Le RGPD, ou Règlement général sur la protection des données, est aujourd'hui l'un des textes fondamentaux concernant la protection des données personnelles en Europe. Il encadre la manière dont les entreprises, administrations, associations et autres organismes peuvent collecter, utiliser, conserver et transmettre les données personnelles des personnes. Son objectif n'est pas d'interdire l'utilisation des données. Il cherche plutôt à établir un équilibre entre l'utilisation nécessaire des données et le respect des droits des personnes.

Quel est l'arsenal législatif ?

Toute société opérant sur le territoire européen doit respecter un certain nombre de règles lorsqu'elle traite des données personnelles. Le problème est particulier dans le domaine numérique : les technologies évoluent beaucoup plus rapidement que les textes de loi. Internet, les réseaux sociaux, le cloud, les smartphones, l'intelligence artificielle, les objets connectés ou encore les techniques de profilage font apparaître régulièrement de nouvelles situations. Le législateur ne peut donc pas raisonnablement écrire une loi différente pour chaque technologie ou pour chaque situation. La réglementation doit plutôt fixer des principes généraux, suffisamment solides pour continuer à s'appliquer lorsque les technologies évoluent.

C'est précisément l'une des caractéristiques du RGPD.

Le RGPD cherche moins à réglementer une technologie particulière qu'à encadrer l'utilisation des données personnelles, quelle que soit la technologie utilisée.

Un peu d'histoire

La protection des données personnelles en Europe ne commence pas avec le RGPD.

Bien avant l'explosion d'Internet, les États européens avaient déjà commencé à réfléchir aux conséquences de l'informatisation croissante des fichiers.

1978 : la loi Informatique et Libertés

En France, une étape majeure est franchie avec la loi Informatique et Libertés du 6 janvier 1978. Elle intervient dans un contexte où l'informatisation permet progressivement de constituer d'importants fichiers contenant des informations sur les individus. La loi crée également la CNIL, la Commission nationale de l'informatique et des libertés. Son principe fondateur peut être résumé ainsi :

L'informatique ne doit pas porter atteinte à l'identité, aux droits, aux libertés ou à la vie privée des personnes.

Cette loi constitue pendant plusieurs décennies le socle français de la protection des données.

Une protection qui devient européenne

Avec le développement d'Internet et l'augmentation des échanges de données entre pays européens, il devient nécessaire d'harmoniser les règles. L'Union européenne adopte en 1995 une directive sur la protection des données personnelles. Cette directive constitue pendant de nombreuses années le principal cadre européen.

Mais Internet évolue profondément :

  • commerce en ligne
  • moteurs de recherche
  • réseaux sociaux
  • smartphones
  • cloud
  • publicité ciblée
  • géolocalisation
  • objets connectés
  • intelligence artificielle

Une nouvelle réglementation devient nécessaire.

2016 : naissance du RGPD

Le RGPD est adopté le 27 avril 2016. Il entre en application le 25 mai 2018. Il remplace la directive européenne de 1995 et cherche notamment à harmoniser les règles de protection des données dans l'Union européenne. C'est un changement important. Le RGPD devient un règlement européen, et non une simple directive. Il s'applique donc directement dans les États membres, même si certaines dispositions doivent être complétées par les législations nationales.

Que protège le RGPD ?

Le RGPD protège les données à caractère personnel.

Il s'agit de toute information permettant d'identifier directement ou indirectement une personne physique.

Cela peut être :

  • nom et prénom
  • adresse
  • numéro de téléphone
  • adresse mail
  • date de naissance
  • photographie
  • adresse IP dans certaines circonstances
  • identifiant
  • données de localisation
  • informations relatives aux achats
  • données de navigation
  • données bancaires
  • données de santé
  • données biométriques.

Une donnée peut donc être personnelle même si elle ne contient pas explicitement le nom de la personne.

Le RGPD ne concerne pas seulement les géants d'Internet

C'est un point important. Le RGPD concerne potentiellement :

  • les multinationales
  • les PME
  • les artisans
  • les associations
  • les administrations
  • les collectivités
  • les professions libérales
  • les commerçants
  • les sites Internet.

Une petite entreprise qui conserve les coordonnées de ses clients traite déjà des données personnelles.

Quel est le champ d'application du RGPD ?

Le RGPD s'applique principalement lorsque des données personnelles sont traitées dans le cadre des activités d'un organisme établi dans l'Union européenne. Mais son champ d'application est plus large.

