RGPD.
Traiter licitement les données personnelles, protéger les droits et démontrer la mise en œuvre de manière traçable.
- Règlement (UE) 2016/679 · BDSG
- Par Derya Altinay
- À jour au 22/10/2026
- Temps de lecture : 10 min
Réponse courte.
Le RGPD régit le traitement des données personnelles dans son champ d’application européen. Les entreprises doivent disposer de bases légales adaptées, d’informations transparentes, de procédures pour les droits et de protections proportionnées aux risques. Selon l’art. 5, les responsables du traitement doivent démontrer le respect des principes. Les sous-traitants ont leurs propres obligations et les assistent.
RGPD : la protection des données au-delà de la sécurité informatique.
Le règlement général sur la protection des données est un acte de l’Union directement applicable protégeant les personnes physiques lors du traitement de leurs données personnelles. Le règlement (UE) 2016/679 s’applique depuis le 25 mai 2018 ; GDPR est son abréviation anglaise. En Allemagne, notamment la loi fédérale sur la protection des données et les dispositions sectorielles complètent le cadre européen.
Le RGPD demande d’abord si un traitement est permis et pour quelles finalités. Une base de données sécurisée ne détermine pas si les informations collectées sont nécessaires ni combien de temps elles peuvent être conservées. Les art. 5 et 6 RGPD associent principes et bases légales ; l’art. 32 concerne la sécurité du traitement dans ce cadre.
La protection des données reste une tâche continue puisque les finalités, les flux et les services utilisés évoluent. Selon l’art. 24 RGPD, le responsable du traitement doit prendre des mesures appropriées, vérifier leur adéquation et les actualiser si nécessaire. Un document rempli une seule fois ne remplace pas cette évaluation continue.
Les entreprises auxquelles le RGPD s’applique.
Selon l’art. 2, le RGPD s’applique aux traitements de données personnelles qui y sont visés, quelle que soit la taille de l’entreprise. Cela comprend par exemple les données clients, les dossiers de candidature ou les contenus de support contenant des données personnelles. Les données pseudonymisées restent personnelles si des informations supplémentaires permettent d’identifier une personne ; les informations réellement anonymes relèvent d’une autre qualification.
Le champ d’application territorial découle de l’art. 3 RGPD. Outre les traitements réalisés dans le cadre d’un établissement dans l’Union, certaines offres à des personnes dans l’Union ou le suivi de leur comportement par des entreprises hors de l’Union peuvent être concernés. La seule localisation du serveur ou l’accessibilité d’un site ne tranche pas la question.
Le rôle est déterminé pour l’activité concrète : les responsables du traitement décident des finalités et des moyens ; les sous-traitants traitent les données pour leur compte. Une organisation peut avoir différents rôles selon l’activité. Les art. 26 et 28 RGPD exigent des dispositions adaptées pour la responsabilité conjointe et la sous-traitance ; le seul intitulé d’un contrat ne clarifie pas le rôle réel.
Les exigences RGPD pour les entreprises.
Les exigences RGPD relient les décisions juridiques au fonctionnement réel du traitement. Sept domaines donnent des repères ; les obligations particulières supplémentaires dépendent du rôle, des données, de l’activité et des risques pour les personnes concernées.
Définir les principes et les bases légales.
Les art. 5 et 6 RGPD exigent un traitement licite, limité à ses finalités et traçable. Limitez les données et leur conservation au nécessaire et maintenez leur exactitude. Le consentement est une base légale possible ; ses conditions doivent être respectées tout autant que celles des autres bases légales.
Permettre la transparence et l’exercice des droits.
Les art. 12 à 22 RGPD portent sur les informations compréhensibles et les droits tels que l’accès, la rectification ou l’effacement. Ces droits ont des conditions et exceptions différentes. Responsabilités, recherche des données, vérification de l’identité et réponse sécurisée doivent être cohérentes ; une déclaration de confidentialité ne traite pas à elle seule une demande.
Organiser les responsabilités et les prestataires.
