Le RGPD expliqué, article par article

Le RGPD protège les personnes physiques quand leurs données personnelles sont traitées. Il ne protège pas les entreprises ni les données anonymes, mais bien les individus : vos clients, vos salariés, vos prospects, vos usagers. Le texte poursuit deux objectifs en même temps : garantir un droit fondamental à la protection des données et permettre la libre circulation de ces données au sein de l'Union européenne. Autrement dit, il n'interdit pas d'utiliser des données, il encadre la manière de le faire.

Non, pas les données de la personne morale en tant que telle (raison sociale, chiffre d'affaires, adresse du siège). En revanche, dès qu'il s'agit d'une personne physique identifiable derrière cette entreprise, un contact commercial, un dirigeant, un salarié, ses données sont protégées. En pratique, la quasi-totalité des fichiers professionnels contiennent des données personnelles, ne serait-ce que les noms et emails des interlocuteurs.

Tous les traitements automatisés de données personnelles (logiciels, bases de données, sites web, applications), mais aussi les fichiers papier structurés, comme un classeur de fiches clients rangées par ordre alphabétique. Le support importe peu : ce qui compte, c'est qu'il y ait des données personnelles et un traitement organisé de ces données.

Oui. Le règlement ne couvre pas les activités strictement personnelles ou domestiques, comme votre répertoire téléphonique privé ou votre liste d'invités à un mariage. Il ne s'applique pas non plus aux traitements des autorités à des fins de prévention et de répression pénale, qui relèvent d'un autre texte. Pour une entreprise ou une association, en revanche, ces exclusions ne jouent quasiment jamais.

Oui. Dès qu'un responsable de traitement ou un sous-traitant est établi dans l'Union européenne, le RGPD s'applique à ses traitements, même si les données sont hébergées ou traitées ailleurs dans le monde. Le lieu du serveur ne change rien : c'est le lieu d'établissement de l'organisation qui déclenche l'application du texte.

Oui, dans deux cas. Si elle offre des biens ou des services à des personnes situées dans l'Union, même gratuitement, ou si elle suit leur comportement, par exemple via le traçage en ligne. Une société américaine qui vend en ligne à des clients français, ou qui analyse leur navigation, doit respecter le RGPD pour ces personnes. Elle doit alors désigner un représentant dans l'Union.

Toute information se rapportant à une personne physique identifiée ou identifiable. Cela va bien au-delà du nom : un email, un numéro de téléphone, une adresse IP, un identifiant client, une plaque d'immatriculation ou une localisation sont des données personnelles dès lors qu'ils permettent, seuls ou combinés, de remonter à une personne. Le champ est volontairement large.

Le responsable de traitement décide pourquoi et comment les données sont traitées : c'est le donneur d'ordre, par exemple votre entreprise qui gère la paie de ses salariés. Le sous-traitant agit pour le compte du responsable, selon ses instructions, par exemple le prestataire de logiciel de paie. Cette distinction commande la répartition des responsabilités, il est donc essentiel de savoir dans quel rôle on se trouve pour chaque traitement.

C'est tout incident de sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données. Un ordinateur portable volé, un email envoyé au mauvais destinataire, un piratage de base clients ou un ransomware sont des violations. Cette notion déclenche des obligations précises de notification, détaillées aux articles 33 et 34.

Le RGPD en fixe plusieurs, qui s'appliquent ensemble. Les données doivent être traitées de façon licite, loyale et transparente. Elles ne sont collectées que pour des finalités déterminées et ne servent pas ensuite à autre chose. Il faut se limiter aux données strictement nécessaires (minimisation), les tenir exactes, ne les conserver que le temps utile, et en garantir la sécurité. En clair : le bon usage, pour la bonne raison, pendant la bonne durée, dans de bonnes conditions.

C'est l'idée que vous devez non seulement respecter le RGPD, mais aussi être capable de le démontrer à tout moment. Il ne suffit pas d'être conforme, il faut le prouver par des documents : registre des traitements, politiques internes, preuves de consentement, analyses de risques. En cas de contrôle de la CNIL, c'est à vous d'apporter ces éléments. Cette logique renverse la charge de la preuve et justifie de formaliser votre conformité par écrit.

