RGPD

Le RGPD (Règlement Général sur la Protection des Données, applicable depuis le 25 mai 2018) encadre le traitement des données à caractère personnel de toute personne dans l’Union européenne, quel que soit le lieu d’établissement de l’organisation qui traite ces données (portée extraterritoriale).

Les principes fondateurs (article 5)

Licéité, loyauté, transparence : une base légale claire pour chaque traitement (consentement, contrat, obligation légale, intérêt légitime…), et une information compréhensible des personnes concernées.
Limitation des finalités : les données collectées pour un but précis ne sont pas réutilisées pour un autre but incompatible sans nouvelle base légale.
Minimisation des données : ne collecter que ce qui est nécessaire à la finalité — pas “au cas où”.
Exactitude : des données tenues à jour, avec possibilité de rectification.
Limitation de la conservation : une durée de conservation définie et justifiée, pas indéfinie par défaut.
Intégrité et confidentialité : des mesures de sécurité appropriées (chiffrement, contrôle d’accès…).
Responsabilité (accountability) : pouvoir démontrer la conformité, pas seulement l’affirmer — c’est ce principe qui justifie la documentation (registre des traitements, analyses d’impact…).

Les droits des personnes concernées

Droit d’accès, de rectification, d’effacement (“droit à l’oubli”), de limitation du traitement, à la portabilité des données, d’opposition, et droit de ne pas faire l’objet d’une décision entièrement automatisée ayant un effet significatif (profilage). Une organisation doit pouvoir répondre à ces demandes en un mois.

Obligations organisationnelles concrètes

Registre des traitements : cartographier quels traitements existent, quelles données, quelle finalité, quelle base légale, combien de temps.
Analyse d’impact (AIPD/DPIA) obligatoire pour les traitements à risque élevé (profilage à grande échelle, données sensibles, surveillance systématique…).
DPO (Délégué à la Protection des Données) obligatoire pour les organismes publics, ou en cas de suivi régulier et systématique à grande échelle, ou de traitement à grande échelle de données sensibles.
Notification de violation : à l’autorité de contrôle (la CNIL en France) sous 72h si risque pour les droits et libertés des personnes, et aux personnes concernées si le risque est élevé.
Privacy by design / by default : intégrer la protection des données dès la conception d’un service, pas en rustine après coup.

Sanctions

Jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires mondial annuel (le montant le plus élevé), selon la gravité et la nature du manquement.