Le RGPD expliqué simplement : définitions et principes

Qu'est-ce que le RGPD ?

Le RGPD — Règlement général sur la protection des données — est un règlement européen entré en application le 25 mai 2018. Il encadre la façon dont les organismes (entreprises, associations, administrations) collectent et utilisent les données personnelles des individus. En France, il se combine avec la loi Informatique et Libertés, et c'est la CNIL qui veille à son application.

Son objectif n'est pas d'empêcher l'usage des données, mais de le rendre loyal et transparent : donner aux personnes le contrôle sur leurs informations, et responsabiliser ceux qui les traitent.

À qui s'applique-t-il ?

Le RGPD s'applique à tout organisme qui traite des données personnelles de personnes situées dans l'Union européenne, quelle que soit sa taille et même s'il est établi hors d'Europe. Une TPE française avec un simple formulaire de contact est concernée, au même titre qu'une multinationale — seul le niveau de formalisme attendu diffère selon les traitements.

Les notions clés à connaître

• Donnée personnelle : toute information se rapportant à une personne identifiée ou identifiable (nom, e-mail, adresse IP, identifiant client…).
• Traitement : toute opération sur ces données (collecte, enregistrement, consultation, envoi, suppression).
• Responsable de traitement : l'organisme qui décide pourquoi et comment les données sont traitées.
• Sous-traitant : un prestataire qui traite des données pour le compte du responsable (hébergeur, outil d'e-mailing).
• Base légale : le fondement qui rend un traitement licite (consentement, contrat, obligation légale, intérêt légitime…).
• Personne concernée : l'individu dont les données sont traitées, titulaire de droits.

Les grands principes du traitement

Le RGPD fixe une poignée de principes qui doivent guider chaque traitement de données. Les garder en tête permet de trancher la plupart des situations concrètes.

• Licéité, loyauté, transparence : traiter les données sur une base légale, sans tromper les personnes.
• Limitation des finalités : collecter pour un objectif précis, pas « au cas où ».
• Minimisation : ne recueillir que les données strictement utiles à cet objectif.
• Exactitude : garder les données à jour et exactes.
• Limitation de la conservation : ne pas garder les données plus longtemps que nécessaire.
• Intégrité et confidentialité : sécuriser les données contre la perte et l'accès non autorisé.
• Responsabilité (accountability) : être en mesure de démontrer sa conformité.

Les droits des personnes

Le RGPD confère aux individus des droits qu'ils peuvent exercer auprès de vous : accéder à leurs données, les rectifier, les faire effacer, s'opposer à un traitement, ou en obtenir une copie (portabilité). Vous devez pouvoir répondre à ces demandes, en principe sous un mois, via un contact clairement identifié. Prévoir ce point en amont évite de se retrouver démuni face à la première demande.

Ce que pensent réellement les Français de la protection de leurs données

Au-delà du texte réglementaire, des enquêtes d'opinion mesurent régulièrement le rapport des Français à la protection de leurs données — utile pour comprendre pourquoi la conformité n'est pas qu'une contrainte administrative.

• 92 % des Européens considèrent la protection des données personnelles comme un droit fondamental, selon un Eurobaromètre.
• 61 % des Français font confiance à l'efficacité du RGPD — une majorité, mais en léger recul.
• Les entreprises françaises inspirent nettement plus confiance que les entreprises étrangères sur la sécurité des données (57 % contre 24 %) : une conformité visible reste un vrai avantage de confiance face à la concurrence internationale.

RGPD et directive ePrivacy : quelle différence ?

Le RGPD encadre le traitement des données personnelles en général. Les règles spécifiques aux cookies et traceurs proviennent en réalité d'un autre texte, la directive ePrivacy (transposée en France à l'article 82 de la loi Informatique et Libertés) — c'est elle qui impose le consentement préalable avant dépôt d'un cookie non essentiel. En pratique, les deux textes se combinent : ePrivacy encadre le dépôt du traceur, le RGPD encadre ensuite le traitement des données ainsi collectées.

Comment la CNIL contrôle et sanctionne

La CNIL peut intervenir de plusieurs façons : sur plainte d'une personne, à la suite d'un signalement, ou de sa propre initiative dans le cadre de ses programmes de contrôle thématiques. Un contrôle peut prendre la forme d'une vérification sur place, d'un contrôle en ligne — l'inspection directe d'un site web —, d'une audition ou d'un contrôle sur pièces à partir de documents demandés.

En cas de manquement constaté, la CNIL dispose d'une gradation de réponses : un simple rappel à l'ordre, une mise en demeure de se mettre en conformité dans un délai donné, jusqu'à une sanction financière pour les manquements les plus graves ou les plus persistants. Dans la grande majorité des cas concernant une TPE/PME, un manquement de bonne foi rapidement corrigé après un signalement se solde par un rappel ou une mise en demeure, pas directement par une sanction.

Cas pratique : appliquer les principes à un formulaire d'inscription

Prenons un formulaire d'inscription à un événement professionnel qui demande nom, e-mail, entreprise, fonction, et une case « secteur d'activité détaillé » avec une vingtaine d'options. Appliqués à ce cas, les principes du RGPD donnent des réponses concrètes : la finalité — gérer les inscriptions — justifie nom, e-mail et entreprise ; le secteur d'activité détaillé, lui, n'est utile que si l'organisateur compte réellement l'exploiter (statistiques de l'événement, par exemple) — sinon, le principe de minimisation invite à le retirer ou à le rendre optionnel.

Ce même réflexe — se demander, pour chaque champ ou chaque donnée collectée, « en quoi sert-elle exactement à la finalité annoncée ? » — suffit à résoudre la majorité des questions de conformité au quotidien, sans avoir à mémoriser tout le texte du règlement.