Non, et c'est une idée reçue fréquente. Le consentement n'est qu'une des six bases légales possibles. Vous pouvez aussi traiter des données pour exécuter un contrat, pour respecter une obligation légale (bulletins de paie, facturation), pour un intérêt légitime, pour une mission d'intérêt public, ou pour protéger la vie d'une personne. Le point clé : chaque traitement doit reposer sur une base légale identifiée avant de démarrer.

C'est la base la plus souple, mais aussi la plus encadrée. Elle permet de traiter des données pour un intérêt réel de votre organisation (par exemple la prospection de vos clients existants ou la sécurité de vos locaux), à condition que cet intérêt ne porte pas une atteinte disproportionnée aux droits des personnes. Cela suppose de réaliser une mise en balance et de la documenter. Les personnes conservent un droit d'opposition.

Que la personne a bien consenti, de façon libre, spécifique, éclairée et univoque. Concrètement, une case pré-cochée ne vaut pas consentement, et un consentement noyé dans des conditions générales non plus. Vous devez conserver la trace de qui a consenti, à quoi, quand et comment. Sans cette preuve, le consentement est réputé inexistant en cas de contrôle.

Oui, à tout moment, et le retrait doit être aussi simple que l'adhésion. Si l'on s'inscrit à une newsletter en un clic, on doit pouvoir se désinscrire aussi facilement. Le retrait ne vaut que pour l'avenir : il ne remet pas en cause ce qui a été fait légalement avant. Vous devez informer la personne de ce droit au moment où elle consent.

En France, l'âge est fixé à 15 ans pour les services en ligne proposés directement aux enfants (réseaux sociaux, applications, jeux). En dessous, le consentement doit être donné ou autorisé par le titulaire de l'autorité parentale. Cette règle vise les services numériques grand public, pas l'ensemble des traitements concernant des mineurs.

Vérifier l'âge de manière raisonnable, recueillir l'autorisation parentale quand elle est requise, et adapter votre information pour qu'elle soit compréhensible par un jeune public. La CNIL attend une vigilance renforcée dès qu'un service cible ou touche des enfants, car ils sont considérés comme particulièrement vulnérables.

Ce sont les données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que les données de santé, génétiques, biométriques d'identification, ou relatives à la vie et à l'orientation sexuelles. Leur usage détourné peut entraîner des discriminations graves, d'où une protection renforcée : leur traitement est par principe interdit.

Oui, mais seulement dans des cas précis prévus par le règlement : consentement explicite de la personne, obligations en matière de droit du travail et de protection sociale, sauvegarde d'une vie, médecine du travail, motif d'intérêt public en santé, entre autres. En dehors de ces exceptions, le traitement est illicite. Ces traitements imposent souvent des garanties supplémentaires et, fréquemment, une analyse d'impact.

Non, pas librement. Les données relatives aux condamnations et aux infractions bénéficient d'un régime restrictif. Leur traitement est réservé aux autorités publiques compétentes ou à des cas expressément autorisés par un texte. Une entreprise ne peut pas, hors habilitation spécifique, constituer un fichier des antécédents pénaux de ses candidats ou salariés.

Oui, dans des situations encadrées où un texte impose ou permet ce contrôle, par exemple pour certaines professions réglementées ou des postes sensibles. Même dans ces cas, la collecte doit rester limitée au strict nécessaire et ne pas conduire à conserver le détail des infractions. En cas de doute, une vérification auprès de votre DPO s'impose avant toute collecte.

Dans une certaine mesure, oui. Le RGPD précise que vous n'êtes pas tenu de conserver ou d'obtenir des informations supplémentaires dans le seul but d'identifier une personne pour vous conformer au règlement. Si un traitement fonctionne avec des données non identifiantes, inutile de réintroduire de l'identification artificiellement.

Si vous êtes réellement dans l'incapacité d'identifier une personne, certains droits (accès, rectification, effacement) peuvent ne pas s'appliquer, faute de pouvoir relier la demande à des données. Mais si la personne fournit elle-même des éléments permettant son identification, vous devez alors traiter sa demande. Cette souplesse ne doit pas servir de prétexte pour échapper aux droits.

