Chapitre 1 – Les données personnelles et la réglementation RGPD

1.1 – Définition des données personnelles et des données sensibles : catégories et exemples

Le RGPD pose une définition large et exigeante de la donnée personnelle. Une donnée personnelle, c'est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Le nom et le prénom sont les exemples les plus évidents, mais la notion va beaucoup plus loin : un numéro de téléphone, une adresse électronique professionnelle, une plaque d'immatriculation, un identifiant client, une adresse IP, une photographie où l'on reconnaît un visage, un enregistrement vocal ou même la combinaison de plusieurs éléments anodins (code postal, profession, date de naissance) permettent souvent de remonter à une personne unique. Pour Sophie, assistante dans un cabinet de kinésithérapie, cela signifie que la simple liste des patients reçus chaque semaine constitue déjà un traitement de données personnelles, soumis au cadre légal européen.

Le texte distingue ensuite les données dites « sensibles », qui méritent une protection renforcée parce que leur divulgation peut entraîner discrimination ou atteinte grave à la personne. L'article 9 du RGPD énumère ces catégories particulières : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques et biométriques utilisées pour identifier une personne, données concernant la santé, la vie sexuelle ou l'orientation sexuelle. Leur traitement est en principe interdit, sauf consentement explicite ou exception strictement encadrée (obligation légale, intérêt vital, mission de service public, etc.). Dans une mutuelle santé, par exemple, Karim manipulera quotidiennement des données de santé : il devra comprendre que ces fichiers ne se traitent pas comme un simple carnet d'adresses.

À côté de ces deux familles, le RGPD prête une attention particulière aux données pénales (condamnations, infractions) et aux données concernant les mineurs, dont le consentement ne peut être valablement donné qu'avec l'accord des parents jusqu'à un certain âge. Pour une école privée gérée par Inès, secrétaire administrative, cette distinction est centrale : photos de classe, dossiers médicaux scolaires, informations sur les difficultés d'apprentissage relèvent toutes de catégories à très haute exigence. Savoir classer une donnée, c'est déjà commencer à la protéger.

Données personnelles : 3 niveaux de sensibilité

1.2 – Les principes fondamentaux du RGPD : finalité, proportionnalité, durée de conservation

Le RGPD ne se contente pas d'énumérer des interdictions : il pose six grands principes qui structurent tout traitement de données personnelles. Les comprendre, c'est s'offrir une boussole pour évaluer instantanément toute pratique nouvelle dans l'organisation. Premier principe, la licéité, la loyauté et la transparence : on doit pouvoir collecter les données seulement sur une base juridique précise (consentement, contrat, obligation légale, intérêt légitime…) et informer clairement la personne. Deuxième principe, la limitation des finalités : la donnée est collectée pour un usage défini et ne peut pas être réemployée à d'autres fins sans information nouvelle.

Vient ensuite le principe de minimisation : on ne demande que ce qui est strictement utile au but poursuivi. Si Lucas, secrétaire d'une mairie, prépare un formulaire d'inscription à un atelier municipal pour seniors, il n'a aucun besoin d'exiger un numéro de carte vitale ; demander un nom, un téléphone et la commune de résidence suffit. Le quatrième principe est celui de l'exactitude : les données doivent être tenues à jour, et la personne doit pouvoir les faire corriger. Anaïs, assistante dans une PME industrielle, sait qu'un client qui déménage doit voir son adresse modifiée dans le CRM dans des délais brefs, sous peine d'expéditions perdues et d'informations sensibles dispersées.

Le cinquième principe, la limitation de la conservation, fixe une durée maximale au stockage : on n'archive pas les données « au cas où », on les conserve seulement le temps nécessaire au but, puis on les supprime ou on les anonymise. La CNIL recommande par exemple cinq ans pour les données clients après la fin de la relation commerciale, dix ans pour les pièces comptables. Enfin, l'intégrité et la confidentialité imposent des mesures techniques et organisationnelles appropriées pour empêcher les accès non autorisés et les altérations. À ces six principes s'ajoute la responsabilité (accountability) : l'organisation doit pouvoir prouver à tout moment qu'elle respecte ces règles, par sa documentation, ses politiques et ses traces écrites.

Les 6 principes fondamentaux du RGPD

1.3 – Les droits des personnes concernées : accès, rectification, effacement, portabilité

Le RGPD a renforcé considérablement les droits des personnes. Aujourd'hui, tout client, tout usager, tout salarié peut exercer plusieurs droits cumulatifs à l'égard d'une organisation qui détient ses données. Le premier est le droit à l'information : avant ou au moment de la collecte, la personne doit savoir qui traite ses données, pour quelle finalité, sur quelle base juridique, combien de temps, à qui elles sont transmises et quels sont ses droits. C'est l'objet des mentions RGPD que l'on trouve désormais dans tous les formulaires sérieux. Le deuxième est le droit d'accès : à tout moment, la personne peut demander une copie de ses données et savoir ce que l'organisation détient à son sujet.

Vient ensuite le droit de rectification : si une information est erronée, obsolète ou incomplète, l'organisation doit la corriger sans délai. Quentin, assistant dans une mutuelle, traite régulièrement des demandes d'adhérents qui changent d'adresse, de banque ou de situation familiale ; il sait qu'une non-correction pourrait entraîner l'envoi d'un courrier confidentiel à la mauvaise personne, avec toutes les conséquences que cela implique. Le droit à l'effacement, aussi appelé droit à l'oubli, autorise la personne à demander la suppression de ses données quand celles-ci ne sont plus nécessaires, quand le consentement est retiré ou quand le traitement est illicite. Ce droit n'est toutefois pas absolu : une obligation légale de conservation (par exemple les pièces comptables sur dix ans) peut s'y opposer.

