Le RGPD expliqué simplement : définitions et principes

Qu'est-ce que le RGPD ?

Le RGPD — Règlement général sur la protection des données — est un règlement européen entré en application le 25 mai 2018. Il encadre la façon dont les organismes (entreprises, associations, administrations) collectent et utilisent les données personnelles des individus. En France, il se combine avec la loi Informatique et Libertés, et c'est la CNIL qui veille à son application.

Son objectif n'est pas d'empêcher l'usage des données, mais de le rendre loyal et transparent : donner aux personnes le contrôle sur leurs informations, et responsabiliser ceux qui les traitent.

À qui s'applique-t-il ?

Le RGPD s'applique à tout organisme qui traite des données personnelles de personnes situées dans l'Union européenne, quelle que soit sa taille et même s'il est établi hors d'Europe. Une TPE française avec un simple formulaire de contact est concernée, au même titre qu'une multinationale — seul le niveau de formalisme attendu diffère selon les traitements.

Les notions clés à connaître

• Donnée personnelle : toute information se rapportant à une personne identifiée ou identifiable (nom, e-mail, adresse IP, identifiant client…).
• Traitement : toute opération sur ces données (collecte, enregistrement, consultation, envoi, suppression).
• Responsable de traitement : l'organisme qui décide pourquoi et comment les données sont traitées.
• Sous-traitant : un prestataire qui traite des données pour le compte du responsable (hébergeur, outil d'e-mailing).
• Base légale : le fondement qui rend un traitement licite (consentement, contrat, obligation légale, intérêt légitime…).
• Personne concernée : l'individu dont les données sont traitées, titulaire de droits.

Les grands principes du traitement

Le RGPD fixe une poignée de principes qui doivent guider chaque traitement de données. Les garder en tête permet de trancher la plupart des situations concrètes.

• Licéité, loyauté, transparence : traiter les données sur une base légale, sans tromper les personnes.
• Limitation des finalités : collecter pour un objectif précis, pas « au cas où ».
• Minimisation : ne recueillir que les données strictement utiles à cet objectif.
• Exactitude : garder les données à jour et exactes.
• Limitation de la conservation : ne pas garder les données plus longtemps que nécessaire.
• Intégrité et confidentialité : sécuriser les données contre la perte et l'accès non autorisé.
• Responsabilité (accountability) : être en mesure de démontrer sa conformité.

Les droits des personnes

Le RGPD confère aux individus des droits qu'ils peuvent exercer auprès de vous : accéder à leurs données, les rectifier, les faire effacer, s'opposer à un traitement, ou en obtenir une copie (portabilité). Vous devez pouvoir répondre à ces demandes, en principe sous un mois, via un contact clairement identifié. Prévoir ce point en amont évite de se retrouver démuni face à la première demande.