Quels sont les grands principes du RGPD ?

Pourquoi les principes sont-ils si importants ?

Les principes du RGPD figurent à l'article 5 et forment la grille de lecture de tout le règlement : la CNIL s'y réfère dans presque toutes ses décisions de sanction, et la plupart des obligations détaillées ailleurs (information, durées de conservation, sécurité, registre) n'en sont que la déclinaison. Quand une situation n'est pas expressément prévue par le texte, se demander si elle respecte chacun de ces principes donne en général la bonne réponse. Ils s'appliquent à tous les traitements, du plus simple au plus complexe, et leur violation fait partie des manquements passibles des amendes les plus élevées.

Licéité, loyauté et transparence

Un traitement est licite lorsqu'il repose sur l'une des six bases légales prévues à l'article 6 : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public ou intérêt légitime. Il est loyal lorsqu'il ne trompe pas les personnes et ne détourne pas les données d'une manière qu'elles ne pouvaient raisonnablement pas attendre. Il est transparent lorsque les personnes savent qui utilise leurs données, pourquoi, pendant combien de temps et comment exercer leurs droits, grâce à une information concise, compréhensible et facilement accessible. Le guide des bases légales du RGPD aide à choisir la bonne pour chaque usage.

Un exemple concret

Une salle de sport qui demande la date de naissance de ses adhérents pour appliquer un tarif jeune agit de façon licite (exécution du contrat) et transparente si elle l'explique sur son formulaire. Elle deviendrait déloyale si elle utilisait ensuite ces dates pour revendre des listes à des annonceurs sans en avoir jamais parlé.

Limitation des finalités

Les données doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ensuite d'une manière incompatible avec ces finalités. Définir la finalité est donc la première étape de tout projet : « gérer les commandes », « recruter », « assurer la sécurité des locaux » sont des finalités ; « améliorer nos services » sans autre précision est trop vague. Une réutilisation ultérieure reste possible si elle est compatible avec l'objectif initial, ce qui s'apprécie selon le lien entre les deux finalités, le contexte de la collecte, la nature des données, les conséquences pour les personnes et les garanties mises en place (article 6, paragraphe 4). L'archivage dans l'intérêt public, la recherche scientifique ou historique et les statistiques bénéficient d'une présomption de compatibilité sous réserve de garanties appropriées.

Minimisation des données

Ne collecter que ce qui est adéquat, pertinent et limité à ce qui est nécessaire au regard de la finalité : ce principe se traduit très concrètement dans les formulaires, les logiciels et les habitudes de travail. Demander le numéro de sécurité sociale pour une inscription à une newsletter, la situation familiale d'un candidat ou une copie de pièce d'identité pour un simple retrait de colis sont des exemples typiques de collecte excessive relevés par la CNIL. La minimisation vaut aussi pour les accès : chaque salarié ne doit voir que les données utiles à sa mission.

Exactitude

Les données doivent être exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes soient effacées ou rectifiées sans tarder. Une adresse de livraison erronée, un relevé de compteur mal saisi ou un fichier d'impayés non mis à jour après régularisation peuvent avoir des conséquences réelles pour les personnes. Le droit de rectification, détaillé dans un guide dédié, permet aux personnes d'obtenir la correction, mais l'organisme ne doit pas attendre qu'on le lui demande.

Limitation de la conservation

Les données ne doivent pas être conservées sous une forme permettant d'identifier les personnes plus longtemps que nécessaire. Chaque traitement doit donc avoir une durée de conservation définie, souvent organisée en trois temps : une base active pour l'usage courant, un archivage intermédiaire lorsque la loi impose de garder certaines pièces ou en prévision d'un contentieux, puis la suppression ou l'anonymisation. La page sur la durée de conservation des données rassemble les principaux repères (clients, prospects, candidats, comptabilité, vidéosurveillance).

Intégrité et confidentialité

Le responsable doit garantir une sécurité appropriée des données, y compris contre le traitement non autorisé ou illicite, la perte, la destruction ou les dégâts d'origine accidentelle. L'article 32 précise que les mesures doivent être adaptées au risque, en tenant compte de l'état des connaissances, des coûts et de la nature des traitements : authentification robuste, gestion des habilitations, sauvegardes testées, chiffrement des supports mobiles, mises à jour, journalisation, sensibilisation du personnel. La sécurité n'est pas qu'informatique : une armoire de dossiers médicaux ouverte dans un couloir pose le même problème qu'un serveur sans mot de passe.

