Qu'est-ce que le RGPD et pourquoi vous concerne-t-il ?

Le RGPD en une phrase

Le règlement général sur la protection des données, ou RGPD, est le texte européen qui fixe les règles applicables chaque fois qu'un organisme collecte, conserve, utilise, transmet ou supprime des informations relatives à une personne physique identifiable. Son nom officiel est le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; il compte 173 considérants, qui éclairent son interprétation, et 99 articles répartis en 11 chapitres. Il poursuit deux objectifs que l'article 1er énonce clairement : protéger les personnes physiques à l'égard du traitement de leurs données et garantir la libre circulation de ces données au sein de l'Union. Le RGPD n'interdit donc pas d'utiliser des données ; il exige qu'on le fasse pour une raison légitime, de façon transparente, proportionnée et sécurisée.

Les guides de la rubrique

Quels sont les grands principes du RGPD ?Sept règles tiennent tout l'édifice du RGPD. Les comprendre permet de répondre à la plupart des questions pratiques sans connaître le tex…Qu'est-ce qu'une donnée personnelle au sens du RGPD ?Nom, photo, adresse IP, plaque d'immatriculation, voix : une donnée personnelle est bien plus large qu'on ne l'imagine. Voici comment la…Que sont les données sensibles et quand peut-on les traiter ?Certaines informations exposent les personnes à des discriminations ou à des atteintes graves. Le RGPD les interdit par principe et n'aut…Quelle base légale choisir pour un traitement de données ?Aucun traitement n'est licite sans base légale. Il en existe six, et le consentement n'est pas toujours la meilleure option. Voici commen…Comment recueillir un consentement valable selon le RGPD ?Un consentement mal recueilli ne vaut rien, et le traitement qui en dépend devient illicite. Voici les règles pour qu'il soit valable et…À qui et à quels traitements le RGPD s'applique-t-il ?Une entreprise américaine qui vend à des Français est soumise au RGPD, un particulier qui gère ses photos de famille ne l'est pas. Les ar…Que reste-t-il de la loi Informatique et Libertés depuis le RGPD ?La loi française de 1978 n'a pas disparu avec le RGPD. Elle complète le règlement sur des points que l'Europe laisse aux États, et fixe l…Qui est le responsable de traitement et que doit-il faire ?Celui qui décide pourquoi et comment des données sont utilisées porte l'essentiel des obligations du RGPD. Encore faut-il savoir l'identi…Quelles sont les obligations d'un sous-traitant au sens du RGPD ?Hébergeur, éditeur de logiciel, centre d'appels, secrétariat externalisé : le sous-traitant traite des données pour le compte d'un client…Faut-il désigner un DPO et quel est son rôle ?Le délégué à la protection des données est le chef d'orchestre de la conformité. Obligatoire dans certains cas, recommandé dans beaucoup…Que fait la CNIL et quels sont ses pouvoirs ?Autorité administrative indépendante créée en 1978, la CNIL accompagne les organismes, reçoit les plaintes, contrôle et sanctionne. Voici…Que contiennent les 99 articles du RGPD ?Article 6, article 33, article 83 : ces numéros reviennent partout. Voici la carte complète du règlement, chapitre par chapitre, pour sav…

D'où vient le RGPD ?

Le règlement s'inscrit dans une longue histoire, et la France y a joué un rôle pionnier avec la loi Informatique et Libertés de 1978, qui a créé la CNIL. Au niveau européen, la directive 95/46/CE avait posé un premier socle commun, mais chaque pays la transposait à sa manière, ce qui produisait des règles différentes d'un État à l'autre au moment même où internet effaçait les frontières. Le RGPD, parce qu'il s'agit d'un règlement et non d'une directive, s'applique directement et de manière uniforme dans les 27 États membres, ainsi que dans les pays de l'Espace économique européen.

Le RGPD a-t-il été modifié depuis 2018 ?

Non, son texte n'a pas changé depuis son entrée en application. La Commission européenne a présenté en 2025 plusieurs propositions de simplification : l'une, dite Omnibus IV, assouplirait l'obligation de tenir un registre pour certaines entreprises de taille intermédiaire et a fait l'objet d'un accord politique provisoire en juin 2026 ; l'autre, le « Digital Omnibus » de novembre 2025, toucherait notamment aux cookies et à la notification des violations, et le Conseil de l'Union n'a arrêté sa position de négociation que le 21 octobre 2026. Tant qu'un texte n'est pas formellement adopté et publié au Journal officiel de l'Union, c'est la version actuelle du RGPD qui s'applique, y compris le délai de 72 heures pour notifier une violation. Un règlement distinct, publié en décembre 2025, organise par ailleurs la coopération entre autorités pour les plaintes transfrontalières ; il s'appliquera à partir d'avril 2027 et ne crée pas d'obligation nouvelle pour les entreprises.