En principe sous un mois à compter de la demande. Ce délai peut être prolongé de deux mois pour les demandes complexes ou nombreuses, à condition d'en informer la personne dans le premier mois. Une réponse tardive ou une absence de réponse est l'un des motifs de plainte les plus fréquents auprès de la CNIL.

Non, en principe c'est gratuit. Vous ne pouvez demander une contribution raisonnable ou refuser d'agir que si la demande est manifestement infondée ou excessive, par exemple répétitive. Attention : c'est à vous de démontrer ce caractère abusif, ce qui est rarement évident. Le réflexe par défaut doit rester la gratuité et la réponse.

Au minimum : qui vous êtes, pourquoi vous collectez ces données, sur quelle base légale, à qui elles seront transmises, combien de temps elles seront conservées, et quels sont les droits des personnes. Ces mentions figurent classiquement dans une politique de confidentialité ou sous un formulaire. L'information doit être donnée au moment de la collecte, pas après.

Partout où vous collectez des données : formulaires de contact, bulletins d'inscription, contrats, espaces clients, dispositifs de recrutement. Le plus simple est de rédiger une politique de confidentialité claire et d'y renvoyer par un lien visible, tout en rappelant l'essentiel au point de collecte. L'important est que la personne puisse comprendre facilement ce qu'il advient de ses données.

Oui. Si vous récupérez des données via un partenaire, un annuaire, un fichier acheté ou une source publique, vous devez tout de même informer les personnes concernées. Vous devez en plus indiquer d'où proviennent les données. Cette information doit intervenir dans un délai raisonnable, au plus tard un mois après l'obtention, ou dès le premier contact avec la personne.

Oui, notamment lorsque informer se révèle impossible ou exigerait des efforts disproportionnés, ou quand la personne dispose déjà de l'information. Ces exceptions s'interprètent strictement et doivent être justifiées. En prospection commerciale à partir de fichiers externes, l'information reste due, ce qui est un point de vigilance majeur.

Elle peut obtenir la confirmation que vous traitez ou non ses données, une copie de ces données, et des informations sur le traitement : finalités, destinataires, durée de conservation, origine des données. C'est souvent la première demande formulée, y compris par des salariés en cas de conflit. Vous devez fournir une copie, gratuitement pour la première demande.

Vous devez communiquer les données personnelles de la personne, mais le droit d'accès ne doit pas porter atteinte aux droits des tiers, par exemple les données d'autres personnes figurant dans les mêmes documents. Il peut alors falloir occulter certains éléments. En revanche, vous ne pouvez pas refuser en bloc au prétexte que c'est fastidieux : le tri est à votre charge.

La corriger sans retard injustifié. La personne a le droit d'obtenir la rectification de données inexactes et de faire compléter des données incomplètes. Une adresse périmée, un nom mal orthographié, une information obsolète doivent pouvoir être mis à jour simplement. Des données exactes sont d'ailleurs aussi dans votre intérêt opérationnel.

Vous pouvez vous assurer du bien-fondé de la demande, mais sans en faire un obstacle. Si la personne apporte un élément crédible, vous rectifiez. En cas de désaccord sur l'exactitude, la personne peut demander la limitation du traitement le temps de la vérification, conformément à l'article 18.

Pas de façon absolue. L'effacement s'impose dans certains cas : données devenues inutiles, retrait du consentement sans autre base, opposition justifiée, traitement illicite, obligation légale de suppression. Mais vous pouvez refuser si vous devez conserver les données, par exemple pour respecter une obligation comptable ou pour constater ou défendre un droit en cas de contentieux.

Oui. Si vous avez rendu des données publiques et devez les effacer, vous devez aussi entreprendre des démarches raisonnables pour informer les autres acteurs qui les traitent. C'est ce mécanisme qui fonde, par exemple, le déréférencement de certains résultats par les moteurs de recherche. La suppression doit être effective, y compris dans les sauvegardes selon des modalités maîtrisées.

C'est une sorte de gel temporaire : les données sont conservées mais leur utilisation est suspendue. Ce droit s'applique par exemple pendant la vérification d'une contestation d'exactitude, ou quand la personne s'oppose à un effacement mais souhaite que vous conserviez les données pour un contentieux. Concrètement, vous mettez les données de côté sans les exploiter.

