RGPD : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le RGPD (règlement général sur la protection des données) est le règlement européen 2016/679 qui encadre l'utilisation des données personnelles dans toute l'Union européenne. Il s'applique depuis le 25 mai 2018 aux entreprises, administrations et associations.
Ce qu'il faut comprendre
Le RGPD fixe les règles communes à tous les organismes qui collectent ou utilisent des données personnelles : principes à respecter, bases légales, droits des personnes, obligations de sécurité et de documentation. C'est un règlement, et non une directive : il s'applique directement dans chaque État membre, sans loi de transposition. En France, la loi Informatique et Libertés le complète sur les points que le texte européen laisse aux États, comme l'âge du consentement des mineurs en ligne.
Le RGPD vise tout organisme établi dans l'Union, quelle que soit sa taille ou sa forme : une TPE, un EHPAD, une commune de 300 habitants ou une association de quartier y sont soumis dès qu'ils traitent des données personnelles. Il vise aussi les organismes situés hors de l'Union qui proposent des biens ou des services à des personnes se trouvant dans l'Union, ou qui suivent leur comportement.
Le texte repose sur la responsabilisation. La déclaration préalable à la CNIL a disparu pour l'essentiel des traitements, mais l'organisme doit pouvoir prouver à tout moment qu'il respecte les règles. En cas de manquement, les amendes administratives peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Erreur fréquente : croire que le RGPD ne concerne que les grandes entreprises ou le numérique. Un fichier papier structuré, un tableau Excel d'adhérents ou un agenda de rendez-vous entrent aussi dans son champ, au même titre qu'un logiciel de gestion ou un site internet. Autre confusion courante : penser qu'une attestation ou un label suffit à être « conforme ». La conformité se démontre par une documentation tenue à jour et des pratiques réelles.
Exemple concret
Une PME de 40 salariés qui vend du matériel de bureau tient un fichier clients, gère la paie de ses salariés et envoie une lettre d'information. Ces trois activités relèvent du RGPD. L'entreprise doit les inscrire dans son registre, informer clients et salariés, limiter la durée de conservation des données et encadrer par contrat ses prestataires, comme l'éditeur du logiciel de paie ou l'outil d'envoi d'e-mails.
Textes de référence
- Règlement (UE) 2016/679 du 27 avril 2016
- RGPD, art. 3
- RGPD, art. 83, 5)
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