Qu'est-ce qui est protégé, exactement ?

Le RGPD protège les données à caractère personnel, c'est-à-dire toute information se rapportant à une personne physique identifiée ou identifiable, directement (un nom, une photo) ou indirectement (un numéro de client, une adresse IP, une combinaison de critères). Il encadre le traitement de ces données, notion très large qui couvre toute opération, automatisée ou non : collecte, enregistrement, organisation, consultation, modification, diffusion, rapprochement ou effacement. Un fichier Excel de contacts, un logiciel de paie, une caméra, un formulaire de site internet ou un classeur papier rangé par nom sont autant de traitements. Le guide consacré aux données personnelles détaille les cas limites, comme les données pseudonymisées ou les informations sur les entreprises.

Ce qui sort du champ du RGPD

L'article 2 exclut plusieurs situations : les traitements effectués par une personne physique pour une activité strictement personnelle ou domestique (votre carnet d'adresses privé, vos photos de famille), les activités qui ne relèvent pas du droit de l'Union, comme la sécurité nationale, et les traitements des autorités pénales, régis par une directive spécifique dite « police-justice ». Les données réellement anonymisées échappent aussi au règlement, à condition que la réidentification des personnes soit devenue impossible par tout moyen raisonnable. Les données des personnes morales (le chiffre d'affaires d'une société, son numéro SIREN) ne sont pas des données personnelles, mais l'adresse électronique nominative d'un salarié ou le nom du gérant d'une entreprise individuelle en sont.

Qui doit appliquer le RGPD ?

Le règlement s'applique à tout organisme, public ou privé, qui traite des données personnelles : entreprises de toutes tailles, indépendants, professions libérales, associations, collectivités, administrations. Il n'existe pas de seuil minimal ; seules quelques obligations, comme la tenue du registre, prévoient des aménagements. Son champ territorial est très large : il vise les organismes établis dans l'Union, mais aussi ceux qui sont établis hors d'Europe lorsqu'ils proposent des biens ou des services à des personnes se trouvant dans l'Union ou suivent leur comportement, ce que détaille la page sur le champ d'application du RGPD.

Responsable du traitement et sous-traitant

Le texte distingue deux rôles. Le responsable du traitement détermine les finalités et les moyens : c'est lui qui porte l'essentiel des obligations et doit pouvoir démontrer sa conformité. Le sous-traitant traite les données pour le compte et sur instruction du responsable, comme un hébergeur, un éditeur de logiciel en ligne, un expert-comptable pour la paie ou un centre d'appels ; il a ses propres obligations, notamment de sécurité, et doit être encadré par un contrat. Un même organisme peut être responsable pour ses propres fichiers et sous-traitant pour ceux de ses clients.

Les grands principes à retenir

L'article 5 du RGPD pose six principes et une règle de responsabilité qui irriguent tout le reste du texte : les données doivent être traitées de façon licite, loyale et transparente, pour des finalités déterminées, en se limitant à ce qui est nécessaire, en restant exactes, pour une durée limitée, et avec une sécurité appropriée. Le responsable doit enfin être capable de prouver qu'il respecte ces règles, c'est le principe d'accountability. Chaque principe est développé avec des exemples dans le guide des principes du RGPD.

Une logique de responsabilité plutôt que de formalités

Avant 2018, de nombreux fichiers devaient être déclarés à la CNIL avant leur mise en œuvre. Le RGPD a supprimé l'essentiel de ces formalités préalables au profit d'une logique de responsabilisation : l'organisme documente lui-même ses traitements dans un registre, évalue les risques, réalise une analyse d'impact quand le risque est élevé, choisit des mesures de sécurité adaptées et garde la trace de ses décisions. En contrepartie, les contrôles sont plus exigeants et les sanctions beaucoup plus lourdes qu'auparavant.

