente sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si un risque pour les droits et libertés est improbable. Motivez un retard et transmettez progressivement les informations si nécessaire. Le rapport d’expertise final n’est pas un préalable à la première notification. Article 33.

Informez les personnes sans retard injustifié lorsqu’un risque élevé est probable, sous réserve des exceptions de l’article 34 : protection rendant les données inintelligibles ou mesures ultérieures supprimant ce risque, notamment. C’est une obligation et un seuil distincts, pas un courriel universel sous 72 heures. Expliquez clairement événement, conséquences, mesures et contact. N’envoyez pas un message demandant de révéler un mot de passe ou favorisant une nouvelle tentative d’hameçonnage.

Cinq cas pratiques et les preuves utiles

PME : une agence de douze personnes conserve paie, clients et pigistes dans des dossiers partagés. Elle cartographie les finalités, limite la paie aux personnes habilitées et retire les accès aux départs. Des traitements réguliers empêchent de déduire une dispense de registre du seul effectif. Conservez inventaire, revue des droits et décisions de conservation. Donnez un responsable métier à chaque activité plutôt que de confier toute question juridique au prestataire TI.

Commerce électronique : la boutique utilise adresse et contact pour livrer, puis conserve certaines factures au titre des obligations nationales. Elle distingue l’inscription facultative aux promotions, sous réserve des exceptions nationales, et bloque la publicité avant consentement. Gardez formulaire, version du texte, contrôle des traceurs et contrats. Le refus publicitaire doit permettre une commande ordinaire sans collecte inutile.

SaaS : une plateforme traite les espaces clients sur instructions mais décide de sa propre facturation. Elle sépare les rôles, fournit les clauses de l’article 28, suit ses sous-traitants et teste export et suppression par client. Les fonctions d’un produit peuvent nécessiter des analyses distinctes. Gardez cartographie des rôles, preuves de sécurité et analyse des transferts. Vérifiez qu’un export ne révèle pas les dossiers d’un autre client.

Recrutement : l’employeur limite l’accès aux CV et notes, informe les candidats et justifie la conservation. Un vivier futur exige une analyse distincte. Il évite la collecte médicale par défaut et examine AIPD et garanties de l’article 22 avant un classement automatisé. Gardez information, critères, durées et preuve qu’un réviseur peut réellement modifier une décision proposée.

Incident : un salarié envoie un fichier de salaires à une adresse externe erronée. L’équipe demande l’arrêt de l’utilisation et la suppression, vérifie les éléments disponibles, contient l’exposition et apprécie usurpation, confidentialité et conséquences professionnelles. Elle décide séparément selon les articles 33 et 34. Une assurance du destinataire est un indice, pas une preuve automatique de risque nul. Gardez chronologie, analyse, communications et corrections.

Sanctions, coûts et idées reçues

Les autorités peuvent enquêter, avertir, rappeler à l’ordre, imposer une mise en conformité, limiter un traitement et suspendre des transferts. L’article 83 prévoit selon les violations des plafonds de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, ou 20 millions ou 4 %, le montant le plus élevé étant retenu pour une entreprise. Ce sont des plafonds, pas des tarifs automatiques. Gravité, durée, intention, atténuation, coopération et antécédents comptent. La réparation de l’article 82 est distincte. Articles 58 et 82–83.

Aucun coût universel n’est crédible. Estimez temps de cartographie, notices, contrats, adaptations techniques, formation et demandes, puis conseil externe ou évaluations nécessaires. Prévoyez vérifications fournisseurs et exercices récurrents. Un document générique peu cher peut masquer une suppression qui ne fonctionne pas. Priorisez risques concrets et fondements manquants, au-delà du texte visible sur le site.

Idées reçues à abandonner : consentement pour tout ; exemption générale sous 250 salariés ; DPO partout ; citoyenneté comme critère territorial ; effacement absolu ; information de toutes les personnes sous 72 heures ; hébergement européen obligatoire ; bannière, certificat TLS ou score automatisé comme preuve complète. Chacune ignore des conditions essentielles exposées plus haut.

Autres régimes : le UK GDPR constitue un cadre distinct, avec évolutions britanniques et recommandations propres. Les lois fédérales et provinciales canadiennes et la législation québécoise modifiée par la Loi 25 ont leurs champs, droits et règles d’incident. La conformité à l’un ne démontre pas celle aux autres. Le guide Loi 25 apporte ce contexte ; identifiez les régimes applicables avant d’adapter un modèle européen.