En marquant les enregistrements concernés, en les déplaçant temporairement, ou en restreignant les accès, de sorte qu'ils ne soient plus utilisés pour les finalités habituelles. Vous devez aussi informer la personne avant de lever la limitation. C'est un droit moins connu, mais utile pour gérer les situations conflictuelles sans tout supprimer.

Oui. Toute rectification, tout effacement ou toute limitation doit être notifié à chaque destinataire à qui les données ont été communiquées, sauf si c'est impossible ou exige des efforts disproportionnés. L'idée est d'éviter qu'une donnée corrigée chez vous reste fausse ailleurs. Cela suppose de savoir à qui vous avez transmis quoi.

En cartographiant vos flux de données et vos destinataires, ce que fait normalement votre registre des traitements. La personne peut aussi vous demander la liste de ces destinataires. Un registre à jour transforme cette obligation en formalité, là où une organisation mal documentée s'y trouve démunie.

Il permet à la personne de récupérer les données qu'elle vous a fournies dans un format structuré et lisible par machine, afin de les réutiliser ou de les transmettre à un autre prestataire. L'objectif est d'éviter l'enfermement chez un fournisseur, par exemple pour changer de banque ou de service en ligne sans tout ressaisir.

Non. Il ne concerne que les données fournies par la personne, traitées de façon automatisée, et sur la base d'un consentement ou d'un contrat. Les données que vous avez vous-même déduites ou enrichies n'entrent pas dans le périmètre. C'est un droit plus ciblé qu'il n'y paraît, souvent pertinent pour les services numériques.

Oui, et sur ce point le droit est absolu. Dès qu'une personne s'oppose à la prospection, vous devez cesser immédiatement, sans avoir à justifier. C'est pourquoi tout message commercial doit comporter un moyen simple de refus. Ne pas respecter une opposition en prospection est une source classique de plaintes et de sanctions.

La personne peut aussi s'y opposer pour des raisons tenant à sa situation particulière. Vous devez alors cesser, sauf si vous démontrez des motifs légitimes impérieux qui prévalent, ou la défense d'un droit. Cela suppose un examen au cas par cas, contrairement à la prospection où l'opposition ne se discute pas.

En principe non, quand la décision est entièrement automatisée et produit des effets importants pour la personne, par exemple un refus de crédit ou un rejet automatique de candidature. La personne a le droit de ne pas être soumise à une telle décision purement automatique. Ce sujet devient central avec la généralisation des outils d'intelligence artificielle.

Oui : la décision automatisée est possible si elle est nécessaire à un contrat, autorisée par un texte, ou fondée sur le consentement explicite. Même dans ces cas, vous devez prévoir des garanties : information claire, possibilité d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. Le profilage sur données sensibles est encore plus restreint.

Oui, mais seulement par des mesures nationales, pour des objectifs importants d'intérêt général : sécurité nationale, défense, sécurité publique, prévention des infractions, protection de la personne concernée ou des droits d'autrui, entre autres. Ces limitations doivent être prévues par un texte, nécessaires et proportionnées. Une entreprise ne peut pas décider seule de limiter les droits.

Rarement de façon directe, car il encadre l'action des États, pas la vôtre. Il explique toutefois pourquoi, dans certains domaines réglementés, certains droits sont aménagés par des textes spécifiques. Le bon réflexe est de vérifier si un régime particulier s'applique à votre secteur avant de conclure qu'un droit ne joue pas.

Des mesures techniques et organisationnelles appropriées pour garantir et démontrer la conformité de vos traitements : politiques internes, sécurisation des données, formation, procédures de gestion des droits et des incidents. Ces mesures doivent être adaptées aux risques et réévaluées régulièrement. La responsabilité de la conformité pèse sur l'organisation, et in fine sur sa direction.

Non. Vous pouvez confier des traitements à des sous-traitants et vous appuyer sur un DPO, mais la responsabilité de responsable de traitement reste la vôtre. Vous choisissez les prestataires, vous les encadrez et vous restez comptable de la conformité vis-à-vis des personnes et de la CNIL. La délégation opérationnelle n'efface pas la responsabilité.

