Quelles sont les questions les plus fréquentes sur le RGPD ?

Oui, dès que vous traitez des données personnelles : fichier clients, salariés, site internet avec formulaire. Il n'existe pas de seuil de taille, mais les obligations sont proportionnées aux risques. Le guide du RGPD pour les TPE et PME présente l'essentiel.

Oui si elle désigne une personne, comme prenom.nom@entreprise.fr. Une adresse générique du type contact@entreprise.fr n'en est pas une, sauf si elle est utilisée par une seule personne identifiable.

Non. Le consentement est l'une des six bases légales prévues par l'article 6. La facturation repose sur une obligation légale, la livraison sur le contrat, la sécurité des locaux sur l'intérêt légitime. Le consentement est surtout requis pour la prospection électronique des particuliers, les cookies non essentiels et certains usages facultatifs.

Non. Des propositions européennes de simplification sont en discussion (registre, cookies, notification des violations, intelligence artificielle), mais à la date de vérification aucune modification du RGPD n'a été formellement adoptée. Le texte de 2016 s'applique tel quel.

Non, les déclarations préalables ont été supprimées en 2018, sauf rares exceptions (certains traitements de santé ou de l'État). Il faut en revanche tenir un registre des traitements et pouvoir le présenter à la CNIL.

Seulement si vous êtes un organisme public, ou si votre activité principale consiste à suivre des personnes de façon régulière et systématique à grande échelle, ou à traiter à grande échelle des données sensibles ou pénales. Dans les autres cas, c'est facultatif ; voir le guide du délégué à la protection des données.

La CNIL recommande trois ans à compter de la collecte ou du dernier contact émanant du prospect. Pour les autres données, chaque traitement a sa durée, fixée selon la finalité et les obligations légales.

Contenir l'incident, évaluer le risque, notifier la CNIL dans les 72 heures si la violation présente un risque pour les personnes, informer celles-ci si le risque est élevé, et inscrire l'incident dans le registre des violations.

Non. Le transfert est possible si l'éditeur est certifié au Data Privacy Framework, ou s'il signe les clauses contractuelles types de la Commission, avec une évaluation du risque. Il faut le mentionner dans votre information.

Un mois à compter de la réception, prolongeable de deux mois pour les demandes complexes, en informant la personne. La première copie est gratuite.

Seulement en cas de doute raisonnable sur l'identité du demandeur, et en vous limitant au nécessaire. Demander systématiquement une pièce d'identité est disproportionné.

Non. Les factures doivent être conservées dix ans au titre du Code de commerce ; le droit à l'effacement ne s'applique pas lorsqu'une obligation légale impose la conservation. Les autres données inutiles peuvent en revanche être supprimées.

En exerçant votre droit d'opposition, qui est absolu pour la prospection : lien de désinscription, courrier ou e-mail à l'expéditeur. Depuis le 11 août 2026, un professionnel ne peut plus vous démarcher par téléphone sans votre consentement préalable, sauf contrat en cours.

Oui, dès lors que des traceurs soumis à consentement sont utilisés : refuser doit être aussi simple qu'accepter, au même niveau du bandeau. Les détails figurent dans le guide des cookies et traceurs.

Avec leur accord, recueilli librement et révocable, puisque cette publication n'est pas nécessaire à l'exécution du contrat de travail. Un salarié peut refuser sans conséquence.

Oui, à condition de ne filmer que votre propriété, sans capter la voie publique ni les terrains voisins. Si un salarié travaille chez vous, il doit être informé.

Oui. Une grande partie des sanctions vise des organismes de taille modeste, souvent via la procédure simplifiée, avec des amendes plafonnées à 20 000 euros. Les motifs fréquents sont la vidéosurveillance excessive, la prospection sans consentement et l'absence de réponse aux demandes de droits.

20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les manquements les plus graves ; 10 millions d'euros ou 2 % pour les autres.

Contactez d'abord l'entreprise par écrit, attendez un mois, puis déposez une réclamation en ligne sur le site de la CNIL avec les copies de vos échanges. La démarche est gratuite ; elle est détaillée dans le guide pour porter plainte auprès de la CNIL.

