Que faut-il comprendre des grandes règles et décisions du RGPD ?

Les décryptages prennent le temps d'expliquer une règle ou une décision dans le détail : ce qu'elle dit, pourquoi, et ce qu'elle change concrètement pour les organismes et pour les personnes. Les références citées sont vérifiées à la date de publication.

Ce que vous trouverez dans cette rubrique

Les décryptages analysent en profondeur les textes, les décisions et les évolutions qui façonnent l'application du RGPD. Ils couvrent les réformes européennes en préparation, comme l'« Omnibus numérique » ou le relèvement du seuil du registre, le règlement de procédure applicable en 2027, les textes voisins comme le règlement sur les données, la directive NIS 2, le règlement sur les services numériques ou le règlement sur l'intelligence artificielle, les lignes directrices européennes sur l'intérêt légitime, la réparation des préjudices, les actions de groupe, et les grandes décisions de la CNIL, du Conseil d'État et de la Cour de justice. Chaque article expose ce que dit le texte ou la décision, le replace dans son contexte et explique ses conséquences pratiques pour les organismes et pour les personnes.

Une méthode d'analyse rigoureuse

Chaque décryptage repose sur la lecture des sources primaires : le texte du règlement ou de la décision, les communiqués officiels, les lignes directrices et avis du Comité européen de la protection des données, les délibérations de la CNIL. Les faits sont datés et vérifiés, les montants cités sont ceux des décisions publiées, et les textes en cours d'adoption sont présentés avec leur statut exact à la date de l'article : proposition, mandat de négociation, accord provisoire, adoption, entrée en application. Les analyses distinguent toujours ce que dit la source de son interprétation, et signalent les points qui restent discutés.

Pourquoi décrypter le droit de la protection des données ?

Le droit de la protection des données ne se résume pas au texte du RGPD. Il se construit au fil des décisions de la Cour de justice de l'Union européenne, qui précise le sens des notions clés, des lignes directrices du Comité européen de la protection des données, qui harmonisent l'interprétation entre autorités, des décisions de sanction, qui montrent ce que les régulateurs attendent concrètement, et des nouveaux textes européens, qui s'articulent avec le RGPD. Suivre ces évolutions est indispensable pour les délégués, les juristes et les dirigeants, mais la masse d'informations et leur technicité rendent l'exercice difficile. Les décryptages sélectionnent les évolutions qui comptent et les rendent accessibles.

Les réformes en préparation

Plusieurs réformes européennes pourraient modifier l'application du RGPD dans les prochaines années. La proposition d'« Omnibus numérique », présentée par la Commission en novembre 2025, envisage notamment d'intégrer les règles sur les cookies dans le RGPD, d'ajuster certaines définitions et de simplifier la notification des violations ; le Conseil a adopté son mandat de négociation le 21 octobre 2026. Le paquet « Omnibus IV », qui a fait l'objet d'un accord provisoire en juin 2026, prévoit de relever le seuil d'exemption de l'obligation de tenir un registre. Le règlement de procédure pour l'application transfrontière, adopté en 2025, sera applicable le 2 avril 2027. Les décryptages suivent ces textes à chaque étape, en précisant ce qui change, pour qui et à partir de quand.

La jurisprudence de la Cour de justice

La Cour de justice de l'Union européenne joue un rôle central dans l'interprétation du RGPD. Saisie par les juridictions nationales de questions préjudicielles, elle a rendu depuis 2018 plusieurs dizaines d'arrêts qui précisent les notions de donnée personnelle, de responsable conjoint, de consentement, d'intérêt légitime, de droit d'accès, de dommage moral ou de décision automatisée. Certains de ces arrêts ont des conséquences considérables, comme l'arrêt Schrems II de 2020 sur les transferts vers les États-Unis, l'arrêt SCHUFA de 2023 sur les scores de crédit, ou l'arrêt Österreichische Post de 2023 sur la réparation du préjudice. Les décryptages présentent ces arrêts en langage clair et en tirent les enseignements pratiques.

Les sanctions décryptées

Les décisions de sanction de la CNIL et de ses homologues européens sont riches d'enseignements. Elles décrivent précisément les manquements constatés, les arguments de l'organisme et le raisonnement de l'autorité, et fixent le montant de l'amende en fonction de critères explicites. Les décryptages analysent les sanctions les plus significatives, comme celles prononcées contre Google et Shein en 2025 pour des manquements relatifs aux cookies, contre Free Mobile et Free en janvier 2026 après une fuite massive de données, ou la décision du Conseil d'État qui a réduit en décembre 2025 l'amende infligée à Amazon France Logistique. Ils dressent aussi chaque année le bilan des sanctions de la CNIL et en dégagent les tendances.

