- Le RGPD, ou Règlement général sur la protection des données, est le règlement (UE) 2016/679. Il fixe les conditions dans lesquelles votre entreprise peut collecter et utiliser des données sur des personnes, ainsi que les droits de ces personnes.
- Il s’applique dans toute l’Union européenne depuis le 25 mai 2018. Art. 99
- En France, la loi Informatique et Libertés de 1978 le complète, et la CNIL (Commission nationale de l’informatique et des libertés) en contrôle l’application.
- Il est né parce que la loi européenne précédente datait de 1995, avant les réseaux sociaux et les smartphones, et que chaque pays l’appliquait à sa façon.
- La taille de votre entreprise n’y change rien : un fichier clients, des dossiers du personnel ou une liste d’abonnés à une newsletter suffisent pour qu’il s’applique. Art. 2 et 3
- Les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Art. 83, paragraphe 5
Qu’est-ce que le RGPD ?
Le RGPD est la loi européenne sur la protection des données personnelles. Parce que c’est un règlement, il s’applique directement en France, tel quel. La loi Informatique et Libertés reste en vigueur à ses côtés : réécrite en 2018, elle règle les points que le RGPD laisse à chaque pays et fixe les pouvoirs de la CNIL.
Deux définitions suffisent pour savoir si une activité de votre entreprise est concernée.
Une donnée personnelle est toute information se rapportant à une personne identifiable : un nom, une adresse e-mail, un numéro client, l’immatriculation de la camionnette d’un fournisseur, l’adresse IP d’un visiteur de votre boutique en ligne. Art. 4, point 1
Un traitement recouvre presque tout ce que vous faites de ces données : les collecter, les conserver, les consulter, les envoyer par e-mail, les effacer. Le tableur Excel qui contient votre liste de clients est déjà un traitement. Art. 4, point 2
En revanche, les contacts que vous gardez dans votre téléphone pour un usage personnel échappent au RGPD. Art. 2, paragraphe 2, point c)
Chaque pays de l’UE a son autorité de contrôle ; en France, c’est la CNIL. Toutes se coordonnent au sein du Comité européen de la protection des données (CEPD), qui publie des lignes directrices sur l’interprétation du règlement. En cas de doute sur l’interprétation, consultez d’abord ces lignes directrices et les fiches pratiques de la CNIL.
Pourquoi le RGPD a-t-il été créé ?
Le RGPD a remplacé la directive 95/46/CE, qui datait de 1995. Ses considérants (le texte placé avant les articles, qui expose l’intention du législateur) avancent quatre raisons à ce changement.
La technologie avait dépassé la loi de 1995
En 1995, peu de gens avaient une adresse e-mail personnelle. Vingt ans plus tard, vos données circulaient entre réseaux sociaux, boutiques en ligne, services cloud et régies publicitaires qui établissaient des profils. Le règlement cite l’« évolution rapide des technologies » et la mondialisation parmi les nouveaux défis. Considérant 6
Chaque pays avait ses propres règles
La directive de 1995 devait être transposée : chaque pays a donc écrit sa propre loi, avec ses exceptions et ses sanctions. La France avait déjà la sienne depuis 1978 ; l’Espagne, l’Italie et l’Allemagne avaient aussi les leurs. Une boutique en ligne qui vendait en France, en Belgique et en Espagne devait donc composer avec trois régimes pour le même type de client. Le RGPD lui-même constate que cette fragmentation créait une insécurité juridique et freinait le marché intérieur. Considérants 9 et 10
La protection des données est devenue un droit fondamental
Avec le traité de Lisbonne, en 2009, la Charte des droits fondamentaux de l’UE est devenue contraignante. Son article 8 dispose que « toute personne a droit à la protection des données à caractère personnel la concernant ». De son côté, l’article 16 du traité sur le fonctionnement de l’UE a donné à l’Union la base juridique pour adopter une règle unique. Considérant 1
Les personnes avaient perdu le contrôle
Le règlement veut que chacun garde la maîtrise des données qui le concernent et que la confiance soit suffisante pour que l’économie numérique se développe. Considérant 7 Deux événements ont accéléré les négociations : les révélations de 2013 sur la surveillance de masse et l’arrêt de la Cour de justice de l’UE sur le « droit à l’oubli », en 2014.
La France avait une longueur d’avance
En France, l’idée n’avait rien de neuf. En 1974, un article du Monde intitulé « SAFARI ou la chasse aux Français » révèle un projet de l’administration : interconnecter les fichiers grâce à un identifiant unique. Le scandale aboutit à la loi du 6 janvier 1978, qui crée la CNIL, l’une des premières autorités de protection des données en Europe. Bon nombre de principes du RGPD, comme la finalité, le droit d’accès ou l’autorité indépendante, figuraient déjà dans ce texte.