Des droits renforcés pour chaque personne

Le chapitre III consacre des droits que toute personne peut exercer auprès de l'organisme qui détient ses données : être informée, accéder à ses données, les faire rectifier ou effacer, limiter leur utilisation, s'opposer à un traitement, récupérer ses données pour les transférer ailleurs et ne pas faire l'objet d'une décision entièrement automatisée produisant des effets juridiques importants. L'organisme doit répondre dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes, et gratuitement dans la grande majorité des cas. Si la réponse ne la satisfait pas, la personne peut adresser une réclamation à la CNIL ou saisir la justice.

Comment le texte est-il organisé ?

Connaître la structure du règlement aide à s'y repérer et à comprendre les références que l'on croise partout, comme « article 6 » pour les bases légales ou « article 33 » pour les violations. Les quatre premiers chapitres concentrent l'essentiel de ce qui concerne les entreprises et les associations au quotidien ; les suivants organisent les transferts hors d'Europe, le rôle des autorités de contrôle, leur coopération et les sanctions. La page consacrée aux articles du RGPD présente chaque chapitre et renvoie au texte intégral.

Que risque-t-on en ne respectant pas le RGPD ?

Les amendes administratives peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les manquements les plus graves. En France, la CNIL a prononcé 83 sanctions en 2025 pour un montant cumulé d'environ 487 millions d'euros, dont l'essentiel tient à deux décisions visant de très grands acteurs, mais la majorité des sanctions concerne des organismes de taille modeste, souvent via une procédure simplifiée. S'y ajoutent les risques d'injonction de mise en conformité, d'action en réparation des personnes lésées et, surtout, d'atteinte à la confiance des clients.

Le RGPD au quotidien : quelques situations concrètes

Pour mesurer la portée du règlement, il suffit de suivre une journée ordinaire. Le matin, un salarié badge à l'entrée de son entreprise : son heure d'arrivée est enregistrée dans un système qui relève du RGPD. Il consulte sa messagerie professionnelle, où figurent les coordonnées de clients et de fournisseurs. À midi, il réserve une table au restaurant par une application qui conserve son nom, son numéro et ses habitudes. L'après-midi, il reçoit un appel d'un centre de relation client qui enregistre la conversation. Le soir, il commande en ligne et accepte ou refuse des cookies. Chacune de ces opérations est un traitement de données personnelles, avec un responsable identifié, une finalité, une durée de conservation et des droits pour la personne. Le RGPD ne vise donc pas seulement les grandes plateformes numériques : il organise, en arrière-plan, une grande partie de la vie économique et sociale.

Pour une entreprise

Une entreprise applique le RGPD lorsqu'elle recrute, paie ses salariés, gère ses clients, prospecte, sécurise ses locaux, utilise un logiciel en ligne ou publie un site. Le règlement ne lui demande pas de renoncer à ces activités, mais de les organiser : savoir pourquoi elle collecte chaque donnée, ne garder que le nécessaire, protéger ce qu'elle détient, informer les personnes et répondre à leurs demandes. La plupart de ces exigences relèvent du bon sens et d'une gestion rigoureuse ; leur formalisation dans un registre et quelques procédures suffit souvent à couvrir l'essentiel pour une petite structure.

Pour une association ou une collectivité

Une association qui gère ses adhérents, un club sportif qui délivre des licences, une commune qui inscrit des enfants à la cantine ou une école qui utilise un espace numérique de travail sont soumis aux mêmes principes. Les collectivités et organismes publics ont toutefois des obligations renforcées sur certains points, comme la désignation obligatoire d'un délégué à la protection des données et l'utilisation de la mission d'intérêt public comme base légale de nombreux traitements.

Pour un particulier

Le particulier est surtout concerné comme titulaire de droits : il peut savoir ce qu'une entreprise sait de lui, faire corriger une erreur, obtenir la suppression de données inutiles, refuser la prospection ou saisir la CNIL. Il est aussi concerné comme responsable lorsqu'il exerce une activité, même accessoire, comme la location d'un logement saisonnier ou la vente en ligne : l'exception domestique ne joue alors plus pour les traitements liés à cette activité.