Une entreprise située en dehors de l'Union européenne peut également être concernée lorsqu'elle propose des biens ou services à des personnes se trouvant dans l'Union européenne ou lorsqu'elle surveille leur comportement. C'est une caractéristique importante du RGPD.

Une entreprise ne peut pas simplement échapper au RGPD parce que ses serveurs ou son siège sont situés hors d'Europe.

Les grands principes du RGPD

Le RGPD repose sur plusieurs principes fondamentaux.

1. La licéité

Une organisation doit avoir une base légale pour traiter les données.

Par exemple :

  • consentement
  • contrat
  • obligation légale
  • intérêt légitime
  • sauvegarde des intérêts vitaux
  • mission d'intérêt public

2. La transparence

La personne doit savoir qui utilise ses données, pourquoi et comment. Les politiques de confidentialité doivent donc fournir des informations compréhensibles sur les traitements réalisés.

3. La limitation des finalités

Une entreprise ne doit pas collecter une donnée pour une raison puis l'utiliser ensuite librement pour une autre finalité incompatible.

Une donnée doit être collectée pour une raison déterminée.

4. La minimisation des données

C'est un principe particulièrement important :

Ne collecter que les données nécessaires. Une entreprise qui vend des livres en ligne n'a, par exemple, pas nécessairement besoin de connaître toutes les informations personnelles imaginables sur son client.

5. L'exactitude

Les données doivent être aussi exactes et à jour que nécessaire. Une personne doit pouvoir faire corriger des informations incorrectes.

6. La limitation de la conservation

Les données ne doivent pas être conservées indéfiniment sans justification. Une organisation doit déterminer combien de temps elle a besoin de conserver les données.

7. La sécurité

Les données doivent être protégées contre :

  • accès non autorisé
  • perte
  • destruction
  • modification
  • divulgation
  • vol

Cela implique notamment des mesures techniques et organisationnelles adaptées.

Le consentement : une idée souvent mal comprise

On entend souvent :

« Le RGPD oblige les sites à demander le consentement pour tout. »

C'est faux.

Le consentement n'est qu'une des bases légales possibles. Un organisme peut traiter certaines données sans demander un consentement lorsqu'une autre base juridique le permet. Par exemple, lorsqu'une personne achète un produit, le commerçant doit pouvoir traiter certaines données nécessaires à l'exécution de la commande.

Le RGPD ne signifie donc pas :

« aucune donnée sans consentement »

mais plutôt :

« aucun traitement de données personnelles sans fondement juridique valable ».

Les droits des personnes

L'un des grands apports du RGPD est de renforcer et d'harmoniser les droits des personnes.

Droit à l'information

La personne doit savoir comment ses données sont utilisées.

Droit d'accès

Elle peut demander quelles données sont détenues sur elle et obtenir certaines informations concernant leur traitement.

Droit de rectification

Elle peut demander la correction de données inexactes.

Droit à l'effacement

Dans certaines situations, elle peut demander la suppression de ses données. C'est souvent appelé le « droit à l'oubli », même si cette expression simplifie quelque peu le mécanisme juridique.

Droit à la limitation

Dans certaines circonstances, la personne peut demander que l'utilisation de ses données soit limitée.

Droit à la portabilité

Elle peut, dans certaines situations, récupérer ses données dans un format structuré et les transmettre à un autre organisme.

Droit d'opposition

Elle peut, dans certaines situations, s'opposer au traitement de ses données.

Les données sensibles

Le RGPD accorde une protection renforcée à certaines catégories de données. Il s'agit notamment des données révélant :

  • l'origine raciale ou ethnique
  • les opinions politiques
  • les convictions religieuses ou philosophiques
  • l'appartenance syndicale
  • les données génétiques
  • les données biométriques utilisées à certaines fins
  • les données concernant la santé
  • la vie sexuelle ou l'orientation sexuelle.

Le traitement de ces données est en principe interdit, sauf dans certaines situations prévues par le règlement.

Les fuites de données

Le RGPD impose également des obligations en cas de violation de données personnelles.

Une violation peut être :

  • un piratage
  • une perte de fichiers
  • un vol d'ordinateur
  • un mauvais destinataire d'un e-mail
  • une erreur humaine
  • une destruction accidentelle
  • une divulgation non autorisée

Lorsqu'une violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à l'autorité de contrôle compétente, en France la CNIL, dans les meilleurs délais et, si possible, dans les 72 heures après que l'organisme en a pris connaissance. Lorsque le risque est élevé, les personnes concernées doivent également être informées.