Les textes voisins du RGPD

Le RGPD s'inscrit désormais dans un ensemble de textes européens sur le numérique, qui le complètent sans le remplacer. Le règlement sur les données organise l'accès aux données des objets connectés et facilite le changement de fournisseur cloud. La directive NIS 2 renforce les obligations de cybersécurité de nombreuses entités. Le règlement sur les services numériques encadre les plateformes et interdit certaines pratiques publicitaires. Le règlement sur l'intelligence artificielle impose des obligations selon le niveau de risque des systèmes. Chacun de ces textes interagit avec le RGPD, parfois de manière complexe : obligations de notification parallèles, exigences de transparence complémentaires, articulation des autorités compétentes. Les décryptages éclairent ces articulations.

Les notions techniques expliquées

Certains décryptages portent sur des notions techniques au cœur de la protection des données, souvent mal comprises : la différence entre anonymisation et pseudonymisation, le fonctionnement de la procédure simplifiée de sanction, l'évaluation de l'impact d'un transfert, la mise en balance de l'intérêt légitime. Ces articles proposent des définitions précises, des exemples concrets et des critères pour appliquer correctement ces notions. Ils s'adressent aussi bien aux juristes qu'aux équipes techniques et aux dirigeants qui doivent prendre des décisions éclairées.

À qui s'adressent les décryptages ?

Les décryptages s'adressent en priorité aux délégués à la protection des données, aux juristes, aux avocats, aux consultants et aux responsables de la conformité, qui doivent suivre l'actualité et en mesurer les conséquences pour leurs organisations ou leurs clients. Ils intéressent aussi les dirigeants qui souhaitent comprendre les enjeux des réformes en cours, les étudiants en droit du numérique et les journalistes qui couvrent ces sujets. Rédigés sans jargon inutile, ils restent accessibles à tout lecteur curieux de comprendre comment se construit le droit de la protection des données.

Des analyses datées et mises à jour

Parce que le droit évolue vite, chaque décryptage indique sa date de publication et, le cas échéant, de mise à jour. Lorsqu'un texte présenté comme une proposition est finalement adopté ou modifié, l'article est actualisé et la modification signalée. Lorsqu'une décision fait l'objet d'un recours, comme le Data Privacy Framework dont la validation par le Tribunal de l'Union fait l'objet d'un pourvoi devant la Cour de justice, l'article précise l'état de la procédure. Cette rigueur permet de s'appuyer sur les décryptages pour prendre des décisions, tout en vérifiant l'état du droit au moment où l'on agit.

Les grandes décisions de 2025 et 2026

Les années 2025 et 2026 ont été riches en décisions importantes. La CNIL a sanctionné Google à hauteur de 325 millions d'euros et Shein à hauteur de 150 millions d'euros en septembre 2025, notamment pour des manquements relatifs aux cookies. Le Tribunal de l'Union européenne a rejeté le 3 septembre 2025 le recours du député Philippe Latombe contre le Data Privacy Framework, décision qui fait l'objet d'un pourvoi. Le Conseil d'État a réduit le 23 décembre 2025 l'amende infligée à Amazon France Logistique pour la surveillance de ses salariés, la ramenant de 32 à 15 millions d'euros. La CNIL a sanctionné le 13 janvier 2026 Free Mobile et Free à hauteur de 27 et 15 millions d'euros après une fuite massive de données. La Cour de justice a précisé, dans l'arrêt Deldits du 13 mars 2025, les conditions de rectification de la mention du genre, et dans l'arrêt Dun & Bradstreet Austria du 27 février 2025, le droit à l'explication des décisions automatisées.

Le bilan annuel de la CNIL

Chaque année, la CNIL publie un rapport d'activité qui dresse le bilan de son action. Pour 2025, elle a reçu 20 150 plaintes, un record, réalisé 323 contrôles et prononcé 83 sanctions pour un montant cumulé de 486 839 500 euros. Une part croissante des sanctions est prononcée selon la procédure simplifiée, qui permet de traiter rapidement les dossiers des petites structures. Les décryptages analysent ces chiffres, les comparent aux années précédentes et en dégagent les tendances : place croissante de la sécurité, poids des cookies dans les montants, multiplication des sanctions visant la surveillance des salariés et les manquements aux droits des personnes.

Les débats de fond

Certains décryptages abordent les débats de fond qui traversent le droit de la protection des données. Faut-il simplifier le RGPD pour alléger la charge des entreprises, au risque d'affaiblir la protection des personnes ? Le mécanisme du guichet unique, qui confie aux autorités irlandaise et luxembourgeoise le contrôle de nombreux géants du numérique, est-il efficace ? Comment concilier le développement de l'intelligence artificielle, gourmande en données, et les principes de minimisation et de limitation des finalités ? Les transferts vers les États-Unis peuvent-ils être durablement sécurisés ? Les décryptages présentent les arguments en présence de manière équilibrée, en s'appuyant sur les positions publiées des institutions, des autorités et des parties prenantes, sans prendre parti.

