🔐 RGPD : La donnée personnelle, ce nouveau trésor (et casse-tête) juridique

📜 RGPD, késako ?

Le Règlement Général sur la Protection des Données (RGPD ou GDPR en anglais), c’est le texte européen de référence qui encadre la collecte, le traitement, et la protection des données personnelles des citoyens de l’UE.

• Entrée en vigueur : 25 mai 2018

• Juridiquement : Règlement UE 2016/679

• Applicabilité : immédiate dans tous les États membres, sans transposition nationale

🎯 Objectif : redonner le contrôle aux citoyens sur leurs données… et responsabiliser ceux qui les traitent.

👤 Donnée personnelle : de quoi parle-t-on exactement ?

Une donnée personnelle, c’est toute information permettant d’identifier une personne, directement ou indirectement.

Exemples :

• Nom, prénom

• Email (pro ou perso)

• Adresse IP

• Données de santé

• Identifiant client, badge entreprise

• Enregistrement vocal, image, empreinte digitale

• Donnée de géolocalisation

📌 Même un identifiant interne dans un CRM peut devenir une donnée personnelle s’il peut être rattaché à un individu.

🧑‍⚖️ Qui fait quoi dans le RGPD ?

👔 Responsable de traitement

C’est l’entité qui détermine les finalités et les moyens du traitement.

Ex : ton entreprise qui gère un fichier client = responsable de traitement.

🧑‍💻 Sous-traitant

C’est celui qui traite les données pour le compte du responsable.

Ex : une société d’hébergement, un éditeur SaaS, un prestataire marketing.

👤 Personne concernée

C’est la personne physique à qui les données appartiennent.

Spoiler : nous tous.

⚠️ Le responsable est le principal redevable en cas de manquement. Le sous-traitant doit, lui aussi, respecter certaines obligations, mais la responsabilité première reste en haut de la pyramide.

🧱 Que doit faire une entreprise pour être conforme ?

Voici les grands piliers du RGPD :

📌 Même un simple formulaire de contact sur un site WordPress est concerné.

📄 Les déclarations RGPD : faut-il toujours signaler à la CNIL ?

Bonne nouvelle : plus de déclaration systématique comme avant !
Mais il y a des obligations de documentation interne.

✅ Obligatoire :

• Registre des traitements (Art. 30)

• Analyse d’impact (AIPD / DPIA) si traitement à risque élevé (ex. : surveillance massive, profilage, données sensibles)

• Notification à la CNIL en cas de violation sous 72h

❌ Plus nécessaire :

• Déclarations classiques à la CNIL pour chaque traitement (comme avant 2018)

💥 Les sanctions RGPD : ça pique.

📌 Exemples concrets :

• H&M Allemagne : 35 millions d’€ pour surveillance abusive des employés

• British Airways : 22 millions d’€ pour fuite massive de données

• Google : 50 millions d’€ pour manque de transparence sur la collecte

• Carrefour France : 3 millions d’€ pour traitement illégal de données marketing

🧨 Oui, même une entreprise française peut être lourdement sanctionnée.

🏢 Exemple d’impact en entreprise

Cas fictif : Tartin’Press, société de presse locale en ligne

• Collecte les mails pour sa newsletter (consentement ? check ✅)

• Analyse les clics via un outil de tracking (profilage ? ➡️ AIPD à faire)

• Formulaire de contact sur le site (besoin d’info claire et registre)

• Stocke les contacts indéfiniment (🔥 à revoir)

• Utilise Google Fonts… en mode dynamique (⚠️ transfert vers les USA)

Résultat : registre incomplet, analyse de risque absente, cookies non conformes… On frôle la mise en demeure.

🧭 Par où commencer ?

1. Faire l’inventaire des traitements

2. Rédiger un registre RGPD

3. Mettre à jour vos mentions légales / politique de confidentialité

4. Revoir vos formulaires et bases légales

5. Former vos équipes (notamment marketing, RH, DSI)

6. Nommer un DPO (obligatoire dans certains cas, recommandé dans tous)

🎯 Conseil bonus : adoptez une démarche « privacy by design » dans tous vos projets futurs.

📌 Conclusion

Le RGPD n’est pas (juste) une usine à gaz administrative. C’est un levier de confiance, une bonne pratique d’entreprise, et une obligation légale. Le tout, sous la menace d’un gendarme (la CNIL) qui n’a plus peur de dégainer.

Alors autant jouer la carte de la conformité… avant que vos données ne deviennent un sujet judiciaire plutôt qu’un actif stratégique.