Dans le règlement (UE) 2016/679, l'article 5 fixe les principes de tout traitement et l'article 6 dit sur quel fondement il peut exister. Ces règles RGPD restent abstraites tant qu'on ne les confronte pas au terrain : voici, pour chacune, une situation d'entreprise, l'erreur fréquente et une décision de la CNIL qui l'a sanctionnée. Pour l'inventaire des documents à produire, consultez notre guide des obligations RGPD des entreprises.
Quels sont les principes de l'article 5 du RGPD ?
L'article 5 pose six principes dans son paragraphe 1 (licéité, loyauté et transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité et confidentialité) et un principe de responsabilité dans son paragraphe 2. Ces règles RGPD s'appliquent à tout traitement de données personnelles, quelle que soit la taille de l'organisme (texte sur le site de la CNIL).
« Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »
Licéité, loyauté et transparence
Un traitement doit reposer sur une base légale, ne pas prendre les personnes par surprise et leur être expliqué clairement, par écrit, dès la collecte. L'erreur fréquente consiste à présenter un dispositif de contrôle des salariés en réunion, sans aucune trace écrite. En décembre 2024, la CNIL a infligé 40 000 euros à une entreprise du secteur immobilier (délibération SAN-2024-021) : l'information des salariés sur leur surveillance était seulement orale, et le logiciel réalisant des captures d'écran régulières de leurs postes n'avait pas de base légale.
Limitation des finalités
Chaque donnée est collectée pour un objectif déterminé, explicite et légitime, puis ne doit pas être réutilisée d'une manière incompatible avec cet objectif. Confier à un réseau social les adresses d'un programme de fidélité pour y cibler des publicités est un nouvel usage, qui doit être annoncé et fondé. Pour une telle transmission, la CNIL a infligé 3,5 millions d'euros en décembre 2025 (délibération SAN-2025-017), faute de base légale et d'information (articles 6, 12 et 13) : le formulaire d'adhésion de plus de 10,5 millions de membres taisait cette transmission, et le consentement invoqué était invalide.
Minimisation des données
Seules les données adéquates, pertinentes et nécessaires à la finalité peuvent être collectées. Le réflexe « on garde tout au cas où » est l'erreur type, notamment en géolocalisation de véhicules. Le loueur UBEEQO INTERNATIONAL a été sanctionné de 175 000 euros en 2022 (communiqué de la CNIL) : ses véhicules remontaient leur position tous les 500 mètres, à chaque démarrage ou arrêt du moteur et à chaque ouverture des portières, au-delà des besoins de gestion de flotte ou de lutte contre le vol.
Exactitude
Les données doivent être exactes et, si nécessaire, tenues à jour, et les données inexactes rectifiées ou effacées sans tarder. En entreprise, cela vise par exemple un fichier de relance qui garde une facture réglée. L'exigence vaut aussi pour les fichiers publics : le 17 octobre 2024, la CNIL a rappelé à l'ordre les ministères de l'Intérieur et de la Justice, sur le fondement du régime « police-justice » de la loi Informatique et Libertés, parce que de nombreux parquets ne transmettaient pas les relaxes, acquittements, non-lieux et classements sans suite, laissant des fiches erronées qui peuvent peser sur l'accès à un emploi.
Limitation de la conservation
Une donnée ne se conserve que le temps nécessaire à sa finalité, puis elle est archivée si un texte l'impose, supprimée ou anonymisée. L'erreur courante : garder en base active des clients partis depuis des années. En janvier 2026, dans une décision qui retenait aussi des manquements à la sécurité, FREE MOBILE a été sanctionnée de 27 millions d'euros (délibération SAN-2026-001), notamment parce qu'elle conservait sans justification les données de millions d'anciens abonnés.