L'intérêt légitime et la réparation

Deux sujets ont fait l'objet de précisions importantes ces dernières années. L'intérêt légitime, base légale souvent invoquée et parfois mal appliquée, a été précisé par la Cour de justice, notamment dans un arrêt du 4 octobre 2024 admettant qu'un intérêt commercial peut être légitime, et par les lignes directrices 1/2024 du CEPD, qui détaillent le test en trois étapes. La réparation des préjudices a été clarifiée par une série d'arrêts de la Cour de justice depuis 2023, qui admettent la réparation du préjudice moral sans seuil de gravité, tout en exigeant la preuve d'un dommage. Les décryptages consacrés à ces sujets en tirent les conséquences pratiques pour les organismes et pour les personnes.

Le règlement de procédure de 2027

Le règlement européen fixant des règles de procédure supplémentaires pour l'application du RGPD, adopté en 2025 et applicable à partir du 2 avril 2027, vise à accélérer et harmoniser le traitement des plaintes transfrontalières. Il définit des conditions communes de recevabilité des plaintes, fixe des délais pour les étapes de l'enquête, renforce les droits procéduraux des parties, notamment l'accès au dossier et le droit d'être entendu, et organise la coopération entre l'autorité chef de file et les autorités concernées, en particulier pour éviter les désaccords tardifs. Il prévoit aussi une procédure de règlement amiable pour les plaintes qui peuvent être résolues rapidement. Pour les organismes présents dans plusieurs États membres, ce texte modifiera la conduite des procédures, et les décryptages consacrés à ce règlement en détaillent les principales étapes.

Les textes européens du numérique

Le règlement sur les services numériques encadre les plateformes en ligne et interdit notamment la publicité fondée sur le profilage utilisant des données sensibles, ainsi que la publicité ciblée visant les mineurs sur la base du profilage. Le règlement sur les marchés numériques impose aux grands contrôleurs d'accès de ne pas combiner les données personnelles issues de leurs différents services sans consentement. Le règlement sur les données organise le partage des données générées par les objets connectés. La directive NIS 2 renforce la cybersécurité des entités essentielles et importantes. Le règlement sur l'intelligence artificielle impose des obligations graduées selon le risque. Chacun de ces textes s'articule avec le RGPD, et les décryptages consacrés à chacun d'eux en présentent les obligations et les interactions.

Anonymisation, pseudonymisation et notions clés

Certaines notions techniques font l'objet d'interprétations divergentes et méritent un examen approfondi. L'anonymisation suppose que la réidentification soit impossible par des moyens raisonnables, ce qui est difficile à garantir ; la pseudonymisation laisse les données dans le champ du RGPD, tout en réduisant les risques. La Cour de justice a apporté une nuance importante dans l'arrêt du 4 septembre 2025 relatif au Conseil de résolution unique, en jugeant que des données pseudonymisées peuvent ne pas être personnelles pour un destinataire qui ne dispose d'aucun moyen raisonnable de réidentification. Les décryptages consacrés à ces notions expliquent leurs conséquences pour le partage de données, la recherche et l'intelligence artificielle.

Le Data Privacy Framework sous surveillance

Le cadre de protection des données entre l'Union européenne et les États-Unis, adopté en juillet 2023, permet les transferts vers les entreprises américaines adhérentes sans garanties supplémentaires. Validé par le Tribunal de l'Union le 3 septembre 2025 dans l'affaire Latombe, il fait l'objet d'un pourvoi devant la Cour de justice formé le 31 octobre 2025. Son avenir dépend aussi de l'évolution des pratiques américaines en matière de renseignement et du fonctionnement des mécanismes de recours. Les décryptages suivent ce dossier et conseillent aux organismes de conserver des solutions de repli, comme les clauses contractuelles types, pour sécuriser leurs transferts en cas d'invalidation.

Les actions de groupe et la réparation

Les actions collectives en matière de protection des données se développent en Europe. En France, l'action de groupe prévue par la loi permet à une association agréée de demander la cessation d'un manquement et la réparation des préjudices subis par plusieurs personnes. La directive européenne relative aux actions représentatives renforce ces mécanismes. Les décryptages consacrés à ce sujet présentent les conditions de ces actions, les premières procédures engagées et leurs enjeux pour les organismes, notamment après des fuites de données massives.

Des sources citées et vérifiables

Chaque décryptage cite ses sources primaires, comme le numéro d'affaire d'un arrêt, la date d'une délibération ou la référence d'un règlement, pour permettre au lecteur de vérifier et d'approfondir. Les analyses sont relues à la lumière des évolutions ultérieures, et les mises à jour sont signalées. Les textes en discussion sont toujours présentés avec leur statut exact, sans anticiper leur adoption ni leur contenu final, afin d'éviter toute décision prématurée.