L'essentiel en 30 secondes
- L'article 4 du RGPD donne 26 définitions officielles.
- Ce lexique les reformule en langage clair et ajoute les sigles d'usage.
- Utilisez le moteur de recherche pour retrouver un terme dans tous les guides.
Comment utiliser ce lexique ?
Les définitions ci-dessous reprennent, en les simplifiant, celles de l'article 4 du RGPD lorsqu'elles existent, et y ajoutent les termes et sigles employés couramment par la CNIL et les professionnels. Elles sont classées par ordre alphabétique. Pour approfondir une notion, le moteur de recherche du site renvoie directement au passage pertinent des guides.
De A à C
| Terme | Définition |
|---|---|
| Accountability | Principe de responsabilité : le responsable doit respecter le RGPD et pouvoir le prouver (article 5, paragraphe 2). |
| AIPD | Analyse d'impact relative à la protection des données, obligatoire avant un traitement à risque élevé (article 35). Appelée aussi PIA. |
| Anonymisation | Traitement qui rend impossible, de façon irréversible, l'identification des personnes. Les données anonymes sortent du RGPD. |
| Autorité de contrôle | Autorité publique indépendante chargée de surveiller l'application du RGPD dans un État membre ; en France, la CNIL. |
| Autorité chef de file | Autorité de l'établissement principal d'un organisme présent dans plusieurs pays, qui coordonne les procédures (guichet unique). |
| Base légale | Fondement juridique qui rend un traitement licite ; l'article 6 en prévoit six. |
| BCR | Binding Corporate Rules, ou règles d'entreprise contraignantes, qui encadrent les transferts au sein d'un groupe (article 47). |
| Biométrie | Données issues d'un traitement technique des caractéristiques physiques ou comportementales (empreinte, visage) permettant d'identifier une personne. |
| CEPD | Comité européen de la protection des données, qui réunit les autorités nationales et harmonise l'interprétation du RGPD. En anglais : EDPB. |
| Clauses contractuelles types | Modèles de contrats adoptés par la Commission européenne pour encadrer les transferts hors de l'Union ou la sous-traitance. |
| CNIL | Commission nationale de l'informatique et des libertés, autorité de contrôle française créée en 1978. |
| Consentement | Manifestation de volonté libre, spécifique, éclairée et univoque, par un acte positif clair. |
| Cookie | Petit fichier ou traceur déposé dans le terminal de l'utilisateur ; ceux qui ne sont pas indispensables exigent son consentement. |
De D à L
| Terme | Définition |
|---|---|
| Décision d'adéquation | Décision de la Commission reconnaissant qu'un pays tiers protège suffisamment les données (article 45). |
| Destinataire | Personne ou organisme qui reçoit communication de données, qu'il s'agisse ou non d'un tiers. |
| Donnée à caractère personnel | Toute information se rapportant à une personne physique identifiée ou identifiable. |
| Donnée sensible | Donnée relevant d'une catégorie particulière de l'article 9 : santé, origine, opinions, religion, syndicat, génétique, biométrie, vie ou orientation sexuelle. |
| DPF | Data Privacy Framework, cadre d'adéquation applicable depuis juillet 2023 aux entreprises américaines certifiées. |
| DPO | Data Protection Officer, ou délégué à la protection des données, chargé de piloter la conformité (articles 37 à 39). |
| Durée de conservation | Période pendant laquelle les données peuvent être gardées, fixée selon la finalité. |
| ePrivacy | Directive 2002/58/CE sur la vie privée dans les communications électroniques, qui régit les cookies et la prospection électronique. |
| Fichier | Ensemble structuré de données accessibles selon des critères déterminés, informatique ou papier. |
| Finalité | Objectif précis pour lequel des données sont traitées. |
| Guichet unique | Mécanisme qui confie à une autorité chef de file le suivi des traitements transfrontaliers d'un organisme. |
| HDS | Hébergeur de données de santé, certification obligatoire pour héberger des données de santé pour le compte d'autrui en France. |
| Intérêt légitime | Base légale fondée sur un intérêt réel du responsable, mis en balance avec les droits des personnes. |