Les art. 24 à 30 RGPD organisent les obligations organisationnelles, la protection des données dès la conception, les rôles et les registres. La sous-traitance de l’art. 28 exige, outre une base contractuelle adaptée, des garanties suffisantes du prestataire. L’évaluation doit couvrir les sous-traitants ultérieurs et les circuits de données effectivement utilisés, au-delà des seules conditions générales.
Traduire l’art. 32 RGPD en mesures efficaces.
Les mesures techniques et organisationnelles doivent assurer un niveau de sécurité adapté au risque. L’art. 32 RGPD prend en compte le contexte du traitement, l’état de l’art, les coûts, la probabilité et la gravité des conséquences possibles pour les personnes. Selon le risque, cela comprend le contrôle des accès, le chiffrement, la capacité de rétablissement et des vérifications régulières d’efficacité ; une liste universelle figée ne suffit pas.
Examiner les risques particuliers et le besoin de conseil.
Une analyse d’impact relative à la protection des données selon l’art. 35 RGPD est nécessaire avant un traitement susceptible d’entraîner un risque élevé pour les droits et libertés. Vérifiez aussi les conditions de désignation d’un délégué à la protection des données selon l’art. 37 et, en complément, le § 38 BDSG. Sa fonction de conseil ne remplace pas la responsabilité du traitement.
Évaluer et notifier les violations de données.
L’art. 33 RGPD exige en principe une notification à l’autorité compétente, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. L’art. 34 régit séparément la communication aux personnes concernées en cas de risque élevé probable. Les sous-traitants informent le responsable sans délai ; la documentation des incidents reste une obligation distincte.
Encadrer séparément les transferts vers les pays tiers.
Le chapitre V RGPD impose des exigences supplémentaires aux transferts vers des pays tiers. Vérifiez les destinataires réels, les accès et le mécanisme de transfert pertinent. Un transfert autorisé ne remplace ni la base légale du traitement ni les autres obligations de protection des données ; un hébergement dans l’Union ne répond pas non plus à toutes les questions relatives aux accès externes.
La mise en œuvre du RGPD comme processus continu.
Délimiter les traitements et les rôles.
Pour commencer concrètement, recensez les finalités, personnes concernées, données, systèmes et destinataires d’une activité précise, puis clarifiez qui est responsable de chaque décision.
Vérifier la licéité et l’information.
Évaluez les bases légales, la nécessité et la conservation, puis comparez le traitement réel aux informations fournies aux personnes concernées.
Évaluer les risques et les obligations particulières.
Avant d’introduire ou de modifier sensiblement un traitement, examinez les risques pour les personnes et les conditions relatives à l’AIPD, au délégué à la protection des données, à la sous-traitance et aux transferts vers des pays tiers.
Mettre en œuvre et vérifier les mesures.
Reliez les décisions juridiques et organisationnelles aux mesures techniques adaptées et vérifiez notamment le fonctionnement des règles d’accès, de l’effacement et du rétablissement dans le service concerné.
Préparer concrètement les droits et les incidents.
Testez la détection, l’escalade, l’évaluation et le traitement dans les délais des demandes et des violations de données, y compris les transmissions entre entreprises et prestataires.
Actualiser la documentation avec les changements.
Actualisez les décisions et les preuves lorsque les finalités, destinataires ou risques changent, puis définissez qui suit les mesures ouvertes et déclenche le prochain examen.
Preuves RGPD et certification volontaire.
Selon l’art. 5, paragraphe 2, RGPD, la responsabilité signifie pouvoir expliquer et démontrer le respect des principes. Les documents adaptés peuvent inclure registres de traitement, bases légales justifiées, contrats, informations de confidentialité, AIPD et vérifications des protections. L’essentiel est qu’ils reflètent le traitement réel et montrent quelle décision a été prise sur quelle base.
L’autorité de protection des données dispose des pouvoirs d’enquête et de correction de l’art. 58 RGPD. La documentation doit donc être accessible, compréhensible et à jour. Le règlement ne crée pas d’obligation générale de certificat permettant à une entreprise de considérer tout son travail de protection des données comme définitivement accompli ; la responsabilité reste au responsable du traitement et aux acteurs tenus aux obligations concernées.