De la proposition à l’application
| Date | Ce qui s’est passé |
|---|---|
| 21 mars 1974 | Le Monde publie « SAFARI ou la chasse aux Français » |
| 6 janv. 1978 | Loi Informatique et Libertés et création de la CNIL |
| 24 oct. 1995 | Adoption de la directive 95/46/CE |
| 6 août 2004 | Modification de la loi Informatique et Libertés pour transposer la directive |
| 25 janv. 2012 | La Commission européenne propose le nouveau règlement |
| 27 avr. 2016 | Le Parlement européen et le Conseil adoptent le RGPD |
| 25 mai 2018 | Le RGPD entre en application et la directive est abrogée |
| 20 juin 2018 | Loi relative à la protection des données personnelles, qui adapte le droit français |
| 12 déc. 2018 | Ordonnance de réécriture de la loi Informatique et Libertés |
Entre l’adoption et l’application, les entreprises ont eu deux ans pour se préparer. Beaucoup ont attendu mai 2018 : d’où l’avalanche d’e-mails de demande de consentement dont vous vous souvenez sans doute.
Les 7 principes du RGPD
Presque toutes les règles du RGPD découlent de sept principes. En cas de doute sur une pratique, passez-la au crible de ce tableau. Art. 5
| Principe | Ce que cela veut dire pour votre entreprise |
|---|---|
| Licéité, loyauté et transparence | Vous avez besoin d’une raison prévue par la loi pour utiliser les données, et vous dites aux personnes ce que vous en faites. |
| Limitation des finalités | Les données servent au but annoncé lors de la collecte. L’adresse e-mail donnée pour recevoir une facture ne peut pas servir à la newsletter sans autre formalité. |
| Minimisation des données | Ne demandez que ce dont vous avez besoin. Pour livrer un canapé, inutile de connaître la date de naissance du client. |
| Exactitude | Corrigez les données inexactes. |
| Limitation de la conservation | Fixez une durée de conservation pour chaque type de données, puis effacez. |
| Intégrité et confidentialité | Protégez les données contre les accès non autorisés, les pertes et les envois à la mauvaise personne. |
| Responsabilité | Vous devez pouvoir prouver, documents à l’appui, que vous respectez les six autres. |
C’est ce dernier principe qui demande le plus de travail au quotidien : il oblige à tenir des registres, à rédiger des politiques et à conserver la preuve que vos décisions ont été réfléchies. Art. 5, paragraphe 2
Les six bases légales
Pour utiliser des données personnelles, votre entreprise doit s’appuyer sur au moins l’une de ces bases : le consentement, l’exécution d’un contrat, une obligation légale, la sauvegarde des intérêts vitaux, une mission d’intérêt public ou l’intérêt légitime. Art. 6, paragraphe 1
Contrairement à une idée répandue, le RGPD n’impose pas de demander le consentement pour tout. Pour facturer un client, vous vous fondez sur le contrat et sur l’obligation légale de facturation. Lui demander son consentement serait même une erreur, puisqu’il pourrait le retirer.
Les droits des personnes
Vos clients, vos salariés et toute autre personne dont vous traitez les données peuvent exercer plusieurs droits auprès de vous. Vous disposez en règle générale d’un mois pour répondre. Art. 12, paragraphe 3
| Droit | Ce que la personne peut demander | Article |
|---|---|---|
| Information | Savoir qui traite ses données, pourquoi et pendant combien de temps | 13 et 14 |
| Accès | Une copie de ses données et l’explication de leur utilisation | 15 |
| Rectification | La correction de données inexactes | 16 |
| Effacement | La suppression de ses données, dans certains cas (« droit à l’oubli ») | 17 |
| Limitation | Le gel de l’utilisation de ses données le temps de régler une question | 18 |
| Portabilité | Ses données dans un format qu’elle peut emporter vers un autre service | 20 |
| Opposition | L’arrêt de l’utilisation de ses données pour certaines finalités, comme la prospection | 21 |
| Décisions automatisées | Ne pas faire l’objet d’une décision prise uniquement par un système et qui a des effets importants sur elle | 22 |
Vous avez reçu un e-mail réclamant « une copie de toutes les données que vous détenez sur moi » ? C’est une demande d’accès, et le délai d’un mois court déjà. Le guide Droit d’accès et droit à l’effacement détaille ce qu’il faut faire chaque jour de ce mois, modèles de réponse compris.
Ce que le RGPD demande à votre entreprise
Dans une PME, voici les obligations qui se présentent généralement en premier, dans l’ordre où nous vous conseillons de les traiter.
- Recensez les données que vous détenez, pourquoi vous les détenez et où elles se trouvent. C’est le registre des traitements, dont dépend presque tout le reste. Art. 30 Le guide Registre des traitements explique comment le remplir ; vous pouvez partir de notre modèle Excel gratuit ou du modèle de registre proposé par la CNIL.
- Informez les personnes, avec une politique de confidentialité claire sur votre site, dans vos formulaires et dans vos contrats. Art. 13
- Mettez en place une procédure pour les demandes d’accès, de rectification et d’effacement, et gardez-en la trace. Le registre des demandes d’accès et d’effacement calcule les délais à votre place.