| Limitation du traitement | Marquage des données pour en geler l'utilisation (article 18). |
De M à R
| Terme | Définition |
|---|---|
| Minimisation | Principe selon lequel seules les données nécessaires à la finalité sont collectées. |
| Mise en demeure | Mesure de la CNIL qui enjoint à un organisme de se mettre en conformité dans un délai donné. |
| NIR | Numéro d'inscription au répertoire, dit numéro de sécurité sociale, dont l'usage est strictement encadré en France. |
| Opt-in | Régime du consentement préalable, appliqué notamment à la prospection électronique des particuliers. |
| Opt-out | Régime de l'opposition, où la personne peut refuser à tout moment. |
| Personne concernée | Personne physique dont les données sont traitées. |
| PIA | Privacy Impact Assessment, autre nom de l'AIPD ; c'est aussi le nom de l'outil gratuit de la CNIL. |
| Portabilité | Droit de récupérer ses données dans un format réutilisable et de les transmettre à un autre organisme (article 20). |
| Privacy by design | Protection des données dès la conception d'un projet (article 25). |
| Privacy by default | Protection des données par défaut, avec les réglages les plus protecteurs activés (article 25). |
| Profilage | Traitement automatisé qui évalue des aspects personnels pour analyser ou prédire un comportement. |
| Pseudonymisation | Remplacement des identifiants par un code, la clé étant conservée à part ; les données restent personnelles. |
| Registre des traitements | Inventaire documenté des traitements d'un organisme (article 30). |
| Représentant | Personne établie dans l'Union désignée par un organisme étranger soumis au RGPD (article 27). |
| Responsable du traitement | Organisme qui détermine les finalités et les moyens d'un traitement. |
| Responsables conjoints | Organismes qui déterminent ensemble les finalités et les moyens d'un traitement (article 26). |
De S à V
| Terme | Définition |
|---|---|
| Soft opt-in | Exception permettant de prospecter par e-mail un client existant pour des produits analogues sans consentement préalable, avec droit d'opposition. |
| Sous-traitant | Organisme qui traite des données pour le compte et sur instruction du responsable. |
| Sous-traitant ultérieur | Prestataire auquel un sous-traitant confie à son tour une partie du traitement, avec l'autorisation du responsable. |
| Tiers | Personne autre que la personne concernée, le responsable, le sous-traitant et les personnes autorisées à traiter les données sous leur autorité. |
| Traceur | Tout dispositif qui lit ou écrit des informations dans le terminal : cookie, pixel, identifiant publicitaire, empreinte. |
| Traitement | Toute opération sur des données personnelles : collecte, enregistrement, consultation, modification, diffusion, effacement. |
| Transfert | Communication de données vers un pays situé hors de l'Espace économique européen. |
| Violation de données | Incident de sécurité entraînant destruction, perte, altération, divulgation ou accès non autorisé à des données. |
Les sigles à retenir
Quelques sigles reviennent sans cesse : RGPD (ou GDPR en anglais) pour le règlement lui-même, CNIL et CEPD pour les autorités, DPO pour le délégué, AIPD pour l'analyse d'impact, BCR et CCT pour les outils de transfert, DPF pour le cadre transatlantique, HDS pour l'hébergement des données de santé et RIA ou AI Act pour le règlement européen sur l'intelligence artificielle. Pour tester ce vocabulaire de façon ludique, rendez-vous sur le quiz RGPD.
RGPDRèglement général sur la protection des données (GDPR)
CNILAutorité de contrôle française
CEPDComité européen de la protection des données (EDPB)
DPODélégué à la protection des données
AIPDAnalyse d'impact (PIA)
CCT et BCROutils d'encadrement des transferts
DPFData Privacy Framework UE-États-Unis
RIARèglement sur l'intelligence artificielle (AI Act)
Les termes complémentaires
Les définitions suivantes complètent le lexique principal avec des notions fréquemment rencontrées dans les décisions de la CNIL, les contrats et les échanges avec les prestataires. Elles sont classées par ordre alphabétique.