Intégrité et confidentialité
Les données doivent bénéficier d'une sécurité appropriée contre l'accès non autorisé, la perte ou l'altération (article 32). L'erreur fréquente est de connaître une faille et de la laisser en l'état. En décembre 2025, l'éditeur NEXPUBLICA FRANCE a été sanctionné de 1,7 million d'euros (délibération SAN-2025-015) : dans son logiciel utilisé par des organismes d'action sociale, des utilisateurs accédaient aux documents d'autres personnes, alors que des audits antérieurs avaient signalé les vulnérabilités.
Responsabilité
Respecter les règles RGPD ne suffit pas : il faut pouvoir le démontrer (documentation à jour, analyses d'impact quand elles sont requises, traçabilité des accès). Cette exigence se traduit notamment par l'article 35 : dans la décision SAN-2024-021 déjà citée, la CNIL a relevé l'absence d'analyse d'impact alors que la surveillance des salariés était systématique, ainsi que des comptes administrateurs partagés (article 32) empêchant de savoir qui avait accédé à quoi.
Quelles sont les six bases légales de l'article 6 ?
Un traitement n'est licite que s'il repose sur au moins une des six bases de l'article 6 : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public ou intérêt légitime. Selon la CNIL, ce choix doit intervenir avant tout début de mise en œuvre du traitement. Parmi les règles RGPD, c'est un préalable : sans base légale, le traitement est illicite.
| Base légale | Situation d'entreprise | Erreur fréquente |
|---|---|---|
| Consentement | Inscription à une lettre d'information, cookies publicitaires | Case précochée ou consentement noyé dans les conditions générales |
| Contrat | Livrer une commande, verser un salaire | Y rattacher des usages non nécessaires au contrat, comme la publicité |
| Obligation légale | Conserver les factures, effectuer les déclarations sociales | Invoquer une obligation sans identifier le texte qui l'impose |
| Intérêts vitaux | Urgence médicale sur un site | L'étendre à des situations sans urgence |
| Mission d'intérêt public | Collectivités, organismes publics | L'invoquer sans mission confiée par un texte |
| Intérêt légitime | Sécurité des locaux, prospection entre professionnels | Omettre la mise en balance avec les attentes des personnes |
L'intérêt légitime suppose de peser l'intérêt de l'entreprise face aux droits des personnes. Le 5 décembre 2024, la CNIL a sanctionné la société KASPR de 240 000 euros (délibération SAN-2024-020) : son extension collectait les coordonnées d'utilisateurs de LinkedIn qui avaient restreint leur visibilité, ce qui dépassait ce que ces personnes pouvaient raisonnablement attendre. Voir aussi notre article sur la prospection B2B.
À retenir
- Les règles RGPD tiennent en sept principes (article 5) et six bases légales (article 6), applicables à toute organisation.
- Chaque principe trouve une illustration dans les décisions de la CNIL, du rappel à l'ordre à l'amende de plusieurs millions d'euros.
- Les erreurs sanctionnées sont concrètes : collecte excessive, conservation sans limite, faille connue non corrigée.
- La base légale se choisit avant le traitement, finalité par finalité, et figure dans l'information des personnes.
- La responsabilité impose de prouver la conformité, pas seulement de la pratiquer.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Base légaleLa base légale est le fondement juridique qui autorise un traitement de données personnelles. Le RGPD en prévoit six : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public et intérêt légitime.
- FinalitéLa finalité est l'objectif précis pour lequel des données personnelles sont collectées et traitées. Le RGPD impose qu'elle soit déterminée, explicite et légitime, et interdit d'utiliser ensuite les données pour un but incompatible.
- TransparenceLa transparence est le principe qui oblige l'organisme à informer les personnes de façon concise, compréhensible et facilement accessible sur l'utilisation de leurs données et sur leurs droits, dans un langage clair et simple.
- ConsentementLe consentement est une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte, par une déclaration ou un acte positif clair, que ses données personnelles soient traitées.
- ExactitudeL'exactitude est le principe qui impose que les données personnelles soient exactes et, si nécessaire, tenues à jour. L'organisme doit prendre des mesures raisonnables pour effacer ou rectifier sans tarder les données inexactes.
