Le règlement général sur la protection des données s'applique à toute entreprise qui collecte ou utilise des données personnelles, quelle que soit sa taille. Il ne se résume pas à un principe général : il fixe des obligations précises, chacune rattachée à un article, et chacune suppose un document ou une trace que l'entreprise doit pouvoir présenter. Dans le RGPD obligations des entreprises et droits des personnes se répondent : à chaque droit reconnu correspond une tâche à accomplir et une preuve à conserver.
Ce guide dresse l'inventaire de ces obligations, une par une, avec le texte applicable, ce qu'il faut produire et les entreprises concernées. Il ne reprend ni la définition du règlement, traitée dans notre article sur le RGPD, ni la conduite d'un projet de conformité, détaillée dans le guide de mise en conformité en PME. Il sert à vérifier, point par point, ce que vous avez déjà et ce qui manque.
Chapitre 01 — Qualifier votre rôle
Responsable de traitement ou sous-traitant : quel est votre rôle ?
Les obligations ne sont pas les mêmes selon que l'entreprise décide de l'usage des données ou qu'elle les traite pour le compte d'un client. Le responsable de traitement détermine les finalités et les moyens ; le sous-traitant agit sur ses instructions documentées. Au sens du RGPD obligations des entreprises et qualité juridique vont de pair : un même document n'est pas exigé des deux.
Une entreprise est souvent les deux à la fois. Elle est responsable de traitement pour la paie de ses salariés ou son fichier clients, et sous-traitante lorsqu'elle héberge ou gère des données pour ses propres clients. L'inventaire se fait donc traitement par traitement. Commencez par lister vos traitements, puis indiquez pour chacun votre rôle : c'est ce classement qui dit quelles lignes du tableau suivant vous concernent et quels documents vous devez détenir.
- Responsable de traitement : il répond de l'ensemble des obligations et doit démontrer sa conformité (article 24).
- Sous-traitant : il tient son propre registre, assure la sécurité, alerte son client en cas de violation et respecte le contrat conclu avec lui (articles 28, 30, 32 et 33).
Les articles cités dans ce guide renvoient au texte officiel du règlement (UE) 2016/679 sur EUR-Lex, également publié par chapitre sur le site de la CNIL.
Chapitre 02 — Obligations communes
Quelles obligations s'appliquent à toutes les entreprises ?
Sept obligations s'appliquent à toute entreprise qui traite des données personnelles, sans seuil de taille. Elles portent sur la licéité des traitements, la transparence, les droits des personnes, les prestataires, la sécurité et les incidents. Le tableau ci-dessous indique, pour chacune, l'article et la preuve attendue.
| Obligation | Texte | Ce qu'il faut produire | Qui est concerné |
|---|---|---|---|
| Base légale et principes | Art. 5 et 6 | Base légale et durée de conservation justifiées pour chaque traitement | Tout responsable de traitement |
| Information des personnes | Art. 13 et 14 | Mentions d'information sur les formulaires, contrats et politique de confidentialité | Tout responsable de traitement |
| Exercice des droits | Art. 12 et 15 à 22 | Procédure de traitement des demandes et historique des réponses | Tout responsable de traitement |
| Encadrement des prestataires | Art. 28 | Contrat ou clauses de sous-traitance | Responsable et sous-traitant |
| Sécurité des données | Art. 32 | Mesures techniques et organisationnelles documentées | Responsable et sous-traitant |
| Violations de données | Art. 33 et 34 | Documentation interne de chaque violation, notification à la CNIL si risque | Responsable ; le sous-traitant alerte son client |
| Protection dès la conception | Art. 25 | Trace des choix faits à la conception et des réglages par défaut | Tout responsable de traitement |
Deux délais se retrouvent dans le texte. La réponse à une demande d'accès, de rectification ou d'effacement intervient dans un délai d'un mois, prolongeable de deux mois selon la complexité et le nombre de demandes (article 12 du RGPD). Une violation présentant un risque pour les personnes est notifiée à la CNIL si possible dans les 72 heures ; toute violation, même non notifiée, est documentée en interne (CNIL, notifier une violation).
Pour le contenu des mentions d'information, la CNIL publie une fiche sur l'information des personnes. Pour les contrats avec vos prestataires, elle propose des exemples de clauses de sous-traitance à adapter à chaque prestation.
Chapitre 03 — Obligations selon la situation
Registre, délégué, analyse d'impact : êtes-vous concerné ?