| Terme | Définition |
|---|---|
| Action coordonnée | Opération menée simultanément par plusieurs autorités européennes sur un même thème, comme le droit d'accès en 2024 ou le droit à l'effacement en 2025, qui donne lieu à un rapport commun du CEPD. |
| Archivage intermédiaire | Phase de conservation des données qui ne sont plus utilisées couramment mais doivent être gardées pour une obligation légale ou un contentieux, dans un espace séparé à l'accès restreint. |
| Astreinte | Somme due par jour de retard dans l'exécution d'une injonction de la CNIL, qui peut atteindre 100 000 euros par jour dans la procédure ordinaire et 100 euros par jour dans la procédure simplifiée. |
| Authentification multifacteur | Méthode de connexion qui combine plusieurs éléments, comme un mot de passe et un code reçu sur un téléphone, et que la CNIL attend pour les accès exposés sur internet. |
| Bac à sable | Dispositif d'accompagnement de la CNIL qui suit pendant plusieurs mois quelques projets innovants sur un thème donné pour les aider à concevoir des services conformes. |
| Bandeau de consentement | Fenêtre affichée à l'arrivée sur un site pour recueillir le choix de l'utilisateur sur les traceurs, qui doit permettre de refuser aussi facilement que d'accepter. |
| Chiffrement | Technique qui rend les données illisibles sans la clé de déchiffrement, recommandée pour les postes portables, les sauvegardes et les échanges, et qui peut dispenser d'informer les personnes en cas de violation. |
| Code de conduite | Ensemble de règles élaborées par un secteur professionnel et approuvées par une autorité de contrôle, qui précise l'application du RGPD et peut servir à démontrer la conformité (article 40). |
| Consultation préalable | Saisine obligatoire de la CNIL avant la mise en œuvre d'un traitement lorsque l'analyse d'impact révèle un risque résiduel élevé que le responsable ne parvient pas à réduire (article 36). |
| Cookie wall | Pratique qui conditionne l'accès à un site à l'acceptation des cookies, admise seulement au cas par cas, notamment lorsqu'une alternative réelle et équitable est proposée. |
| Courtier en données | Entreprise qui collecte des données personnelles auprès de diverses sources pour les revendre ou les louer, notamment à des fins de prospection, activité très surveillée par la CNIL. |
| Déréférencement | Suppression, dans les résultats d'un moteur de recherche obtenus à partir du nom d'une personne, de liens vers des pages la concernant, sans supprimer la page elle-même. |
| Directives post-mortem | Instructions qu'une personne peut donner sur la conservation, l'effacement et la communication de ses données après son décès, prévues par l'article 85 de la loi Informatique et Libertés. |
| Double opt-in | Confirmation d'une inscription par un clic dans un courriel de validation, qui évite les inscriptions frauduleuses et renforce la preuve du consentement. |
| Empreinte du navigateur | Technique de suivi qui identifie un terminal à partir de ses caractéristiques techniques, soumise aux mêmes règles que les cookies. |
| Établissement principal | Lieu de l'administration centrale d'un organisme dans l'Union, ou lieu où sont prises les décisions sur les traitements, qui détermine l'autorité chef de file. |
| Exception domestique | Exclusion du champ du RGPD des traitements effectués par un particulier dans le cadre d'activités strictement personnelles ou familiales. |
| Formation restreinte | Organe de la CNIL, distinct de sa présidence, chargé de prononcer les sanctions à l'issue d'une procédure contradictoire. |
| Hameçonnage | Technique de fraude consistant à envoyer un faux message pour dérober des identifiants ou faire installer un logiciel malveillant, première cause de nombreuses violations de données. |
| Interface trompeuse | Conception d'un écran ou d'un parcours qui pousse l'utilisateur à faire un choix contraire à son intérêt, par exemple accepter des traceurs, pratique condamnée par le CEPD et le DSA. |
| Journalisation | Enregistrement des accès et des actions sur un système d'information, conservé de six mois à un an selon la recommandation de la CNIL. |
| Liste d'opposition | Liste tenue par un organisme pour ne plus solliciter les personnes qui se sont opposées à la prospection, admise malgré une demande d'effacement. |
| Liste Robinson | Liste d'opposition à la prospection postale gérée par l'Union française du marketing direct et digital, que ses adhérents s'engagent à consulter. |
| Mesures supplémentaires | Garanties techniques, contractuelles ou organisationnelles ajoutées aux clauses contractuelles types lorsque la législation du pays de destination ne protège pas suffisamment les données. |
| Moissonnage | Collecte automatisée de données sur des sites internet, utilisée notamment pour entraîner des modèles d'IA, admise sous conditions strictes. |
| Procédure simplifiée | Procédure de sanction créée en 2022 pour les dossiers simples, statuée par un seul membre, avec une amende plafonnée à 20 000 euros et sans publicité. |
| Rappel à l'ordre | Mesure correctrice par laquelle l'autorité constate un manquement sans prononcer d'amende. |
| Règlement type | Texte de la CNIL qui fixe les conditions de certains traitements, comme le contrôle d'accès biométrique sur les lieux de travail. |
| Référentiel | Document de la CNIL qui décrit les bonnes pratiques et les durées de conservation pour un type de traitement, comme la gestion du personnel ou des cabinets médicaux. |
| Résidence des données | Engagement d'un prestataire à stocker et traiter les données dans une zone géographique déterminée, par exemple l'Union européenne. |
| SecNumCloud | Qualification de l'ANSSI attestant d'un haut niveau de sécurité d'une offre cloud et de son immunité aux législations extraterritoriales. |
| TIA | Évaluation de l'impact d'un transfert, analyse de la législation du pays de destination exigée depuis l'arrêt Schrems II pour les transferts fondés sur des clauses contractuelles types. |
Les textes voisins du RGPD
Le droit numérique européen s'est enrichi de nombreux textes qui renvoient au RGPD pour les données personnelles. Leur vocabulaire apparaît de plus en plus souvent dans les échanges de conformité.