Le principe de responsabilité

Le paragraphe 2 de l'article 5 ajoute que le responsable du traitement est responsable du respect de ces principes et doit être en mesure de le démontrer. C'est le cœur de la logique du RGPD, souvent désignée par le terme anglais accountability : il ne suffit pas d'être conforme, il faut pouvoir le prouver lors d'un contrôle ou d'une réclamation. Registre des traitements, mentions d'information, contrats avec les sous-traitants, analyses d'impact, procédures de gestion des droits et des violations, preuves de consentement et traces des formations constituent cette documentation. Les articles 24 et 25 complètent ce principe en imposant de mettre en œuvre des mesures appropriées et d'intégrer la protection des données dès la conception des projets et par défaut.

Comment vérifier rapidement un traitement ?

Une méthode simple consiste à poser sept questions, une par principe : sur quelle base légale repose ce traitement, quel est son objectif précis, chaque donnée collectée est-elle vraiment utile, comment les données sont-elles tenues à jour, combien de temps sont-elles gardées, qui y a accès et comment sont-elles protégées, et quel document le prouve. Si l'une des réponses est hésitante, c'est là qu'il faut agir en priorité.

Les principes appliqués à trois situations courantes

Les principes prennent tout leur sens lorsqu'on les applique à des cas concrets. Trois situations fréquentes dans les petites et moyennes structures permettent de voir comment ils se combinent : un formulaire de devis sur un site internet, la gestion des candidatures et l'installation d'une caméra dans un entrepôt. Dans chacun de ces cas, il suffit de reprendre les sept règles une à une pour savoir ce qui est permis, ce qui doit être corrigé et ce qui doit être documenté. Cet exercice, simple et rapide, est la meilleure façon de s'approprier le RGPD sans le transformer en exercice purement juridique.

Le formulaire de devis

La finalité est claire : établir un devis et, si le client donne suite, gérer la relation commerciale. La base légale est l'exécution de mesures précontractuelles prises à la demande de la personne. La minimisation conduit à ne demander que le nom, les coordonnées utiles et la description du projet ; une date de naissance ou une situation familiale seraient excessives. L'exactitude suppose de permettre la correction des informations. La conservation peut être fixée à trois ans après le dernier échange si aucun contrat n'est signé. La sécurité passe par un formulaire en HTTPS et une boîte de réception protégée. La responsabilité se traduit par une fiche dans le registre et une mention d'information sous le formulaire.

Les candidatures

La finalité est de sélectionner des candidats pour un poste. Seules les informations en lien direct avec l'emploi peuvent être demandées, conformément au Code du travail. Les candidatures non retenues peuvent être conservées deux ans au plus après le dernier contact, à condition d'en informer les candidats. L'accès doit être limité aux personnes qui participent au recrutement, et les dossiers ne doivent pas circuler par des messageries personnelles. La transparence impose d'indiquer les méthodes de sélection utilisées, en particulier lorsqu'un outil automatisé intervient.

La caméra dans l'entrepôt

La finalité est la sécurité des biens et des personnes ; elle repose sur l'intérêt légitime de l'entreprise. La minimisation interdit de filmer en permanence un poste de travail ou une salle de pause. La conservation est limitée à quelques jours, un mois au maximum. La transparence impose des panneaux et une information des salariés. La sécurité impose de restreindre l'accès aux images. La responsabilité impose de documenter le dispositif et, le cas échéant, de consulter le comité social et économique.

Comment la CNIL contrôle-t-elle le respect des principes ?

Lors de ses contrôles, la CNIL vérifie très souvent les principes avant les obligations plus techniques. Elle demande la liste des données collectées et compare avec la finalité affichée pour vérifier la minimisation ; elle examine les bases de données pour constater si des données anciennes sont conservées sans justification ; elle vérifie les mesures de sécurité en se faisant présenter les habilitations, les mots de passe ou les journaux ; elle compare enfin l'information délivrée aux personnes avec la réalité des traitements. Les décisions de sanction publiées citent régulièrement l'article 5, notamment pour la conservation excessive (paragraphe 1, e) et la minimisation (paragraphe 1, c). En janvier 2026, la CNIL a par exemple relevé, dans sa sanction contre Free Mobile, une conservation de millions de données d'anciens abonnés sans justification.

Principes et innovation : un faux dilemme

On oppose parfois les principes du RGPD à l'innovation, comme s'ils empêchaient de développer de nouveaux services. En pratique, ils obligent surtout à poser les bonnes questions au bon moment : pourquoi avons-nous besoin de cette donnée, combien de temps, qui doit y accéder, que se passerait-il si elle fuitait. Un projet conçu avec ces questions en tête est généralement plus simple, plus sûr et mieux accepté par les utilisateurs. Les entreprises qui intègrent la protection des données dès la conception évitent aussi des refontes coûteuses et des crises de confiance. Le principe de responsabilité laisse d'ailleurs une grande liberté : le RGPD fixe des objectifs plus que des moyens, et chaque organisme choisit les mesures adaptées à sa taille et à ses risques.

