- Le RGPD est le règlement européen, la CNIL est l’autorité française qui le fait respecter.
- Il concerne tout organisme qui traite des données personnelles, y compris les sous-traitants.
- Tout traitement doit reposer sur une des six bases légales et respecter six principes fondamentaux.
- Vos obligations clés : registre des traitements, minimisation, sécurité, AIPD si risque élevé, DPO selon les cas.
- Une violation de données se notifie à la CNIL sous 72 heures. Les amendes montent à 20 millions d’euros ou 4 % du chiffre d’affaires mondial.
Dès qu’un projet digital manipule des données personnelles, le RGPD entre en jeu. Un formulaire de contact, un compte client, un fichier RH ou une base patients suffisent. La conformité n’est pas une formalité de fin de projet : elle se construit dès la conception, et elle conditionne la confiance de vos utilisateurs.
Cet article fait le tour des règles essentielles, à jour des évolutions récentes. Il s’adresse aux décideurs qui pilotent un projet web ou applicatif et veulent cadrer le sujet avec leur prestataire. Précision utile : ce contenu est informatif et ne remplace pas l’avis d’un juriste ou d’un délégué à la protection des données.
RGPD et CNIL : quel rôle pour chacun ?
On confond souvent les deux. La distinction est pourtant simple. Le RGPD est le texte : le Règlement général sur la protection des données, applicable dans toute l’Union européenne depuis le 25 mai 2018. Il s’inscrit dans la continuité de la loi française Informatique et Libertés de 1978 et harmonise les règles à l’échelle européenne.
La CNIL est l’autorité de contrôle française : la Commission nationale de l’informatique et des libertés. Elle informe, accompagne la mise en conformité, anticipe les sujets émergents, contrôle les organismes et sanctionne les manquements. Le RGPD pose les règles, la CNIL veille à leur application.
Qui est concerné par le RGPD ?
Le périmètre est large. Le RGPD s’applique à tout organisme, public ou privé, quelle que soit sa taille, dès lors qu’il traite des données personnelles et qu’il remplit l’une de ces conditions :
- Il est établi sur le territoire de l’Union européenne.
- Son activité cible directement des résidents européens, même depuis l’étranger.
Point souvent négligé : le RGPD concerne aussi les sous-traitants. Si vous traitez des données pour le compte d’un tiers (client, collectivité, association), vous portez vos propres obligations. C’est notre cas comme prestataire, et c’est aussi le vôtre dès que vous hébergez ou exploitez les données d’un partenaire.
Les six principes fondamentaux (article 5)
Tout traitement doit respecter six principes. Ils forment la grille de lecture de la CNIL en cas de contrôle.
| Principe | Ce qu’il impose |
|---|---|
| Licéité, loyauté, transparence | Une base légale claire et une information honnête des personnes |
| Limitation des finalités | Des données collectées pour un objectif précis et explicite |
| Minimisation | Seulement les données réellement nécessaires, jamais “au cas où” |
| Exactitude | Des données tenues à jour et corrigées si besoin |
| Limitation de la conservation | Une durée de conservation définie, puis suppression ou archivage |
| Intégrité et confidentialité | Des mesures de sécurité adaptées aux risques |
À ces six principes s’ajoute la responsabilité (accountability) : vous devez non seulement respecter les règles, mais aussi être capable de le démontrer à tout moment.
Sur quelle base légale fonder un traitement ?
Avant de collecter la moindre donnée, une question : sur quoi repose ce traitement ? L’article 6 du RGPD prévoit six bases légales possibles. Une seule suffit, mais il en faut une, choisie en amont et documentée.
Le consentement n’est pas toujours la bonne base. Pour un compte client, c’est souvent le contrat. Pour la paie, l’obligation légale. Choisir la mauvaise base fragilise tout le traitement, car elle détermine les droits applicables et la possibilité de retirer son accord.
