Chapitre 8.5Le RGPD

Le 25 mai 2018, le RGPD (Règlement Général sur la Protection des Données), adopté deux ans plus tôt par l'Union européenne, devient applicable. C'est un séisme pour l'industrie du numérique, qui avait passé quinze ans à collecter des données sans se poser beaucoup de questions.

Le principe tient en une phrase. Toute organisation qui collecte, stocke ou traite des données personnelles doit pouvoir dire pourquoi elle le fait, sur quel fondement, pendant combien de temps, et le prouver. Ce n'est pas une simple formalité, les amendes peuvent monter jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial annuel, la plus élevée des deux valeurs étant retenue.

Ce chapitre vulgarise un texte juridique de quatre-vingt-dix-neuf articles. Il te donne les bons réflexes pour dialoguer avec ton équipe technique et ton juriste, il ne remplace évidemment ni l'un ni l'autre.

Qui est concerné ?

Beaucoup de monde pense que le RGPD ne vise que les entreprises européennes, ou seulement les grandes. C'est faux dans les deux cas.

Le règlement s'applique à toute organisation établie dans l'Union européenne, quel que soit l'endroit où les données sont hébergées. Il s'applique aussi aux organisations situées hors de l'Union dès lors qu'elles proposent des biens ou des services à des personnes se trouvant en Europe, ou qu'elles suivent leur comportement en ligne. C'est ce qui a permis de sanctionner des géants américains.

Il n'y a pas non plus de seuil de taille. Une association de quartier avec un fichier d'adhérents est concernée. Sa charge de conformité sera simplement bien plus légère que celle d'une plateforme de e-commerce.

Le texte distingue deux rôles, et cette distinction structure toute la conformité.

• Le responsable de traitement : celui qui décide pourquoi et comment les données sont utilisées. C'est en général ton entreprise.
• Le sous-traitant : celui qui traite les données pour le compte du premier, selon ses instructions. Ton hébergeur, ton outil d'emailing, ton CMS en mode service. Un contrat écrit encadrant ces traitements est obligatoire, et le sous-traitant a lui aussi des obligations propres.

Qu'est-ce qu'une donnée personnelle ?

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement.

• Évidentes : nom, prénom, email, numéro de téléphone, adresse postale, photo, numéro de client.
• Moins évidentes : adresse IP, identifiant de cookie, données de géolocalisation, historique de navigation, empreinte de navigateur. La justice européenne a confirmé que ces identifiants indirects entrent bien dans le champ du règlement.
• Particulières : santé, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle, origine ethnique, données biométriques et génétiques. Leur traitement est en principe interdit, sauf exceptions précises comme le consentement explicite de la personne.

La définition est volontairement large. En pratique, dès que tu peux remonter jusqu'à une personne, même en croisant plusieurs fichiers, tu manipules de la donnée personnelle. Une donnée réellement anonyme, dont personne ne peut plus retrouver l'origine, sort du champ du règlement. Attention, une donnée simplement pseudonymisée, où le nom a été remplacé par un identifiant conservé ailleurs, reste une donnée personnelle.

Les grands principes

Le règlement pose une poignée de principes qui s'appliquent à tout traitement.

• La licéité et la transparence : chaque traitement doit reposer sur un fondement juridique valable, et la personne doit être informée de façon claire de ce que tu fais de ses données.
• La finalité : les données ne peuvent servir qu'au but annoncé au moment de la collecte. Un email recueilli pour envoyer une facture ne peut pas alimenter une campagne marketing sans base juridique propre.
• La minimisation : ne collecter que ce qui est strictement nécessaire. Un site de vente de chaussures n'a pas besoin de ta date de naissance.
• L'exactitude : les données doivent être tenues à jour, et les données inexactes corrigées ou effacées.
• La limitation de conservation : rien ne se garde indéfiniment. Il faut fixer une durée par finalité, puis supprimer ou archiver à son terme.
• La sécurité : les données doivent être protégées contre les accès non autorisés, les fuites et les pertes, notamment par le chiffrement et un contrôle sérieux des accès.
• La responsabilité : c'est le principe qui change tout. Il ne suffit pas de respecter les règles, il faut être capable de démontrer qu'on les respecte, documents à l'appui.

Les bases légales

Voilà le contresens le plus répandu sur le RGPD. Non, le consentement n'est pas toujours obligatoire. Le règlement prévoit six fondements possibles, et le consentement n'est que l'un d'eux.

• Le consentement : un accord libre, spécifique, éclairé et univoque. Une case pré-cochée ou un silence ne valent pas consentement, et la personne doit pouvoir le retirer aussi facilement qu'elle l'a donné.
• L'exécution d'un contrat : tu as besoin de l'adresse du client pour lui livrer sa commande, personne n'a à donner son consentement pour ça.
• L'obligation légale : conserver les factures pendant la durée prévue par le code de commerce, par exemple.
• L'intérêt légitime : un intérêt réel de l'entreprise, mis en balance avec les droits des personnes, comme la lutte contre la fraude ou la sécurité du système d'information.
• La sauvegarde des intérêts vitaux et la mission d'intérêt public : deux fondements plus rares, réservés à des situations d'urgence ou au secteur public.

Le choix de la base légale n'est pas cosmétique, il détermine les droits de la personne. Le droit à la portabilité, par exemple, n'existe que pour les traitements fondés sur le consentement ou sur un contrat. Et on ne change pas de base légale en cours de route parce que la première s'avère gênante.

Les droits des utilisateurs

Le RGPD donne aux personnes des droits très concrets, exerçables gratuitement, auxquels il faut répondre dans un délai d'un mois, prolongeable si la demande est complexe.