Le RGPD et les autres textes européens

Le RGPD n'est pas isolé. Il s'inscrit dans un ensemble de textes européens qui régissent le numérique et qui se combinent avec lui sans le remplacer. La directive ePrivacy de 2002 encadre les cookies et la prospection électronique ; la directive NIS2 renforce la cybersécurité de certaines entités essentielles et importantes ; le règlement sur les services numériques (DSA) impose des obligations aux plateformes en ligne, notamment sur la publicité ciblée ; le règlement sur les marchés numériques (DMA) encadre les très grands acteurs dits contrôleurs d'accès ; le règlement sur les données (Data Act), applicable depuis le 12 septembre 2025, organise le partage des données issues des objets connectés ; enfin, le règlement sur l'intelligence artificielle s'applique par étapes depuis 2025. Dans tous ces textes, le RGPD reste la référence dès que des données personnelles sont en jeu.

Une articulation à connaître

Pour une entreprise, cette superposition peut sembler complexe, mais la logique est simple : chaque texte traite d'un angle (sécurité des réseaux, responsabilité des plateformes, accès aux données des machines, risques de l'IA) et renvoie au RGPD pour la protection des personnes. Une petite entreprise qui respecte le RGPD et les règles sur les cookies couvre déjà l'essentiel de ce qui la concerne ; les autres textes visent surtout des acteurs spécifiques, comme les fournisseurs de services numériques, les opérateurs critiques ou les concepteurs de systèmes d'IA.

Les idées reçues les plus tenaces

Huit ans après son entrée en application, le RGPD reste entouré de nombreuses idées fausses, qui conduisent tantôt à une paralysie excessive, tantôt à une négligence coupable. On entend encore qu'il interdirait de conserver un fichier clients, qu'il imposerait un consentement pour tout, qu'il ne concernerait pas les petites entreprises ou qu'il suffirait d'ajouter une politique de confidentialité sur son site pour être en règle. Aucune de ces affirmations n'est exacte, et la plupart des difficultés pratiques se dissipent lorsqu'on revient aux principes du texte.

« Le RGPD interdit de garder des données »

Le règlement interdit de les garder sans raison ou plus longtemps que nécessaire, ce qui est très différent. Un commerçant peut conserver l'historique de ses clients pendant toute la relation commerciale, puis le temps imposé par les obligations comptables ou nécessaire à la gestion d'éventuels litiges. Il doit simplement fixer ces durées et les appliquer.

« Il faut un consentement pour tout »

Le consentement n'est qu'une des six bases légales. La plupart des traitements d'une entreprise reposent sur le contrat, l'obligation légale ou l'intérêt légitime. Demander un consentement inutile peut même être une erreur, car son retrait obligerait à interrompre un traitement indispensable.

« Une politique de confidentialité suffit »

La politique de confidentialité n'est que l'une des formes de l'information des personnes. Elle ne remplace ni le registre, ni la sécurité, ni la gestion des droits, ni l'encadrement des prestataires. Une politique parfaite qui décrit des pratiques inexistantes constitue même un manquement à la loyauté.

Par où commencer concrètement ?

Pour un organisme qui découvre le sujet, la première étape consiste à faire la liste de ce qu'il fait avec des données personnelles, service par service, puis à repérer les situations à risque : données sensibles, surveillance, transferts hors d'Europe, volumes importants, absence de sécurité. La deuxième consiste à désigner une personne chargée de suivre le sujet et à fixer un petit plan d'action. La troisième consiste à traiter les points les plus visibles, comme le site internet, les formulaires et la prospection, puis les points les plus risqués, comme la sécurité. Chaque étape est détaillée dans les guides de la rubrique ci-dessus, et la méthode complète figure dans le guide de la mise en conformité.

Ce que le RGPD ne règle pas

Le RGPD n'est pas un code complet du numérique. Il ne traite pas de la confidentialité des communications électroniques ni des cookies, qui relèvent de la directive ePrivacy transposée à l'article 82 de la loi Informatique et Libertés. Il ne régit pas les traitements des autorités pénales, couverts par la directive « police-justice » 2016/680, ni ceux des institutions européennes, soumis au règlement 2018/1725. Il ne remplace pas les règles sectorielles sur le secret médical, le secret bancaire ou le droit du travail, qui s'appliquent en parallèle. Il cohabite enfin avec une série de textes plus récents, comme le règlement sur les services numériques, le règlement sur les marchés numériques, le règlement sur les données ou le règlement sur l'intelligence artificielle, qui renvoient tous au RGPD pour ce qui concerne les données personnelles. Savoir ce que le règlement ne couvre pas évite de lui demander plus qu'il ne peut donner et oriente vers le bon texte.