Cela veut dire intégrer la protection des données dès le départ d'un projet, et non après coup. Quand vous lancez un nouvel outil, un site ou un service, les questions de finalité, de minimisation et de sécurité doivent être posées dès la conception. Corriger en amont coûte bien moins cher que de rattraper un dispositif non conforme une fois déployé.

Que les réglages les plus protecteurs s'appliquent sans action de l'utilisateur. Par défaut, vous ne traitez que les données nécessaires, vous limitez les durées de conservation et vous ne rendez pas des informations publiques sans choix explicite. Par exemple, un profil ne devrait pas être public par défaut. C'est le principe du paramétrage protecteur d'origine.

C'est le cas où deux organisations déterminent ensemble les finalités et les moyens d'un traitement, par exemple deux entités qui co-organisent un événement et se partagent réellement les décisions sur un fichier commun. Elles sont alors responsables conjointes, et non l'une responsable et l'autre simple prestataire.

Formaliser un accord qui répartit clairement les obligations de chacun, notamment qui informe les personnes et qui répond à leurs demandes. Les personnes doivent savoir à qui s'adresser, et elles peuvent en réalité exercer leurs droits auprès de l'une ou l'autre. Sans accord écrit, les responsabilités deviennent floues et le risque augmente pour tout le monde.

Oui, lorsqu'elle est soumise au RGPD parce qu'elle cible des personnes dans l'Union, sauf exceptions limitées. Ce représentant, établi dans un État où se trouvent des personnes concernées, sert de point de contact pour les personnes et pour les autorités de contrôle. Il rend l'organisation joignable au sein de l'Union.

Il n'assume pas la responsabilité à la place de l'organisation, mais il facilite les échanges et tient à disposition le registre des traitements. Ne pas désigner de représentant quand c'est obligatoire est en soi un manquement. Pour une entreprise européenne, ce sujet se pose surtout côté fournisseurs situés hors de l'Union.

Oui, c'est une obligation. Tout recours à un sous-traitant qui traite des données pour votre compte doit être encadré par un contrat comportant des clauses précises : agir uniquement sur vos instructions, garantir la confidentialité, sécuriser les données, aider à répondre aux demandes de droits et signaler les incidents. Ce contrat protège votre organisation autant que les personnes.

Vous devez retenir des prestataires présentant des garanties suffisantes en matière de protection des données. Cela se vérifie via leurs engagements contractuels, leurs certifications éventuelles et leur documentation. Le sous-traitant ne peut pas recruter lui-même un autre sous-traitant sans votre autorisation. Le choix d'un fournisseur sérieux est l'une des meilleures protections au quotidien.

Non. Un sous-traitant, et toute personne agissant sous votre autorité ou la sienne, ne peut traiter les données que sur instruction documentée du responsable de traitement. S'il détourne les données à ses propres fins, il sort de son rôle et devient lui-même responsable, avec les conséquences qui s'ensuivent.

En donnant des instructions écrites et en veillant à ce que le contrat de sous-traitance interdise tout usage étranger à la mission. Côté interne, cela suppose aussi de sensibiliser vos équipes : chacun n'accède qu'aux données utiles à ses tâches. La traçabilité des instructions est votre meilleure protection en cas de litige.

Dans la très grande majorité des cas, oui. Le registre recense vos traitements : finalités, catégories de données et de personnes, destinataires, durées de conservation, mesures de sécurité. Une dispense partielle existe pour les organismes de moins de 250 salariés, mais elle tombe dès que le traitement est régulier, présente un risque, ou porte sur des données sensibles. En pratique, tenir un registre est incontournable.

C'est la colonne vertébrale de votre conformité. Il vous donne une vision d'ensemble de vos données, facilite les réponses aux personnes, prépare les analyses de risques et constitue la première pièce demandée lors d'un contrôle de la CNIL. Un registre à jour est le meilleur indicateur d'une organisation qui maîtrise le sujet.

Coopérer. Vous devez répondre à ses demandes, fournir les informations requises et faciliter ses missions. Une attitude coopérative, avec des documents disponibles et des réponses dans les délais, est toujours mieux perçue qu'un silence ou une obstruction, qui aggravent la situation.