Le RGPD a également créé deux droits plus récents et particulièrement modernes. Le droit à la portabilité permet à la personne de récupérer ses données dans un format structuré, lisible par machine, et de les transférer à un autre prestataire, par exemple lorsqu'elle change d'opérateur télécom ou de banque. Le droit d'opposition lui donne le pouvoir de refuser, pour des raisons tenant à sa situation particulière, certains traitements comme le marketing direct. À ces droits s'ajoutent enfin le droit à la limitation du traitement (geler temporairement l'usage des données pendant une vérification) et le droit de ne pas faire l'objet d'une décision automatisée produisant des effets juridiques. Maîtriser ces droits, c'est pouvoir orienter sans hésiter une demande d'usager vers la bonne procédure interne, dans le délai d'un mois prévu par le texte.

Les droits des personnes concernées (RGPD)

1.4 – Les obligations des organisations : registre de traitement, DPO, notification CNIL

Le RGPD transfère la charge de la preuve aux organisations : ce sont elles qui doivent démontrer, à tout moment, qu'elles respectent leurs obligations. Cette responsabilité, dite accountability, se traduit par plusieurs documents et fonctions qu'il faut connaître. Le pivot est le registre des activités de traitement, obligatoire pour toute organisation de plus de 250 salariés et fortement recommandé en dessous. Ce registre, tenu par le responsable de traitement, recense pour chaque traitement (paie, gestion clients, vidéosurveillance, recrutement, etc.) la finalité, les catégories de données collectées, les destinataires, la durée de conservation et les mesures de sécurité.

La fonction de DPO (Délégué à la Protection des Données, ou Data Protection Officer) a été créée par le règlement européen. Sa désignation est obligatoire pour les autorités publiques, les organismes qui réalisent un suivi régulier et systématique des personnes à grande échelle et ceux qui traitent à grande échelle des données sensibles. Théo, DPO d'une association de patients, conseille les responsables de traitement, contrôle la conformité, sert d'interlocuteur à la CNIL et aux personnes concernées. Lorsqu'aucune désignation n'est obligatoire, l'organisation a tout intérêt à nommer un référent informatique et libertés interne, qui pilote la conformité au quotidien.

L'obligation peut-être la plus connue et la plus stressante reste la notification des violations de données. En cas de fuite (vol d'ordinateur, intrusion, mauvais envoi massif…) susceptible d'entraîner un risque pour les droits et libertés des personnes, l'organisation doit notifier l'incident à la CNIL dans un délai de 72 heures après en avoir pris connaissance. Si le risque est élevé, elle doit en plus informer directement les personnes concernées. À cela s'ajoutent d'autres obligations transversales : analyse d'impact (AIPD) avant les traitements à risque, contrats spécifiques avec les sous-traitants (clause « article 28 »), privacy by design dès la conception d'un nouvel outil. Pour une assistante administrative, comprendre cette mécanique permet d'être un point d'alerte précieux pour la direction.

Les 4 obligations clés de l'organisation

1.5 – Les sanctions en cas de non-conformité : exemples de condamnations CNIL, amendes RGPD

Le RGPD est doté d'un véritable arsenal de sanctions, ce qui en a fait l'un des textes les plus dissuasifs au monde en matière de protection des données. La CNIL, autorité administrative indépendante française, dispose de plusieurs leviers d'action graduels. Elle peut adresser un avertissement, mettre en demeure une organisation de se conformer dans un délai donné, prononcer une injonction sous astreinte ou suspendre un traitement. Les sanctions financières sont les plus médiatisées : elles peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour une PME, une amende même mille fois plus modeste peut menacer la survie de l'activité.

Les jurisprudences récentes illustrent la diversité des manquements sanctionnés. Une grande chaîne de retail a été condamnée à plusieurs millions d'euros pour conservation excessive de données clients et défaut d'information sur les cookies. Un acteur des télécommunications a été sanctionné pour mauvaise gestion des droits d'accès. Une mutuelle a écopé d'une amende pour défaut de sécurité, après une fuite massive de données médicales. Une mairie a été rappelée à l'ordre pour vidéosurveillance disproportionnée du personnel et défaut d'information. Côté très petites structures, la CNIL multiplie aussi les mises en demeure publiques contre des cabinets médicaux ou dentaires pour absence de chiffrement, partage de mots de passe ou défaut de registre.

Au-delà de l'amende, les conséquences réputationnelles sont parfois plus douloureuses encore. Un cabinet comptable victime d'une fuite de données fiscales perd souvent une part importante de sa clientèle dans les mois qui suivent. Une école privée touchée par la publication accidentelle des notes des élèves voit s'effriter la confiance des familles. À ces risques s'ajoutent les actions civiles, désormais possibles en action de groupe, par lesquelles les personnes lésées peuvent réclamer des dommages et intérêts. Sans oublier le risque pénal : la collecte frauduleuse, l'usage détourné ou la révélation illicite de données personnelles peuvent constituer un délit, sanctionné par le code pénal de cinq ans d'emprisonnement et 300 000 euros d'amende. Anaïs, assistante dans une association, aura compris qu'un message d'erreur envoyé à toute la liste d'adhérents en clair n'est pas une simple maladresse : c'est potentiellement un manquement très coûteux.

L'échelle des sanctions RGPD