• Droit à l'information : savoir, sans avoir rien à demander, qui collecte quoi, pourquoi et pour combien de temps. C'est le rôle de la politique de confidentialité.
• Droit d'accès : obtenir une copie des données détenues sur soi.
• Droit de rectification : faire corriger une information inexacte ou incomplète.
• Droit à l'effacement : le fameux droit à l'oubli. Il n'est pas absolu, une facture soumise à une obligation légale de conservation ne s'efface pas sur simple demande.
• Droit à la limitation : demander le gel d'un traitement pendant qu'une contestation est examinée.
• Droit d'opposition : s'opposer à un traitement, notamment à la prospection commerciale, où l'opposition est sans condition et doit être immédiate.
• Droit à la portabilité : récupérer ses données dans un format lisible par machine pour les transférer chez un concurrent.
• Droit face aux décisions automatisées : ne pas subir une décision produisant des effets juridiques prise sur le seul fondement d'un algorithme, comme un refus de crédit, sans intervention humaine possible.

Ces droits ont un impact technique direct et souvent sous-estimé. Il faut des systèmes capables de retrouver, d'exporter, de corriger et de supprimer toutes les données d'une personne, y compris dans les sauvegardes, les journaux techniques et les outils tiers. Quand l'information est éparpillée dans quinze systèmes, une simple demande d'effacement devient un projet.

Les obligations de l'entreprise

Côté organisation, quelques obligations reviennent systématiquement.

• Le registre des traitements : l'inventaire de tous les traitements de données, avec leur finalité, leur base légale, les destinataires et les durées de conservation. C'est le premier document que réclame l'autorité de contrôle.
• La protection dès la conception : penser la confidentialité au moment de concevoir la fonctionnalité, pas trois jours avant la mise en ligne, et retenir par défaut le réglage le plus protecteur.
• L'analyse d'impact : pour les traitements à risque élevé, surveillance systématique, données sensibles à grande échelle, profilage massif, une étude formelle est obligatoire avant de démarrer.
• Le délégué à la protection des données : le DPO, obligatoire pour les organismes publics et pour les entreprises dont l'activité principale implique un suivi à grande échelle ou des données sensibles. Il conseille, contrôle et sert de point de contact.
• La notification des violations : en cas de fuite de données, l'autorité de contrôle doit être prévenue dans les 72 heures, et les personnes concernées directement informées si le risque pour elles est élevé.

L'impact au quotidien

Pour les équipes produit et marketing, le RGPD a changé plusieurs habitudes.

• Les analytics : mesurer l'audience avec des outils qui déposent des traceurs suppose en général le consentement. Une part importante des visiteurs refuse, et les données deviennent partielles. Le chapitre Analytics et tracking détaillera les solutions de mesure conçues pour s'en passer.
• Le marketing par email : l'opt-in préalable est la règle pour la prospection vers des particuliers, avec un aménagement pour les clients existants sur des produits similaires. Acheter un fichier d'adresses pour du démarchage à froid n'est pas défendable.
• Les formulaires : chaque champ doit être justifié par la finalité annoncée, ce qui oblige à une conversation saine avec les équipes qui voudraient tout demander "au cas où".
• Le choix des outils : ajouter un nouveau service tiers dans le produit n'est plus une décision purement technique, elle engage la conformité de l'entreprise.

Les cookies et les transferts

Deux sujets voisins reviennent en permanence et méritent une précision.

Les bandeaux de cookies ne viennent pas du RGPD lui-même mais d'un texte européen antérieur consacré aux communications électroniques, que le RGPD est venu durcir en imposant sa définition exigeante du consentement. Retiens simplement que déposer un traceur non strictement nécessaire au service demandé exige un accord préalable, que refuser doit être aussi simple qu'accepter, et que certains outils de mesure d'audience limités peuvent être exemptés sous conditions.

Les transferts de données hors de l'Union européenne, eux, sont strictement encadrés. La Commission européenne peut reconnaître qu'un pays offre une protection équivalente, sinon il faut mettre en place des garanties contractuelles spécifiques. Le cas des États-Unis a donné lieu à deux cadres successifs annulés par la justice européenne, puis à un troisième adopté en 2023, lui aussi contesté, un premier recours contre lui ayant été rejeté par la justice européenne en 2025. Ça explique la nervosité des juristes dès qu'un outil héberge ses données outre-Atlantique.

Sanctions et influence

Le règlement prévoit deux niveaux de sanction. Les manquements aux obligations d'organisation plafonnent à 10 millions d'euros ou 2% du chiffre d'affaires mondial, les atteintes aux principes et aux droits des personnes à 20 millions ou 4%, dans les deux cas le montant le plus élevé étant retenu.

Ces plafonds ne sont pas théoriques. Des amendes de plusieurs centaines de millions d'euros ont été prononcées contre de très grandes plateformes, et le record dépasse aujourd'hui le milliard d'euros. Mais l'immense majorité des décisions concerne des entreprises ordinaires, pour des montants bien plus modestes, souvent liés à des durées de conservation jamais définies ou à un défaut d'information.

En France, c'est la CNIL (Commission Nationale de l'Informatique et des Libertés) qui contrôle et sanctionne. Elle publie aussi une quantité impressionnante de guides pratiques et gratuits, y compris pour les développeurs.

Le RGPD a enfin joué un rôle de modèle. Le CCPA en Californie, la LGPD au Brésil, la PIPL en Chine et une bonne vingtaine d'autres textes s'en inspirent plus ou moins directement. Pour une entreprise qui vend à l'international, la conformité européenne est souvent devenue le socle commun sur lequel on ajuste ensuite les particularités locales.