| Texte | Objet |
|---|---|
| AI Act | Règlement (UE) 2024/1689 sur l'intelligence artificielle, qui encadre les systèmes selon leur niveau de risque, entré en vigueur le 1er août 2024 et applicable progressivement. |
| Data Act | Règlement sur les données, applicable depuis le 12 septembre 2025, qui organise l'accès aux données des objets connectés et facilite le changement de fournisseur cloud. |
| Data Governance Act | Règlement sur la gouvernance des données, qui encadre la réutilisation des données du secteur public et les intermédiaires de données. |
| DMA | Règlement sur les marchés numériques, qui impose des obligations aux grandes plateformes dites contrôleurs d'accès, notamment sur la combinaison des données personnelles. |
| DSA | Règlement sur les services numériques, qui encadre les plateformes, interdit la publicité ciblée fondée sur les données sensibles ou visant les mineurs et proscrit les interfaces trompeuses. |
| EEDS | Espace européen des données de santé, règlement adopté en 2025 qui organise l'accès des patients à leurs données et la réutilisation des données de santé. |
| NIS 2 | Directive sur la cybersécurité, qui renforce les obligations de sécurité et de notification des incidents de nombreuses entités dans des secteurs essentiels et importants. |
| Omnibus numérique | Proposition de la Commission de novembre 2025 visant à simplifier plusieurs textes numériques, dont certaines règles du RGPD et des cookies, en cours de négociation. |
| Règlement de procédure | Règlement adopté en 2025 qui harmonise le traitement des plaintes transfrontalières, applicable à partir du 2 avril 2027. |
Les expressions anglaises courantes
Beaucoup de professionnels utilisent des termes anglais, hérités des pratiques internationales. Leur équivalent français est préférable dans les documents destinés au public, mais il est utile de les reconnaître.
| Terme anglais | Équivalent français |
|---|---|
| Data breach | Violation de données |
| Data controller | Responsable du traitement |
| Data processor | Sous-traitant |
| Data subject | Personne concernée |
| DPA (Data Processing Agreement) | Contrat de sous-traitance |
| DPIA | Analyse d'impact (AIPD) |
| Lawful basis | Base légale |
| Legitimate interest assessment | Mise en balance de l'intérêt légitime |
| Privacy notice | Mention d'information, politique de confidentialité |
| SCC (Standard Contractual Clauses) | Clauses contractuelles types |
| Subject access request | Demande d'accès |
| Dark pattern | Interface trompeuse |
Le mot « DPA » prête à confusion, car il désigne aussi en anglais une autorité de protection des données, comme la CNIL. Le contexte permet généralement de lever l'ambiguïté.
Les notions les plus souvent confondues
Certaines notions proches sont régulièrement confondues, ce qui conduit à des erreurs de conformité. L'anonymisation rend l'identification impossible de façon irréversible et fait sortir les données du RGPD, alors que la pseudonymisation remplace les identifiants par des alias mais laisse les données dans le champ du règlement. Le responsable du traitement décide des finalités et des moyens, alors que le sous-traitant agit pour son compte. Le consentement est une base légale parmi six, et non une obligation générale. La politique de confidentialité informe les personnes, alors que les conditions générales régissent un contrat. Le registre des traitements recense les activités, alors que le registre des violations consigne les incidents. Bien distinguer ces notions évite de nombreuses erreurs dans les documents et les procédures.
Un lexique enrichi régulièrement
Ce lexique est complété au fil des évolutions du droit, des décisions de la CNIL et des nouveaux textes européens, afin que chaque terme rencontré dans un guide trouve ici sa définition.
Retrouver un terme rapidement
Pour retrouver une définition, il suffit d'utiliser la fonction de recherche du navigateur, ou le moteur de recherche du site, qui reconnaît aussi les sigles et les synonymes : une recherche sur « DPO », « délégué » ou « délégué à la protection des données » mène au même guide.