Oui, pour assurer la sécurité des biens et des personnes, mais les caméras ne doivent pas filmer les salariés en permanence à leur poste de travail, ni les zones de pause, les vestiaires ou les toilettes. Le comité social et économique doit être consulté, les salariés informés individuellement et par des panneaux, et les images conservées au maximum un mois. Le guide de la vidéosurveillance détaille ces règles.

Au plus deux ans après le dernier contact, et seulement si le candidat en a été informé et ne s'y est pas opposé. Sans son accord, le CV doit être supprimé à la fin de la procédure de recrutement. Au-delà, la conservation n'est plus justifiée.

Les courriels de la messagerie professionnelle sont présumés professionnels et peuvent être consultés par l'employeur, sauf s'ils sont identifiés comme personnels. Les messages marqués « personnel » ne peuvent être ouverts qu'en présence du salarié ou en cas de risque particulier. La messagerie personnelle du salarié reste inaccessible à l'employeur.

Oui, par le droit d'accès. L'employeur doit lui communiquer, dans le délai d'un mois, une copie des données le concernant, y compris les courriels dans lesquels il est identifié, sous réserve des droits des tiers. La Cour de cassation l'a confirmé en 2025.

Oui, pour des finalités précises comme la sécurité, la facturation d'une prestation ou l'optimisation des tournées, mais pas pour surveiller en permanence les salariés ni contrôler leur vitesse. Le salarié doit pouvoir désactiver le dispositif en dehors de son temps de travail lorsqu'il utilise le véhicule à titre personnel.

Rarement. En raison du lien de subordination, le consentement d'un salarié est difficilement libre. Il convient de s'appuyer plutôt sur le contrat de travail, les obligations légales ou l'intérêt légitime, et de réserver le consentement aux traitements réellement facultatifs, comme la publication de sa photo.

Contenir l'incident, évaluer le risque pour les personnes, documenter les faits dans le registre des violations, notifier la CNIL dans les 72 heures si un risque existe, et informer les personnes en cas de risque élevé. Un dépôt de plainte est recommandé en cas d'attaque. Le guide de la violation de données détaille la marche à suivre.

Cela dépend du risque. Si le disque est chiffré avec un algorithme robuste et que la clé n'est pas compromise, le risque est généralement nul : l'incident est inscrit au registre interne sans notification. Si l'ordinateur n'est pas chiffré et contient des données personnelles, une notification à la CNIL est probablement nécessaire.

Des comptes individuels avec des mots de passe robustes, la double authentification sur la messagerie et les accès distants, des mises à jour régulières, des sauvegardes déconnectées et testées, le chiffrement des postes portables et une sensibilisation des utilisateurs à l'hameçonnage. Ces mesures couvrent l'essentiel des risques courants.

Cela constitue une violation de confidentialité, plus ou moins grave selon le contexte. Pour une association de patients ou un service sensible, la révélation de la liste des destinataires peut présenter un risque et justifier une notification. Il faut utiliser la copie cachée ou un outil d'envoi pour éviter cet incident fréquent.

Les autorités le déconseillent fortement : le paiement ne garantit ni la récupération des données ni leur suppression par les attaquants, et il finance des organisations criminelles. Il faut déposer plainte, notifier la CNIL et s'appuyer sur ses sauvegardes et sur l'assistance de cybermalveillance.gouv.fr.

Avec prudence. Il faut privilégier une offre professionnelle qui garantit contractuellement la non-réutilisation des données saisies et un hébergement adapté, vérifier la base légale et l'information des clients, et éviter de saisir des données sensibles. Une charte d'usage interne permet d'encadrer ces pratiques. Le guide RGPD et IA approfondit le sujet.

Oui, dès que des données personnelles sont utilisées pour entraîner un modèle. Le développeur doit définir une finalité, choisir une base légale, souvent l'intérêt légitime avec des garanties, minimiser les données, informer les personnes et permettre l'exercice des droits. La CNIL a publié des fiches pratiques détaillées sur ce point.

Non, les deux textes s'appliquent ensemble. Le règlement sur l'IA encadre les systèmes selon leur niveau de risque, tandis que le RGPD continue de régir tout traitement de données personnelles, y compris par un système d'IA. Une même entreprise peut devoir respecter les deux.

