Le RGPD en pratique : 5 exemples concrets en entreprise

Le RGPD s'applique dès qu'une entreprise manipule une information liée à une personne. Cet article aborde le RGPD exemple à l'appui : il part de cinq situations ordinaires d'une PME, chacune rattachée à l'article du texte ou à la page de la CNIL qui la fonde. Pour les principes généraux, consultez notre article RGPD : définition et obligations.

Qu'est-ce qu'une donnée personnelle dans une entreprise ?

Une donnée personnelle est toute information qui permet d'identifier une personne physique, directement ou indirectement. L'article 4 du RGPD la définit comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Le nom n'est donc pas nécessaire : un identifiant ou un recoupement suffit.

Premier cas : le fichier clients d'une entreprise de services. Il contient des noms, des adresses électroniques professionnelles, des numéros de téléphone et l'historique des commandes. Ce sont des données personnelles, y compris l'adresse nominative d'un interlocuteur professionnel. D'autres informations le sont aussi :

• le numéro de badge d'accès aux locaux et les horaires de passage associés ;
• l'adresse IP enregistrée par le serveur du site internet ;
• l'image d'un salarié ou d'un visiteur filmée par une caméra ;
• la plaque d'immatriculation et la position d'un véhicule de service.

La CNIL publie d'ailleurs des exemples de mentions d'information pour plusieurs de ces situations (badge, géolocalisation, vidéosurveillance, formulaire de collecte), à adapter à chaque cas.

Comment choisir la base légale d'un traitement ?

Chaque traitement doit reposer sur l'une des six bases légales de l'article 6 du RGPD : consentement, contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public ou intérêt légitime. La CNIL rappelle que ce choix se fait avant tout début de mise en œuvre du traitement (page CNIL sur les bases légales). Ce choix a des effets sur les droits des personnes.

Deuxième cas : une même entreprise gère plusieurs traitements, et chacun a sa propre base légale. Examiner le RGPD exemple par exemple évite une base légale unique pour toute l'activité. Le tableau ci-dessous donne des correspondances courantes, à confirmer au cas par cas.

Comment répondre à un client qui demande ses données ?

Vous devez répondre gratuitement, en principe dans un délai d'un mois, et transmettre une copie des données ainsi que les informations prévues par le texte. L'article 12 du RGPD permet de prolonger ce délai de deux mois pour une demande complexe, à condition d'en informer la personne dans le premier mois.

Troisième cas : un ancien client écrit au service commercial pour savoir quelles informations l'entreprise conserve sur lui. Il exerce son droit d'accès prévu à l'article 15 du RGPD. Selon la fiche de la CNIL consacrée à ce droit, une pièce d'identité n'est pas exigée par défaut : elle ne peut être demandée qu'en cas de doute raisonnable sur l'identité du demandeur. Le traitement de la demande suit généralement ces étapes :

1. 1Enregistrer — Noter la date de réception, qui fait courir le délai d'un mois.
2. 2Vérifier — Confirmer l'identité du demandeur par tout moyen, sans exiger de pièce d'identité en l'absence de doute raisonnable.
3. 3Rechercher — Interroger chaque outil concerné : logiciel de facturation, CRM, messagerie, sauvegardes.
4. 4Répondre — Transmettre la copie des données, les finalités, les destinataires, la durée de conservation et les droits dont dispose la personne.

Que prévoir avec un prestataire qui traite vos données ?

Un prestataire qui traite des données pour votre compte est un sous-traitant, et la relation doit être encadrée par un contrat conforme à l'article 28 du RGPD. Vous restez responsable du traitement et devez choisir un prestataire qui présente des garanties suffisantes.

Quatrième cas : une PME confie sa paie à un cabinet externe et héberge son CRM chez un éditeur en ligne. Les deux prestataires sont des sous-traitants. Le contrat précise notamment l'objet et la durée du traitement, les catégories de données, l'obligation d'agir sur instruction documentée, la sécurité et le sort des données en fin de contrat. En cas de violation de données, le sous-traitant doit vous en avertir dans les meilleurs délais, puisque c'est à vous qu'il revient de notifier la CNIL dans les meilleurs délais et, si possible, dans les 72 heures, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes (article 33 du RGPD). La CNIL met à disposition des exemples de clauses de sous-traitance : de quoi appliquer le RGPD exemple à l'appui.

Quelles sanctions la CNIL prononce-t-elle contre les entreprises ?

La CNIL sanctionne aussi des manquements du quotidien, comme la surveillance excessive des salariés. Le montant maximal prévu par l'article 83 du RGPD atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, mais le montant prononcé dépend notamment de la gravité du manquement et de la situation de l'organisme.

Cinquième cas : dans un communiqué du 22 mai 2025, la CNIL indique avoir rendu depuis janvier 2025 dix décisions de sanction dans le cadre de sa procédure simplifiée, pour un montant cumulé de 104 000 euros. Six d'entre elles concernent la surveillance des salariés. D'autres portent sur la sécurité des accès ou l'absence de notification d'une violation.

Le communiqué applique le même raisonnement à la géolocalisation continue des véhicules des salariés. La CNIL y lit le RGPD exemple après exemple : un dispositif utile à l'entreprise doit rester proportionné au but poursuivi.

À retenir

Lire le RGPD exemple par exemple fait ressortir cinq réflexes.

• Une adresse IP, un badge ou une image de caméra sont des données personnelles au même titre qu'un nom.
• Chaque traitement repose sur une base légale choisie avant sa mise en œuvre, parmi les six de l'article 6.
• Une demande d'accès appelle une réponse gratuite en principe sous un mois, prolongeable de deux mois si la demande est complexe.
• Tout prestataire qui traite des données pour vous doit être lié par un contrat conforme à l'article 28.
• La CNIL a sanctionné en 2025 plusieurs employeurs pour une surveillance disproportionnée de leurs salariés.