La CNIL : le gendarme français des données

La CNIL joue un rôle essentiel dans l'application du RGPD en France.

Elle peut :

  • informer les particuliers et les entreprises
  • publier des recommandations
  • contrôler les organismes
  • enquêter
  • mettre en demeure
  • prononcer des sanctions

Elle joue donc à la fois un rôle de conseil, de contrôle et de sanction.

Des sanctions importantes

Le RGPD prévoit des sanctions pouvant atteindre, selon la nature du manquement :

20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial

Le montant le plus élevé des deux pouvant être retenu.

Pour certaines catégories de violations, le plafond est de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Il faut toutefois éviter une autre idée reçue :

Une violation du RGPD ne signifie pas automatiquement une amende de 4 % du chiffre d'affaires.

La sanction dépend notamment de la gravité du manquement, de sa durée, du nombre de personnes concernées, du caractère intentionnel ou non et des mesures prises par l'organisme.

Les limites du RGPD

Le RGPD est un texte particulièrement important, mais il n'est évidemment pas une solution miracle.

⚠️ 1. La technologie évolue plus vite que le droit

C'est probablement la principale difficulté. Lorsque le RGPD a été adopté en 2016, certaines technologies aujourd'hui omniprésentes étaient encore peu développées :

  • IA générative
  • assistants IA
  • reconnaissance faciale à grande échelle
  • objets connectés
  • nouvelles techniques publicitaires
  • applications exploitant massivement les données.

Le texte doit donc être interprété et adapté à des technologies qu'il n'avait pas nécessairement anticipées dans leurs formes actuelles.

⚠️ 2. La complexité

Le RGPD est un texte juridique relativement complexe. Pour une petite entreprise, comprendre précisément :

  • les bases légales
  • les durées de conservation
  • les obligations documentaires
  • les sous-traitants
  • les transferts internationaux
  • les analyses d'impact

peut être difficile.

Le risque est alors de transformer la protection des données en une accumulation de documents plutôt qu'en une véritable démarche de sécurité.

⚠️ 3. Le problème des entreprises situées hors d'Europe

Le RGPD possède une portée extraterritoriale importante, mais faire respecter concrètement une réglementation à une entreprise située à l'autre bout du monde peut être beaucoup plus difficile. Une règle européenne ne suffit pas toujours à résoudre un problème international.

⚠️ 4. La difficulté des contrôles

Il est impossible pour une autorité de contrôler individuellement tous les sites Internet, toutes les entreprises et toutes les applications. Le système repose donc en grande partie sur :

  • la responsabilité des organismes
  • l'autocontrôle
  • les audits
  • les signalements
  • les contrôles des autorités

⚠️ 5. Le RGPD ne peut pas empêcher une fuite à lui seul

C'est un point essentiel. Le RGPD peut imposer des obligations de sécurité et sanctionner certains manquements, mais il ne peut pas empêcher techniquement un piratage.

Même une organisation très bien protégée peut être victime :

  • d'une vulnérabilité inconnue
  • d'une attaque sophistiquée
  • d'une erreur humaine
  • d'un vol de matériel
  • d'une compromission d'un prestataire

Le RGPD est donc un cadre juridique, pas un antivirus ni un pare-feu.

Le RGPD et l'intelligence artificielle

L'apparition de l'IA générative montre justement les limites d'une réglementation qui doit s'adapter à de nouvelles technologies. Une IA peut traiter d'énormes quantités de données et potentiellement manipuler des données personnelles. Le RGPD continue de s'appliquer lorsque des données personnelles sont traitées, mais l'Union européenne a également adopté un texte spécifiquement consacré à l'intelligence artificielle : l'AI Act.

On voit donc apparaître une approche intéressante :

Un texte général pour la protection des données, complété par des textes spécifiques pour certaines technologies ou certains secteurs.

Le RGPD : une philosophie plus qu'une simple liste d'interdictions

Le RGPD repose largement sur une logique de responsabilisation.

L'entreprise doit être capable de répondre à des questions simples :

Quelles données collectons-nous ?

Pourquoi les collectons-nous ?

Avons-nous le droit de les utiliser ?

Combien de temps les conservons-nous ?

Qui peut y accéder ?

Comment les protégeons-nous ?

Que faisons-nous si elles sont volées ?

Cette logique est importante parce qu'elle reste valable même lorsque la technologie change.