En tenant vos documents à jour et accessibles : registre, politiques, preuves de consentement, procédures. L'idée est de pouvoir démontrer votre conformité rapidement. Une organisation qui a anticipé traverse un contrôle bien plus sereinement qu'une organisation qui découvre ses lacunes au moment de la demande.

Un niveau adapté au risque, sans imposer une liste figée. Le texte cite des mesures utiles : chiffrement, pseudonymisation, garanties de disponibilité et de résilience des systèmes, capacité à restaurer les données, tests réguliers. Plus les données sont sensibles ou nombreuses, plus les exigences montent. La sécurité s'apprécie au regard des risques réels pour les personnes.

Par les mesures de base souvent négligées : gestion des accès et des mots de passe, mises à jour, sauvegardes testées, sensibilisation des équipes, chiffrement des supports mobiles. La majorité des incidents proviennent de failles simples. Un socle solide sur ces fondamentaux réduit fortement le risque de violation et sa gravité.

Si la violation présente un risque pour les personnes, vous devez la notifier à la CNIL dans les meilleurs délais, si possible dans les 72 heures après en avoir pris connaissance. La notification décrit la nature de l'incident, les données touchées, les conséquences probables et les mesures prises. Au-delà de 72 heures, il faut justifier le retard.

Non, seulement celles susceptibles d'engendrer un risque pour les droits des personnes. Mais vous devez documenter toutes les violations en interne, y compris celles que vous ne notifiez pas, avec l'analyse qui justifie votre décision. Ce registre des violations peut vous être demandé. En cas de doute sur le risque, mieux vaut se rapprocher de son DPO sans tarder.

Lorsque la violation est susceptible d'engendrer un risque élevé pour elles, par exemple un vol de coordonnées bancaires ou de données de santé. Vous devez alors les informer sans délai, en termes clairs, sur la nature de l'incident et les mesures qu'elles peuvent prendre pour se protéger. Cette transparence est aussi une question de confiance.

Oui, notamment si les données étaient chiffrées et donc inexploitables, ou si vous avez pris des mesures rendant le risque élevé improbable. Si informer chaque personne demande des efforts disproportionnés, une communication publique peut suffire. Ces dérogations doivent être justifiées et la CNIL peut, malgré tout, vous imposer d'informer les personnes.

C'est une étude qui évalue les risques d'un traitement pour les personnes et les mesures pour les réduire. Elle est obligatoire quand un traitement est susceptible d'engendrer un risque élevé, par exemple une surveillance à grande échelle, un profilage important, ou le traitement massif de données sensibles. La CNIL publie des listes de traitements qui imposent une analyse.

Vous vous exposez à un manquement, indépendamment de tout incident. L'analyse d'impact n'est pas une formalité administrative : c'est un outil de pilotage qui vous oblige à regarder les risques en face avant de lancer un traitement sensible. La conduire tôt évite des reprises coûteuses et démontre votre sérieux.

Lorsque votre analyse d'impact révèle un risque élevé que vous ne parvenez pas à ramener à un niveau acceptable par vos propres mesures. Vous devez alors consulter la CNIL avant de mettre en œuvre le traitement. C'est une situation rare, réservée aux traitements les plus sensibles dont le risque résiduel reste important.

La CNIL examine le projet et peut formuler des recommandations, voire s'opposer au traitement s'il n'est pas conforme. Dans la plupart des cas, une analyse d'impact bien menée et des mesures adaptées permettent d'éviter d'en arriver à la consultation. Elle reste le signal qu'un projet mérite d'être sérieusement revu.

La désignation est obligatoire pour les autorités et organismes publics, et pour les organisations dont l'activité de base implique un suivi régulier et systématique des personnes à grande échelle, ou le traitement à grande échelle de données sensibles. En dehors de ces cas, elle est vivement recommandée. Beaucoup d'organisations désignent un DPO par choix, pour piloter leur conformité.

Oui. Le DPO peut être un salarié ou un prestataire externe, ce qui est fréquent pour les structures qui n'ont pas les ressources en interne. Sa désignation doit être communiquée à la CNIL et ses coordonnées rendues publiques. Un DPO externe apporte une expertise mutualisée et une indépendance appréciable, tout en restant pleinement associé à votre organisation.

