Que contiennent les 99 articles du RGPD ?

Comment lire le règlement ?

Le règlement (UE) 2016/679 s'ouvre sur 173 considérants, qui exposent les motifs du texte et aident à l'interpréter, avant ses 99 articles, qui seuls ont une valeur contraignante. Les articles sont regroupés en 11 chapitres, eux-mêmes parfois divisés en sections. La CNIL publie le texte intégral organisé par chapitre, avec des ancres vers chaque article ; le Journal officiel de l'Union a publié un rectificatif le 23 mai 2018, intégré dans les versions consultables. Cette page présente chaque article par son intitulé officiel et le résume en une phrase, avec un lien vers le chapitre correspondant et, lorsqu'il existe, vers le guide du site qui le détaille.

Chapitre I : dispositions générales (articles 1 à 4)

Le premier chapitre fixe l'objet du règlement, son champ d'application matériel et territorial, et les définitions, dont celles de donnée personnelle, de traitement, de responsable, de sous-traitant, de consentement et de violation de données.

Chapitre II : principes (articles 5 à 11)

Le chapitre II pose les principes du RGPD, les six bases légales et le régime des données sensibles. C'est le chapitre le plus souvent cité dans les décisions de sanction.

Chapitre III : droits de la personne concernée (articles 12 à 23)

Le chapitre III organise l'information des personnes et l'ensemble des droits des personnes, avec le délai d'un mois pour répondre.

Chapitre IV : responsable du traitement et sous-traitant (articles 24 à 43)

Le chapitre IV est le cœur opérationnel du RGPD : responsabilité, sous-traitance, registre, sécurité, violations, analyse d'impact, délégué, codes de conduite et certification. La méthode pour l'appliquer est décrite dans le guide de la mise en conformité RGPD.

Chapitre V : transferts hors de l'Union (articles 44 à 50)

Le chapitre V encadre les transferts de données hors de l'UE : adéquation, garanties appropriées, règles d'entreprise contraignantes et dérogations.

Chapitres VI et VII : autorités de contrôle et coopération (articles 51 à 76)

Ces chapitres organisent les autorités nationales comme la CNIL, leurs missions et pouvoirs, le guichet unique, l'assistance mutuelle et le Comité européen de la protection des données.

Chapitre VIII : recours, responsabilité et sanctions (articles 77 à 84)

Le chapitre VIII ouvre aux personnes le droit de porter plainte auprès de la CNIL et de saisir le juge, organise la réparation des dommages et fixe les sanctions RGPD.

Chapitres IX à XI : situations particulières et dispositions finales (articles 85 à 99)

Les derniers chapitres traitent de situations où les États adaptent les règles (presse, emploi, recherche, secret professionnel), des actes d'exécution de la Commission et des dispositions finales, dont l'abrogation de la directive de 1995 et la date d'application.

Et la jurisprudence ?

Le texte ne suffit pas toujours : la Cour de justice de l'Union européenne en précise régulièrement la portée, et ses arrêts s'imposent à toutes les juridictions et autorités nationales. Les décisions les plus structurantes, de Google Spain à SCHUFA en passant par Schrems II, sont présentées dans l'article du blog consacré à la jurisprudence RGPD. Le vocabulaire employé dans les articles est défini dans le lexique du RGPD.

Les articles les plus cités

Certains articles reviennent dans presque toutes les décisions et tous les échanges de conformité. L'article 4 fournit les définitions de base : données personnelles, traitement, responsable, sous-traitant, consentement, violation de données. L'article 5 énumère les principes et pose la responsabilité. L'article 6 liste les six bases légales. L'article 9 encadre les données sensibles. Les articles 12 à 14 organisent la transparence et l'information. L'article 15 régit le droit d'accès, l'article 17 l'effacement et l'article 21 l'opposition. L'article 25 impose la protection dès la conception et par défaut, l'article 28 la sous-traitance, l'article 30 le registre et l'article 32 la sécurité. Les articles 33 et 34 traitent des violations de données, l'article 35 de l'analyse d'impact et les articles 37 à 39 du délégué. L'article 44 et les suivants encadrent les transferts, l'article 82 la réparation et l'article 83 les amendes. Connaître ces vingt articles suffit pour s'orienter dans l'immense majorité des situations.