Checklist et feuille de route adaptable à 30, 60 et 90 jours

• □ Champ et règles nationales identifiés
• □ Finalités, flux et registre de l’article 30 examinés
• □ Bases et conditions des articles 9/10 documentées
• □ Informations conformes aux systèmes et destinataires réels
• □ Conservation, export et effacement testés
• □ Contact droits, responsable et remplacement désignés
• □ Contrats et changements de sous-traitants vérifiés
• □ Mécanisme de transfert et statut du destinataire contrôlés
• □ Besoins de DPO, représentant et AIPD évalués
• □ Moindre privilège, MFA et reprise testés
• □ Refus des traceurs et de la prospection vérifié en pratique
• □ Usages IA approuvés avec limites d’entrée et conservation
• □ Registre des violations et décisions distinctes préparés
• □ Équipes formées et revues périodiques attribuées

Jours 1 à 30 : comprendre et contenir. Nommez un pilote, identifiez les lois, cartographiez activités et prestataires critiques, corrigez les accès exposés et préparez demandes et escalade d’incidents. Livrez un registre initial, des risques hiérarchisés et des responsables nommés. Ne reportez pas une urgence de sécurité ou un traitement illicite à la prochaine phase.

Jours 31 à 60 : aligner documents et fonctionnement. Documentez bases, informations, contrats et transferts ; appliquez conservation, corrections de traceurs et prospection ; filtrez les projets nécessitant une AIPD. Produisez la preuve d’un export ou effacement réel. Une promesse écrite de suppression ne suffit pas si l’outil ne la réalise pas.

Jours 61 à 90 : exercer et entretenir. Simulez demande et violation, testez restauration, formez les équipes et revoyez les fournisseurs. La direction attribue les ressources aux actions restantes. Prévoyez des déclencheurs de revue : nouveaux outils, finalités, acquisitions, lois et incidents. Ce cadre de projet n’est ni un délai de grâce juridique ni une garantie de conformité en trois mois.

Glossaire

Traitement : toute opération, stockage et suppression compris. Personne concernée : individu auquel les données se rapportent. Responsable : décideur des finalités et moyens essentiels. Sous-traitant : acteur agissant pour son compte. Responsables conjoints : acteurs décidant ensemble. DPO : fonction indépendante de conseil et contrôle lorsqu’elle est désignée. Représentant UE : contact de l’article 27, distinct du DPO. AIPD : analyse des risques élevés et des mesures. CCT : clauses contractuelles types pour certains transferts. Pseudonymisation : séparation de l’identité avec informations complémentaires. Anonymisation : suppression de l’identifiabilité raisonnable. Violation : atteinte à la confidentialité, intégrité ou disponibilité des données.

FAQ regroupée par thème

Champ et responsabilités

Un indépendant a-t-il des obligations ?

Oui, si ses traitements sont concernés. Sa taille ne supprime pas la nécessité d’une base, d’une information et d’une sécurité adaptées. Voir la section.

Les associations sont-elles exemptées ?

Pas généralement. Adhérents, dons et bénévoles nécessitent une analyse, y compris des données sensibles éventuellement concernées. Voir la section.

Tout site étranger est-il concerné ?

Non. Examinez établissement, offre aux personnes dans l’Union et suivi de comportement ; l’accessibilité seule ne tranche pas. Voir la section.

Une adresse IP est-elle personnelle ?

Elle peut l’être lorsqu’elle concerne une personne identifiable. Le contexte et les moyens d’identification disponibles comptent. Voir la section.

Hacher un courriel suffit-il à anonymiser ?

Non nécessairement. Un identifiant devinable ou appariable reste potentiellement personnel ; pseudonymiser n’est pas anonymiser. Voir la section.

Le DPO est-il toujours obligatoire ?

Non. Appliquez l’article 37 et le droit national ; attribuez malgré tout les tâches opérationnelles lorsqu’aucun DPO n’est requis. Voir la section.

Le prestataire TI peut-il devenir DPO ?

Parfois, sous réserve de compétence, indépendance, moyens et conflits. Administrer un système peut entrer en conflit avec le contrôle de ces décisions. Voir la section.

Le représentant remplace-t-il le DPO ?

Non. Le représentant de l’article 27 est un contact désigné dans l’Union ; le DPO conseille et contrôle selon un autre régime. Voir la section.

Licéité et conservation

Faut-il consentir à chaque facture ?

Pas généralement. Une obligation applicable peut fonder la conservation comptable ; la prospection facultative est une finalité distincte. Voir la section.

Une case précochée est-elle valable ?

Non pour établir un consentement. Il faut un acte positif et les autres conditions, notamment liberté et information réelle. Voir la section.

L’intérêt légitime autorise-t-il tout ?

Non. Il faut objectif légitime, nécessité et balance favorable ; des règles distinctes peuvent néanmoins imposer un consentement. Voir la section.

L’âge des enfants est-il uniforme ?

Non. L’article 8 permet de 13 à 16 ans selon le pays dans son contexte précis ; autres lois et bases demandent une analyse séparée. Voir la section.

Combien de temps garder un dossier client ?

Le temps justifié par finalité, avec les obligations nationales applicables. Documentez les durées et vérifiez l’effacement effectif. Voir la section.

Peut-on réutiliser librement des données publiques ?

Non. Un profil public peut rester personnel. La nouvelle finalité exige sa propre analyse de licéité et de loyauté. Voir la section.

Droits des personnes

L’effacement est-il inconditionnel ?

Non. Des obligations et exceptions de l’article 17 peuvent justifier une conservation. Expliquez le motif et limitez l’usage restant. Voir la section.