Une place indépendante et centrale. Le DPO doit être associé en temps utile à toutes les questions relatives à la protection des données, disposer des moyens nécessaires, et rendre compte au plus haut niveau de la direction. Il ne doit recevoir aucune instruction sur la manière d'exercer ses missions et ne peut être sanctionné pour les avoir exercées.

Oui, à condition d'éviter tout conflit d'intérêts. Il ne peut pas être juge et partie, par exemple décider des finalités des traitements qu'il est censé contrôler. Cumuler DPO et direction informatique ou direction des ressources humaines est donc délicat. L'indépendance de la fonction est une condition de son efficacité et un point que la CNIL vérifie.

Il informe et conseille l'organisation, contrôle le respect du RGPD, sensibilise et forme les équipes, conseille sur les analyses d'impact, et sert de point de contact avec la CNIL et les personnes. Il n'exécute pas la conformité à la place de tous, il l'oriente, la contrôle et alerte la direction. C'est un rôle de pilote et de conseil.

Non, la responsabilité de la conformité reste celle du responsable de traitement. Le DPO conseille et contrôle, mais ne se substitue pas à la direction dans ses décisions. Si l'organisation ne suit pas ses recommandations, elle en assume les conséquences. Cette répartition protège le DPO et responsabilise la direction.

C'est un référentiel élaboré par un secteur d'activité pour préciser comment appliquer le RGPD à ses réalités concrètes. Approuvé par la CNIL, il aide les organisations d'un même domaine à se conformer de façon homogène et à démontrer leur sérieux. Adhérer à un code de conduite est un moyen de prouver sa bonne foi.

Non, c'est volontaire. Mais cela présente des avantages : cadre clair adapté à votre métier, signal de confiance vis-à-vis des clients et de la CNIL, et élément qui peut être pris en compte favorablement en cas de contrôle. Si votre secteur dispose d'un code approuvé, il vaut la peine de l'examiner.

Un organisme indépendant, agréé pour cette mission, chargé de contrôler le respect du code par ses adhérents. Il peut prendre des mesures en cas de manquement, y compris exclure une organisation du code. Ce suivi donne de la crédibilité au dispositif, faute de quoi l'adhésion n'aurait pas de valeur.

Non. Le suivi par l'organisme agréé s'ajoute aux pouvoirs de la CNIL, qui conserve sa capacité de contrôle et de sanction. L'adhésion à un code bien suivi est un atout, mais elle ne met pas votre organisation à l'abri de ses autres obligations ni d'un contrôle.

Oui, le RGPD prévoit des mécanismes de certification, labels et marques, délivrés dans un cadre encadré. Une certification atteste qu'un traitement ou un dispositif respecte des exigences précises. Elle est volontaire et à durée limitée, généralement trois ans, renouvelable. C'est un argument de confiance vis-à-vis des partenaires et des personnes.

Non. Elle démontre votre conformité sur le périmètre certifié et constitue un élément favorable, mais elle ne vous exonère pas de vos responsabilités ni du respect du reste du règlement. La certification est un outil de preuve et de valorisation, pas un bouclier contre toute mise en cause.

Des organismes de certification agréés, qui doivent présenter des garanties d'indépendance et de compétence. Leur agrément est encadré, et ils peuvent perdre cette capacité s'ils ne respectent pas les exigences. Cela garantit que la certification a une réelle valeur et n'est pas un simple label de complaisance.

En vérifiant qu'elle repose sur un référentiel approuvé et qu'elle est délivrée par un organisme agréé. Une certification sérieuse précise clairement son périmètre et ses critères. Méfiez-vous des labels vagues sans cadre reconnu : seule une certification adossée à un référentiel validé apporte une garantie fiable.

Oui, mais pas librement. Tout transfert de données vers un pays situé hors de l'Union est encadré et ne peut se faire que si le niveau de protection garanti par le RGPD n'est pas compromis. L'objectif est d'éviter qu'on contourne le règlement en déplaçant simplement les données à l'étranger. Chaque transfert doit reposer sur un fondement prévu par le règlement.