Les considérants, clés d'interprétation

Le RGPD est précédé de 173 considérants, qui exposent les motifs du texte. Ils n'ont pas de valeur normative propre, mais la Cour de justice et les autorités s'y réfèrent constamment pour interpréter les articles. Le considérant 26 éclaire la notion d'anonymisation, le considérant 30 mentionne les identifiants en ligne comme les adresses IP et les cookies, le considérant 32 précise les conditions du consentement, le considérant 47 illustre l'intérêt légitime, notamment pour la prospection et la prévention de la fraude, et le considérant 71 encadre le profilage et les décisions automatisées. Lire l'article et son considérant correspondant permet souvent de lever une ambiguïté.

Les lignes directrices du CEPD

Au-delà du texte, le Comité européen de la protection des données adopte des lignes directrices qui précisent l'interprétation des articles. Elles ne sont pas juridiquement contraignantes, mais les autorités nationales les appliquent et les juges s'en inspirent. Parmi les plus utiles figurent celles sur le consentement (5/2020), les notions de responsable et de sous-traitant (07/2020), le droit d'accès (01/2022), la notification des violations (9/2022), le champ territorial (3/2018), les interfaces trompeuses (03/2022), l'intérêt légitime (1/2024) et le calcul des amendes (04/2022). Elles sont publiées en français sur le site du CEPD et constituent un complément indispensable à la lecture des articles.

Retrouver un article rapidement

Le moteur de recherche de ce site permet de saisir directement « article 32 » ou « art. 17 » pour accéder au guide qui le commente, ainsi qu'au passage du texte correspondant. Le texte officiel est disponible sur EUR-Lex dans toutes les langues de l'Union, et la CNIL en propose une version commentée et navigable. Pour un usage quotidien, il est utile de garder à portée de main un tableau de correspondance entre les grands thèmes et les articles, comme celui proposé sur cette page.

Les articles qui renvoient au droit national

Plusieurs articles du RGPD invitent les États à compléter le texte. L'article 6, paragraphes 2 et 3, permet de préciser les obligations légales et les missions d'intérêt public. L'article 8 laisse le choix de l'âge du consentement numérique. L'article 9, paragraphe 4, autorise des conditions supplémentaires pour les données génétiques, biométriques ou de santé. L'article 23 permet de limiter certains droits pour des motifs d'intérêt public importants. Les articles 85 à 91 organisent les situations particulières : liberté d'expression, accès aux documents administratifs, numéro d'identification national, relations de travail, recherche, secret professionnel et églises. En France, ces renvois sont mis en œuvre par la loi Informatique et Libertés et par des textes sectoriels.

Des articles qui entrent en résonance

Les articles se lisent ensemble. Les principes de l'article 5 trouvent leur traduction dans les obligations des articles 24 à 39 ; les droits des articles 15 à 22 supposent l'information des articles 13 et 14 ; les sanctions de l'article 83 renvoient à la liste des manquements décrits ailleurs dans le texte. Cette cohérence d'ensemble explique qu'une même situation puisse donner lieu à plusieurs manquements distincts dans une décision de la CNIL, par exemple un défaut d'information, une durée de conservation excessive et une sécurité insuffisante dans le même fichier.

Le texte a-t-il été modifié depuis 2016 ?

Le RGPD n'a fait l'objet que d'un rectificatif linguistique depuis son adoption. Plusieurs textes en discussion visent toutefois à l'ajuster : le règlement de procédure pour l'application transfrontière, adopté et applicable à partir du 2 avril 2027, harmonise le traitement des plaintes entre autorités ; la proposition dite « Omnibus numérique » présentée par la Commission en novembre 2025 envisage notamment de modifier certaines définitions et règles sur les cookies et l'intelligence artificielle, et faisait encore l'objet de négociations à la date de mise à jour de ce guide. Les articles cités ici correspondent au texte en vigueur.