- Sachez quoi faire en cas d’incident. Si une violation de données personnelles présente un risque pour les personnes, vous devez la notifier à la CNIL dans les 72 heures, week-end compris, via son téléservice en ligne. Art. 33 Le guide Violation de données : que faire dans les 72 premières heures vous accompagne heure par heure.
- Signez un contrat avec chaque prestataire qui traite des données pour votre compte (vos sous-traitants), comme votre logiciel de facturation ou votre outil d’e-mailing. Art. 28
- Vérifiez si vous devez désigner un délégué à la protection des données (DPO). C’est obligatoire pour les organismes publics et pour les organisations dont l’activité principale implique un suivi des personnes à grande échelle ou le traitement de données sensibles à grande échelle. Art. 37 La désignation se déclare en ligne auprès de la CNIL. Beaucoup de PME qui n’y sont pas tenues font tout de même appel à un DPO externalisé. Vous êtes consultant et suivez plusieurs entreprises ? Le guide DPO externalisé avec plusieurs clients a été écrit pour vous.
Ce qui est propre à la France
La loi Informatique et Libertés ajoute au RGPD quelques règles qu’une PME française doit connaître :
| Sujet | Règle en France |
|---|---|
| Âge du consentement en ligne | 15 ans ; en dessous, le consentement est donné conjointement par le mineur et ses parents (art. 45 de la loi) |
| Directives post mortem | Chacun peut laisser des directives sur le sort de ses données après son décès (art. 85 de la loi) |
| Numéro de sécurité sociale (NIR) | Son utilisation est encadrée par un décret et réservée à certains usages (art. 30 de la loi) |
| Cookies et traceurs | Consentement préalable, sauf pour les traceurs strictement nécessaires (art. 82 de la loi, lignes directrices de la CNIL) |
| Sanctions | La CNIL peut prononcer des amendes et les rendre publiques ; une procédure simplifiée existe pour les dossiers simples (art. 20 et 22-1 de la loi) |
Le RGPD est-il en train de changer ?
Le texte de 2016 reste en vigueur, mais l’UE discute de modifications qui allégeraient certaines obligations, en particulier pour les petites entreprises.
Le paquet Omnibus IV, proposé en mai 2025, élargit la dispense de registre des traitements : l’accord provisoire de juin 2026 vise les organisations de moins de 1 000 personnes. Le Digital Omnibus, présenté en novembre 2025, touche à la notification des violations de données et au traitement des demandes d’accès excessives.
Aucune de ces modifications ne s’applique encore : ce sont les règles actuelles qui comptent aujourd’hui. Nous suivons chaque étape dans l’article Digital Omnibus : ce que Bruxelles veut changer pour les violations de données et le droit d’accès.
Questions fréquentes
Le RGPD s’applique-t-il aux petites entreprises ?
Oui. Toute organisation qui traite des données personnelles y est soumise, quelle que soit sa taille. Les structures de moins de 250 salariés bénéficient d’une dispense partielle de registre, mais restent soumises à toutes les autres règles. Art. 30, paragraphe 5
Quelle différence entre le RGPD et la loi Informatique et Libertés ?
Le RGPD est le texte européen, d’application directe. La loi Informatique et Libertés est la loi française qui le complète : elle fixe à 15 ans l’âge du consentement en ligne, organise la CNIL et ses sanctions, et encadre les cookies. Vous êtes tenu de respecter les deux.
Le RGPD s’applique-t-il aux entreprises hors de l’UE ?
Oui, dès qu’elles proposent des biens ou des services à des personnes situées dans l’UE ou qu’elles suivent leur comportement, par exemple avec de la publicité ciblée. Art. 3, paragraphe 2
Qui contrôle le RGPD en France ?
La Commission nationale de l’informatique et des libertés (CNIL). C’est à elle que vous notifiez une violation de données, et c’est auprès d’elle qu’un client peut porter plainte.
Faut-il toujours le consentement pour utiliser des données personnelles ?
Non, ce n’est que l’une des six bases possibles. Pour facturer, livrer une commande ou établir la paie, vous vous appuyez sur le contrat ou sur une obligation légale. Art. 6, paragraphe 1
Sources
- Règlement (UE) 2016/679 (RGPD), considérants 1, 6, 7, 9 et 10 ; art. 2 à 6, 12 à 22, 28, 30, 33, 37, 83 et 99 (EUR-Lex)
- Directive 95/46/CE (EUR-Lex)
- Charte des droits fondamentaux de l’Union européenne, art. 8 (EUR-Lex)
- Traité sur le fonctionnement de l’Union européenne, art. 16 (EUR-Lex)
- Proposition de la Commission COM(2012) 11 (EUR-Lex)
- Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Légifrance)
- CNIL, la loi Informatique et Libertés et notifier une violation de données personnelles
- CNIL, désigner un délégué à la protection des données
- CEPD, site officiel
Mise à jour : 24 octobre 2026. Cet article est une information générale et ne remplace pas un conseil juridique sur un cas précis.