La certification de l’art. 42 RGPD est volontaire et porte sur des opérations de traitement évaluées selon des critères approuvés. Selon le paragraphe 4, elle ne réduit pas la responsabilité légale ; le paragraphe 7 limite sa durée à trois ans au maximum, avec renouvellement possible. Un certificat de sécurité de l’information ne constitue pas automatiquement une telle certification de protection des données.
La décision de notifier une violation de données doit être étayée séparément. L’art. 33 prévoit une notification sans délai et, si possible, sous 72 heures après en avoir pris connaissance, sauf si l’exception liée au risque s’applique. La documentation du paragraphe 5 couvre aussi les violations non notifiées ; la communication selon l’art. 34 suit son propre seuil de risque et ses exceptions.
Pour aller plus loin sur le blog.
- RGPD et sécuritéRelier les traitements, l’évaluation juridique et les protections au fonctionnement.
- Examiner la sous-traitanceComparer les engagements contractuels aux circuits réels de données du prestataire.
- Notifier une violation de donnéesPréparer plus précisément l’évaluation d’incident, la décision de notification et la documentation.
- Traiter les demandes d’accèsOrganiser la recherche, la vérification et la transmission sécurisée d’une réponse au droit d’accès.
Le RGPD et les autres référentiels.
ISO 27001 aide à organiser la sécurité de l’information, mais ne remplace pas l’examen des bases légales et des droits des personnes. NIS2 vise ses propres destinataires et obligations de notification ; un incident peut nécessiter des évaluations séparées selon les deux cadres. L’AI Act européen complète les exigences de certains systèmes d’IA sans remplacer l’examen de la protection des données des traitements personnels.
Dans Secani.
Secani propose un profil de protection des données couvrant les rôles, le contexte du traitement et les transferts, ainsi qu’un catalogue éditorial d’évaluation RGPD. Le profil consigne les données de l’entreprise et facilite un état des lieux structuré. L’évaluation spécialisée du traitement réel et de sa licéité reste une tâche distincte ; le profil n’est ni une autorisation officielle ni une analyse juridique automatique.
Prochaine étape.
Commencez par un traitement clairement délimité, par exemple la gestion des demandes de support. Décrivez sa finalité, les données, les personnes concernées, les services participants et les destinataires, puis examinez avec les spécialistes compétents la base légale adaptée. Consignez ensuite les mesures de protection et les procédures de droits et d’incidents réellement nécessaires.
Sources.
- Règlement (UE) 2016/679 : règlement général sur la protection des données
- BfDI : RGPD – BDSG, Info 1, version de mars 2026
- Commission européenne : champ d’application et rôles du RGPD
- Commission européenne : principes du traitement
- Commission européenne : obligations des entreprises
- CEPD : sécurité des données personnelles
- CEPD : violations de données personnelles
- CEPD : droits des personnes concernées
- § 38 BDSG : délégués à la protection des données des organismes non publics
Questions fréquentes.
Non. L’art. 6 RGPD prévoit différentes bases légales avec leurs propres conditions. La base pertinente dépend de la finalité et des faits concrets ; les exigences supplémentaires, notamment pour les catégories particulières de données, doivent être examinées séparément.
Non. Selon l’art. 33 RGPD, la notification à l’autorité peut être omise si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. Elle doit néanmoins être documentée ; la communication aux personnes concernées selon l’art. 34 doit être évaluée séparément.
Non. Un SMSI peut soutenir la sécurité du traitement, mais ne répond pas automatiquement aux questions de base légale, de transparence ou de droits des personnes. Son périmètre et le traitement réel doivent être examinés séparément.
Oui, si leur traitement entre dans le champ d’application matériel et territorial. La taille seule ne crée pas d’exception générale ; certaines obligations dépendent de conditions supplémentaires.
Organiser la protection des données de manière traçable.
Découvrez le profil de protection des données et le catalogue éditorial RGPD dans Secani.
Cette page propose une présentation générale et ne remplace pas une analyse juridique au cas par cas. Les dispositions en vigueur et le traitement concret font foi.