Le cas de l'intelligence artificielle

Les systèmes d'intelligence artificielle mettent les principes à l'épreuve, car ils reposent souvent sur de grands volumes de données collectées pour d'autres finalités. Les autorités européennes ont rappelé que la minimisation, la limitation des finalités et la transparence s'appliquent pleinement, tout en admettant des adaptations : la finalité d'un modèle peut être définie de façon plus large au stade du développement, à condition d'être explicite, et la minimisation peut passer par la sélection, le filtrage ou la pseudonymisation des données d'entraînement.

Le cas des petites structures

Pour une petite entreprise, les principes se traduisent par quelques gestes simples : supprimer chaque année les fichiers devenus inutiles, limiter les accès aux dossiers sensibles, réfléchir avant d'ajouter un champ dans un formulaire, et garder une trace écrite de ses choix. Le principe de proportionnalité, qui traverse tout le texte, garantit que les attentes sont adaptées à la taille et aux risques de l'organisme.

Les principes dans le texte du règlement

Les principes ne se limitent pas à l'article 5 : on les retrouve déclinés tout au long du texte. La licéité est détaillée aux articles 6 à 10, la transparence aux articles 12 à 14, la limitation des finalités à l'article 6, paragraphe 4, la minimisation et la protection par défaut à l'article 25, la sécurité aux articles 32 à 34, la responsabilité aux articles 24 et 30. Les considérants 39 à 50 éclairent leur interprétation. Lire ces articles dans l'ordre, à partir de la page consacrée aux 99 articles du RGPD, permet de comprendre que le règlement forme un ensemble cohérent, construit autour de ces quelques règles fondamentales.

Les principes appliqués à un cas concret

Prenons une salle de sport qui souhaite gérer ses adhérents. La finalité est la gestion des abonnements et de l'accès aux locaux ; elle doit être annoncée dans l'information remise à l'inscription. La minimisation conduit à collecter l'identité, les coordonnées, la formule choisie et les informations de paiement, mais pas la profession, la situation familiale ou un certificat médical lorsque la loi ne l'exige pas. L'exactitude impose de permettre à l'adhérent de mettre à jour ses coordonnées depuis son espace personnel. La limitation de la conservation conduit à supprimer ou archiver les données quelques années après la fin de l'abonnement, selon les délais comptables et de prescription. La sécurité suppose des accès nominatifs au logiciel de gestion et une protection des données bancaires confiée à un prestataire de paiement certifié. Si la salle envisage un contrôle d'accès par reconnaissance faciale, elle doit s'interroger sur la proportionnalité : un badge suffit, et la biométrie serait très difficile à justifier. Enfin, la responsabilité impose de consigner ces choix dans le registre, de conserver les contrats avec le prestataire logiciel et de pouvoir les présenter.

Des principes qui se renforcent mutuellement

Les principes ne s'appliquent pas isolément. Une finalité mal définie rend impossible le respect de la minimisation, puisqu'on ne sait plus ce qui est nécessaire. Une conservation excessive aggrave les conséquences d'une faille de sécurité, puisqu'une fuite expose davantage de données. Une information défaillante empêche la loyauté et prive les personnes de leurs droits. À l'inverse, un traitement bien conçu dès le départ, avec une finalité claire, des données limitées et des durées courtes, est plus simple à sécuriser, plus facile à documenter et moins coûteux à faire évoluer. C'est le sens de la protection des données dès la conception, qui demande d'intégrer les principes au moment de la création d'un projet plutôt que de corriger après coup.

Les principes devant la CNIL et le juge

Les manquements aux principes de l'article 5 figurent parmi les griefs les plus fréquents dans les sanctions. La CNIL relève régulièrement des durées de conservation non définies ou non respectées, des collectes excessives au regard de la finalité, des données inexactes conservées sans mise à jour ou des traitements détournés de leur objectif initial. L'article 83 range la violation des principes de base parmi les manquements passibles de l'amende la plus élevée, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Les juridictions, de leur côté, s'appuient sur ces principes pour apprécier la licéité d'une preuve obtenue par un employeur, la régularité d'un fichier ou la responsabilité d'un organisme en cas de dommage. La Cour de justice en a fait le cadre de lecture de nombreuses questions, par exemple dans l'arrêt Digi du 20 octobre 2022 (C-77/21), qui a précisé la compatibilité d'une copie de base de données réalisée pour des tests avec la finalité initiale.