Oui, pour des produits ou services analogues à ceux qu'ils ont achetés, à condition qu'ils aient été informés et aient pu s'y opposer lors de la collecte, et qu'un lien de désinscription figure dans chaque envoi. Pour les prospects qui n'ont rien acheté, le consentement préalable est nécessaire.

Depuis le 11 août 2026, le démarchage téléphonique des consommateurs suppose leur consentement préalable, sauf dans le cadre d'un contrat en cours. Les appels restent limités à certains jours et horaires, et interdits dans certains secteurs comme la rénovation énergétique.

Oui, à condition que les personnes aient consenti à recevoir des sollicitations de partenaires, de manière valable, et que l'acheteur le vérifie. Le premier message doit indiquer l'origine des données. La CNIL sanctionne les annonceurs qui se contentent des garanties contractuelles du vendeur sans contrôler les formulaires de collecte.

Elles sont assouplies : un courriel peut être adressé à un professionnel sur son adresse professionnelle sans consentement préalable, si le message est en rapport avec son activité et qu'il peut s'opposer facilement. Le RGPD s'applique néanmoins, car les adresses nominatives sont des données personnelles.

Oui, pour protéger votre domicile, à condition de ne filmer que votre propriété. Filmer la rue ou la propriété d'un voisin est interdit. Si vous employez une personne à domicile, vous devez l'informer de la présence de caméras et ne pas la filmer en permanence.

Demandez d'abord la suppression à l'éditeur du site. Vous pouvez aussi demander au moteur de recherche de déréférencer les liens associés à votre nom, au moyen de son formulaire en ligne. En cas de refus, vous pouvez saisir la CNIL. Le guide du droit à l'effacement détaille la démarche.

Pas systématiquement. Elle ne peut la demander qu'en cas de doute raisonnable sur votre identité, et doit la supprimer après vérification. Lorsque vous écrivez depuis l'adresse connue de l'entreprise ou depuis votre espace client, votre identité est généralement suffisamment établie.

Rien. L'exercice des droits est gratuit. L'organisme ne peut demander des frais raisonnables que pour des copies supplémentaires ou des demandes manifestement infondées ou excessives, ce qu'il doit démontrer.

Oui, si le transfert est encadré : soit le fournisseur adhère au Data Privacy Framework, en vigueur depuis juillet 2023 et validé par le Tribunal de l'Union en septembre 2025, sous réserve du pourvoi pendant ; soit le contrat intègre les clauses contractuelles types, avec une évaluation du pays de destination. Le guide du transfert de données hors UE détaille ces options.

Oui, lorsqu'il héberge des données personnelles pour votre compte. Un contrat conforme à l'article 28 doit encadrer la relation, en précisant notamment les mesures de sécurité, la localisation des données, les sous-traitants ultérieurs et le sort des données en fin de contrat.

Cela dépend de sa mission. Pour la tenue de la comptabilité et ses missions légales, l'expert-comptable agit souvent comme responsable de traitement. Pour l'établissement de la paie pour votre compte, il est généralement sous-traitant, et un contrat ou une lettre de mission comportant les clauses de l'article 28 est nécessaire.

Elle peut l'être, mais il faut vérifier les conditions d'utilisation, la localisation des données, l'absence d'exploitation publicitaire des contenus et la possibilité de signer un accord de traitement des données. Une offre professionnelle offre généralement de meilleures garanties contractuelles et de sécurité.

Il n'est pas nécessaire de les prévenir individuellement d'un simple changement de sous-traitant, mais la politique de confidentialité doit être mise à jour si les catégories de destinataires ou les transferts hors de l'Union changent. Une modification substantielle, comme une nouvelle finalité, appelle en revanche une information active.

Le texte intégral est publié au Journal officiel de l'Union européenne et disponible gratuitement sur EUR-Lex, dans toutes les langues de l'Union. La CNIL en propose une version consultable article par article, et la page des articles du RGPD présente chaque chapitre en langage clair.

Des ajustements sont en discussion au niveau européen, notamment dans le cadre de la proposition d'« Omnibus numérique » présentée en novembre 2025, mais aucun n'était adopté à la date de mise à jour de cette FAQ. Les règles actuelles restent pleinement applicables.