Dispose-t-on de trente jours pour répondre ?

La règle est un mois, sans retard injustifié. Une prolongation exige conditions et information dans le délai initial. Voir la section.

Faut-il toujours une pièce d’identité ?

Non. Une preuve supplémentaire se justifie en cas de doute raisonnable, avec moyens proportionnés et canal authentifié si approprié. Voir la section.

L’accès donne-t-il tout document original ?

Le droit concerne données et contexte ; des documents peuvent être nécessaires à une copie intelligible, en protégeant les droits des tiers. Voir la section.

La portabilité comprend-elle tous les scores ?

Non. Elle vise certaines données fournies par la personne, traitées automatiquement sur consentement ou contrat, pas toute analyse interne. Voir la section.

Peut-on arrêter la prospection ?

Oui. L’opposition impose d’arrêter cet usage et le profilage associé ; une liste minimale justifiée peut préserver ce choix. Voir la section.

Sites et fournisseurs

La bannière cookies suffit-elle ?

Non. Comportement réel des traceurs, information, choix et traitements doivent respecter les règles ; la présence d’une bannière prouve peu. Voir la section.

Toute statistique est-elle exemptée ?

Non. Les conditions nationales et la configuration déterminent l’éventuelle exemption. Une réutilisation publicitaire peut l’exclure. Voir la section.

Un compte créé autorise-t-il une infolettre ?

Pas automatiquement. Vérifiez règles nationales et relation effective ; l’exception française des clients exige davantage qu’une inscription. Voir la section.

Les serveurs doivent-ils être européens ?

Non. Des transferts licites sont possibles avec un mécanisme du chapitre V, en respectant les autres obligations. Voir la section.

L’hébergement européen exclut-il les transferts ?

Pas forcément. Analysez entités de pays tiers, support et transferts ultérieurs, au-delà de la localisation du disque. Voir la section.

Peut-on envoyer des CV à une IA ?

Seulement après analyse de l’usage, des rôles, base, minimisation, sécurité et transferts. Une offre payante ou une publication préalable ne suffit pas. Voir la section.

Incidents et mise en œuvre

Tout incident doit-il être notifié ?

Toute violation personnelle doit être documentée ; notification à l’autorité sauf risque improbable. Toute panne TI n’est pas nécessairement une violation. Voir la section.

Faut-il prévenir tout le monde sous 72 heures ?

Non. Notification à l’autorité et information des personnes en risque élevé ont des seuils et temporalités différents. Voir la section.

L’amende est-elle toujours de 4 % ?

Non. Plusieurs plafonds et facteurs individuels existent, avec pouvoirs correctifs et éventuelle indemnisation distincte. Voir la section.

Le calendrier de 90 jours certifie-t-il la conformité ?

Non. Il structure priorités et preuves ; champ, risques et lacunes déterminent le travail, qui reste continu. Voir la section.

Sources, vérification et veille législative

Le règlement constitue la source juridique primaire. L’accès direct EUR-Lex a rencontré un contrôle automatisé pendant la recherche ; le texte a aussi été consulté sur le BOE, journal officiel espagnol. Le guide PME du CEPD relie les obligations au quotidien ; la CNIL apporte des précisions pratiques et nationales ; la Commission présente champ et transferts. Les recommandations des autorités ne remplacent ni le texte ni les décisions juridictionnelles contraignantes.

La comparaison a également porté sur GDPR.eu, site de vulgarisation non officiel, et IT Governance, dont le guide redirige désormais vers GRC Solutions. GDPR.eu facilite une première lecture, mais la page examinée confond la notification aux personnes avec le délai de 72 heures de l’autorité et simplifie excessivement les règles concernant les enfants. GRC aide à repérer des sujets de mise en œuvre, avec une orientation commerciale. Aucun ne fonde ici une obligation juridique. Cas, dossiers de décision et calendrier sont des outils éditoriaux originaux.

À la vérification, les dossiers parlementaires Omnibus IV et Digital Omnibus décrivent encore des procédures législatives en cours. Les allègements de registre et modifications des incidents annoncés ne doivent pas être appliqués sur la seule base d’une proposition. Ce guide retient donc les conditions existantes de l’article 30 et les 72 heures de l’article 33. Vérifiez dossiers et Journal officiel avant d’invoquer une réforme ; aucune date future d’adoption n’est établie ici. Omnibus IV, Digital Omnibus.

• Regulation (EU) 2016/679 — EUR-Lex
• Reglamento (UE) 2016/679 — BOE
• EDPB / CEPD — SME guide
• European Commission — Data protection
• CNIL — Comprendre le RGPD
• European Commission — Children
• CNIL — Consentement
• AEPD — Menores y consentimiento
• CNIL — Cookies et publicité
• CNIL — Prospection électronique
• EDPB / CEPD — Opinion 28/2024
• European Commission — Adequacy decisions
• European Parliament — 2025/0130(COD)
• European Parliament — 2025/0360(COD)
• GDPR.eu — What is GDPR?
• GRC Solutions — Data protection