Les droits des personnes
Le RGPD redonne aux personnes la maîtrise de leurs données. Vous devez pouvoir répondre à ces demandes dans un délai d’un mois en principe. Votre application doit donc être conçue pour les rendre possibles.
| Droit | En pratique |
|---|---|
| Accès | Savoir quelles données vous détenez et en obtenir copie |
| Rectification | Corriger des données inexactes ou incomplètes |
| Effacement (droit à l’oubli) | Demander la suppression sous conditions |
| Limitation | Geler temporairement un traitement contesté |
| Portabilité | Récupérer ses données dans un format réutilisable |
| Opposition | Refuser un traitement, notamment la prospection |
| Décision automatisée | Ne pas subir une décision fondée uniquement sur un automatisme |
Vos obligations concrètes
La conformité se traduit par des actions précises, pas par des intentions. Voici les piliers que nous intégrons dans les projets.
- Tenir un registre des traitements (article 30) : la cartographie de qui traite quoi, pourquoi, combien de temps et avec quelles garanties.
- Minimiser les données : ne collecter que le strict nécessaire à la finalité.
- Sécuriser (article 32) : chiffrement, gestion stricte des accès, journalisation, sauvegardes. Nous détaillons cette dimension dans notre checklist d’audit de sécurité.
- Mener une AIPD (article 35) : l’analyse d’impact relative à la protection des données est obligatoire pour les traitements susceptibles d’engendrer un risque élevé (données sensibles, surveillance à grande échelle).
- Désigner un DPO (article 37) quand la loi l’exige, et le recommander dans les autres cas.
- Concevoir en privacy by design et by default (article 25) : la protection des données est un paramètre d’architecture, jamais un correctif tardif.
Violation de données : le réflexe des 72 heures
Une faille, une fuite ou une perte de données arrive même aux organisations sérieuses. Ce qui se juge, c’est la réaction. Le RGPD impose une chronologie stricte (articles 33 et 34).
La notification à la CNIL doit intervenir dans les meilleurs délais et, si possible, dans les 72 heures suivant la prise de connaissance. Si le risque pour les personnes est élevé, vous devez aussi les informer. Préparer cette procédure à l’avance, plutôt que de l’improviser sous pression, fait toute la différence.
Que risque-t-on en cas de non-conformité ?
La CNIL dispose d’une palette de mesures : rappel à l’ordre, mise en demeure, injonction sous astreinte, limitation ou suspension d’un traitement, et amende administrative. Les amendes suivent deux paliers.
| Palier | Plafond | Manquements visés |
|---|---|---|
| Premier | 10 M€ ou 2 % du CA mondial | Obligations : registre, sécurité, AIPD, notification, DPO |
| Second | 20 M€ ou 4 % du CA mondial | Principes, bases légales, droits des personnes, transferts |
Le montant le plus élevé des deux est retenu. Au-delà de l’amende, c’est souvent l’atteinte à la réputation et la perte de confiance qui coûtent le plus cher.
RGPD, intelligence artificielle et transferts hors UE
Deux sujets se sont imposés depuis la première version de cet article. D’abord l’intelligence artificielle : le règlement européen sur l’IA (AI Act) est entré en vigueur en août 2024, avec une application progressive. Il ne remplace pas le RGPD, qui continue de s’appliquer dès qu’une IA traite des données personnelles. La CNIL a publié des recommandations pour concilier innovation en IA et protection des données.
Ensuite les transferts hors Union européenne. Depuis l’arrêt Schrems II de 2020, transférer des données vers un pays tiers exige des garanties. Le cadre de protection des données UE-États-Unis (Data Privacy Framework), adopté en juillet 2023, sécurise les transferts vers les organisations américaines certifiées. Pour les autres, les clauses contractuelles types et une analyse des risques restent nécessaires. Le choix de vos hébergeurs et briques tierces devient donc une décision de conformité.
Le cas particulier des données de santé
Les données de santé ne sont pas des données comme les autres. Le RGPD les classe parmi les données sensibles (article 9), dont le traitement est interdit par principe. Il n’est possible que dans des cas précis : consentement explicite de la personne, prise en charge médicale, gestion des systèmes de santé ou motif d’intérêt public en santé publique.
Cette qualification a des conséquences directes sur un projet digital. Trois exigences structurent presque toujours nos projets e-santé :
- Hébergement certifié HDS. Héberger des données de santé en France impose un hébergeur certifié Hébergeur de Données de Santé. Nous détaillons ce cadre dans notre article sur l’hébergement HDS.