Trois obligations dépendent de la situation de l'entreprise : le registre dans sa forme complète, le délégué à la protection des données et l'analyse d'impact. Chacune est déclenchée par des critères fixés dans le règlement, qu'il faut vérifier plutôt que supposer.
Le registre est-il obligatoire sous 250 employés ?
En pratique, presque toujours. L'article 30.5 écarte le registre pour les organisations de moins de 250 employés, sauf si le traitement comporte un risque, n'est pas occasionnel ou porte sur des données sensibles ou pénales. La CNIL précise que la paie ou la gestion des clients et fournisseurs sont des traitements non occasionnels à inscrire, et recommande d'intégrer au registre tout traitement en cas de doute.
La Commission européenne a proposé en 2025 d'alléger cette obligation pour les entreprises de taille intermédiaire (communiqué du CEPD). Au 28 septembre 2026, cette modification n'est pas en vigueur : le texte applicable est celui décrit ci-dessus.
Quand désigner un délégué à la protection des données ?
La désignation est obligatoire dans trois cas prévus à l'article 37 : organisme public, suivi régulier et systématique à grande échelle des personnes comme activité de base, ou traitement à grande échelle de données sensibles ou pénales comme activité de base. Hors de ces cas, elle reste facultative. Le délégué désigné est déclaré à la CNIL via son service de désignation en ligne et ses coordonnées sont publiées.
Quand une analyse d'impact est-elle exigée ?
L'analyse d'impact relative à la protection des données s'impose lorsqu'un traitement est susceptible d'engendrer un risque élevé (article 35). Le règlement cite le profilage produisant des effets juridiques, le traitement à grande échelle de données sensibles et la surveillance systématique à grande échelle d'une zone accessible au public. La CNIL publie les listes des traitements pour lesquels elle est requise ou non.
Enfin, un transfert de données hors de l'Union européenne, y compris vers un outil hébergé à l'étranger, doit reposer sur une décision d'adéquation ou sur des garanties appropriées, comme les clauses types de protection des données adoptées par la Commission européenne (chapitre V du RGPD).
Chapitre 04 — Vérifier vos preuves
Liste de contrôle des preuves à pouvoir présenter
Une obligation respectée sans trace écrite est difficile à démontrer. L'article 5.2 impose au responsable de traitement d'être en mesure de prouver sa conformité : c'est le principe de responsabilité. Dans le cadre du RGPD obligations des entreprises et preuves se confondent presque, car un contrôle porte sur des documents.
Pour toute entreprise
Selon votre situation
Les manquements sont passibles d'amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et 20 millions d'euros ou 4 % pour les manquements aux principes, aux droits des personnes et aux règles de transfert, le montant le plus élevé étant retenu (article 83 du RGPD).
Chapitre 05 — À retenir
À retenir
- Qualifiez d'abord votre rôle, responsable de traitement ou sous-traitant, pour chaque traitement.
- Sept obligations s'appliquent sans seuil : base légale, information, droits, prestataires, sécurité, violations, conception.
- La dérogation au registre sous 250 employés est étroite : la CNIL recommande d'inscrire tout traitement en cas de doute.
- Le délégué et l'analyse d'impact ne sont obligatoires que dans les cas prévus aux articles 37 et 35.
- Chaque obligation doit laisser une preuve écrite, présentable en cas de contrôle.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Registre des traitementsLe registre des traitements est le document, tenu par écrit, qui recense l'ensemble des traitements de données personnelles d'un organisme : finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité.
- Responsable de traitementLe responsable de traitement est la personne physique ou morale, l'autorité publique ou l'organisme qui détermine les finalités et les moyens d'un traitement de données personnelles. C'est lui qui répond en premier lieu du respect du RGPD.
- DPOLe DPO, ou délégué à la protection des données, est la personne désignée par un organisme pour l'informer, le conseiller et contrôler qu'il respecte le RGPD. Il est aussi l'interlocuteur de la CNIL et des personnes concernées.
- Sous-traitantLe sous-traitant est la personne physique ou morale, l'autorité publique ou l'organisme qui traite des données personnelles pour le compte et sur instruction d'un responsable de traitement, par exemple un éditeur de logiciel en ligne ou un prestataire de paie.
- AIPDL'AIPD, ou analyse d'impact relative à la protection des données, est une étude menée avant un traitement susceptible d'engendrer un risque élevé pour les personnes, afin d'évaluer ce risque et de définir les mesures pour le réduire.
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