Souvent, oui. Dès que des données sont accessibles depuis un pays tiers, par exemple parce que votre prestataire cloud ou son support technique s'y trouve, il y a transfert au sens du RGPD. Beaucoup d'organisations en réalisent sans le savoir via leurs outils numériques. Cartographier ces flux est un préalable indispensable à leur mise en conformité.

Oui. La Commission européenne reconnaît à certains pays un niveau de protection adéquat, ce qui permet d'y transférer des données comme si elles restaient dans l'Union, sans formalité supplémentaire. La liste évolue dans le temps : il faut donc vérifier, au moment du transfert, si le pays de destination bénéficie bien d'une telle reconnaissance.

Un cadre spécifique permet des transferts vers les entreprises américaines qui se sont engagées dans le dispositif d'adéquation prévu à cet effet. Ce point a une histoire mouvementée et peut évoluer au gré des décisions et des recours. Le réflexe prudent consiste à vérifier que votre prestataire est bien couvert par le mécanisme en vigueur, et à documenter cette vérification.

En encadrant le transfert par des garanties appropriées. La plus courante est la signature de clauses contractuelles types adoptées par la Commission européenne, qui imposent au destinataire des obligations de protection. D'autres outils existent : règles d'entreprise contraignantes, codes de conduite ou certifications. Ces garanties visent à maintenir un niveau de protection équivalent à celui de l'Union.

Pas à lui seul. Vous devez aussi évaluer si, en pratique, le pays de destination permet de respecter ces clauses, notamment au regard des possibilités d'accès des autorités locales aux données. Si nécessaire, vous ajoutez des mesures supplémentaires, comme le chiffrement. Cette analyse, souvent appelée évaluation des transferts, est attendue depuis la jurisprudence européenne récente.

Ce sont des règles internes adoptées par un groupe international pour encadrer les transferts de données entre ses entités situées dans différents pays. Une fois approuvées par l'autorité de contrôle, elles autorisent les transferts intragroupe sans devoir signer des clauses au cas par cas. C'est un outil adapté aux groupes structurés qui échangent beaucoup de données en interne.

Elles conviennent surtout aux groupes de taille importante, car leur élaboration et leur approbation demandent du temps et des ressources. Pour une entreprise plus petite ou des transferts ponctuels, les clauses contractuelles types sont généralement plus simples à mettre en œuvre. Le choix de l'outil dépend du volume et de la récurrence de vos transferts.

Une décision d'un tribunal ou d'une autorité d'un pays hors Union ne constitue pas, à elle seule, un fondement valable pour transférer ou divulguer des données. Une telle demande n'est reconnue que si elle s'appuie sur un accord international, comme un traité d'entraide. Répondre directement à une injonction étrangère peut vous exposer à un manquement au RGPD.

Ne pas y répondre dans la précipitation. Il faut vérifier son fondement, son cadre et les voies prévues par les accords existants, et associer votre DPO et vos conseils avant toute transmission. Cette situation, plus fréquente pour les grands prestataires internationaux, illustre la tension entre le RGPD et certaines législations étrangères.

Oui, à titre dérogatoire et dans des cas limités : consentement explicite de la personne après information sur les risques, transfert nécessaire à l'exécution d'un contrat, à la constatation ou à la défense d'un droit, à un motif important d'intérêt public, ou à la sauvegarde d'une vie. Ces dérogations ne sont pas faites pour des transferts massifs ou routiniers.

Non. Elles sont d'interprétation stricte et réservées à des transferts occasionnels et ciblés. Pour des flux réguliers, vous devez vous appuyer sur une décision d'adéquation ou des garanties appropriées. Utiliser les dérogations comme solution permanente est un usage détourné, susceptible d'être sanctionné.

Oui. Il encourage la coopération internationale entre les autorités de protection des données, l'entraide et l'élaboration de mécanismes communs, afin de mieux protéger les personnes au-delà des frontières européennes. La protection des données étant un enjeu mondial, cette coopération vise à réduire les zones grises entre les différents systèmes.

Pas d'obligation directe pour vous, car il s'adresse aux autorités et aux États. Il signale toutefois une tendance de fond : les contrôles et les échanges entre autorités se renforcent à l'échelle internationale. Pour les organisations actives à l'étranger, cela confirme l'intérêt d'une conformité solide et homogène, quel que soit le pays concerné.