- AIPD quasi systématique. Un traitement de données de santé à grande échelle déclenche presque toujours l’obligation d’analyse d’impact.
- Référentiels de la CNIL. Pour la recherche et certains usages, la CNIL publie des méthodologies de référence (MR) qui encadrent les pratiques.
À cela s’ajoutent le secret médical, une traçabilité fine des accès et un chiffrement renforcé. Nous revenons sur l’ensemble de ces points dans notre article sur les contraintes des applications e-santé, un sujet central de nos projets pour le secteur santé et pharma.
La conformité by design, notre approche
Nous traitons la protection des données comme une contrainte de conception, au même titre que la performance ou la sécurité. Concrètement, nous cartographions les données dès le cadrage, nous interrogeons chaque champ collecté au regard de la finalité, et nous posons les bases légales avant d’écrire la première ligne de code.
Cette exigence est maximale sur les projets sensibles, où la moindre donnée superflue devient un risque. Mieux vaut un périmètre de données restreint et parfaitement maîtrisé qu’une collecte large jamais nettoyée.
La conformité ne s’arrête pas à la mise en production. Un nouveau traitement, une brique tierce ou une évolution réglementaire peuvent changer la donne. C’est l’un des rôles de nos programmes de maintenance applicative : maintenir la conformité dans la durée, pas seulement au lancement.
Questions fréquentes
Quelle est la différence entre le RGPD et la CNIL ?
Le RGPD est le texte : le Règlement général sur la protection des données, applicable dans toute l’Union européenne depuis le 25 mai 2018. La CNIL est l’autorité : la Commission nationale de l’informatique et des libertés, qui veille à son application en France, accompagne les organismes, contrôle et sanctionne. En résumé, le RGPD pose les règles, la CNIL les fait respecter.
Mon entreprise est-elle concernée par le RGPD ?
Probablement oui. Le RGPD s’applique à tout organisme, public ou privé, quelle que soit sa taille, dès qu’il traite des données personnelles et qu’il est établi dans l’Union européenne ou que son activité cible des résidents européens. Il s’applique aussi aux sous-traitants qui traitent des données pour le compte d’un tiers. Dès qu’un formulaire, un compte client ou un fichier RH existe, vous êtes concerné.
Quand la désignation d’un DPO est-elle obligatoire ?
La désignation d’un délégué à la protection des données (DPO) est obligatoire dans trois cas : pour les autorités et organismes publics, quand l’activité principale conduit à un suivi régulier et systématique des personnes à grande échelle, et quand elle implique un traitement à grande échelle de données sensibles ou relatives à des infractions. En dehors de ces cas, le DPO reste vivement recommandé comme point de pilotage de la conformité.
Quelles sanctions en cas de non-conformité au RGPD ?
La CNIL peut prononcer un rappel à l’ordre, une mise en demeure, une injonction sous astreinte, la limitation ou la suspension d’un traitement, et une amende administrative. Les amendes comportent deux paliers : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les manquements aux obligations, et jusqu’à 20 millions d’euros ou 4 % pour les atteintes aux principes, aux bases légales ou aux droits des personnes. Le montant le plus élevé des deux est retenu.
Combien de temps pour notifier une violation de données à la CNIL ?
Une violation de données doit être notifiée à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si elle n’engendre pas de risque pour les personnes. Si le risque pour les droits et libertés des personnes est élevé, celles-ci doivent également être informées dans les meilleurs délais.
Conclusion
Le RGPD n’est pas un frein, c’est un cadre. Bien intégré, il structure des projets plus sobres en données, plus sûrs et plus dignes de confiance. Les fondamentaux sont stables : une base légale par traitement, six principes, des droits à honorer, des obligations à documenter et une réaction préparée en cas de violation.
Vous lancez un projet qui manipule des données personnelles, ou vous voulez sécuriser l’existant ? Nous concevons des applications web sur mesure conformes dès la conception. Cadrons votre contexte lors d’un diagnostic, ou contactez-nous directement.
