La sélection de livres présentée sur ce site aide à approfondir la protection des données personnelles ; cette page en pose le cadre juridique commun. Le Règlement général sur la protection des données, ou RGPD, est le règlement de l'Union européenne 2016/679. Adopté en 2016, il est directement applicable dans tous les États membres depuis le 25 mai 2018 et, en France, il s'articule avec la loi Informatique et Libertés.
Le RGPD s'applique aux traitements automatisés de données personnelles et aux fichiers structurés non automatisés. Territorialement, il vise les organismes établis dans l'Union, mais aussi ceux établis hors de l'Union lorsqu'ils offrent des biens ou des services à des personnes situées dans l'Union ou suivent leur comportement. Un site hébergé à l'étranger qui s'adresse à un public européen entre donc dans son champ. Sont exclus les traitements réalisés par une personne physique dans un cadre strictement personnel ou domestique.
En France, le RGPD n'a pas remplacé la loi Informatique et Libertés de 1978 : les deux textes s'appliquent ensemble. La loi nationale précise les marges de manœuvre laissées aux États — âge du consentement numérique des mineurs, traitements de l'État, données de santé, sanctions pénales — et confie à la CNIL ses missions. Certains secteurs relèvent en outre de règles propres, comme les communications électroniques ou les traitements de la sphère « police-justice », encadrés par une directive distincte.
Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement : nom, numéro, identifiant en ligne, adresse IP, données de localisation, mais aussi éléments propres à l'identité physique, physiologique, génétique, économique, culturelle ou sociale. Les données sensibles de l'article 9 — origine, opinions politiques, convictions, appartenance syndicale, santé, vie ou orientation sexuelles, données génétiques et biométriques — font l'objet d'une interdiction de principe assortie d'exceptions limitées, par exemple le consentement explicite ou une obligation en droit du travail.
Tout traitement doit reposer sur l'une des six bases de l'article 6 : le consentement de la personne, l'exécution d'un contrat auquel elle est partie, le respect d'une obligation légale, la sauvegarde des intérêts vitaux, l'exécution d'une mission d'intérêt public, ou l'intérêt légitime du responsable ou d'un tiers. Le choix n'est pas libre : il dépend de la finalité et du contexte. Le consentement doit être libre, spécifique, éclairé et univoque, et pouvoir être retiré aussi facilement qu'il a été donné ; l'intérêt légitime suppose une mise en balance documentée avec les droits des personnes.
L'article 5 énonce les principes qui gouvernent tout traitement. Licéité, loyauté et transparence : la personne sait ce qui est fait de ses données. Limitation des finalités : les données ne sont utilisées que pour les objectifs annoncés. Minimisation : on ne collecte que le nécessaire. Exactitude : les données inexactes sont corrigées ou effacées. Limitation de la conservation : une durée est fixée et respectée. Intégrité et confidentialité : des mesures de sécurité protègent les données. Responsabilité, enfin : le responsable doit pouvoir démontrer le respect de l'ensemble.
Les articles 12 à 22 ouvrent une série de droits. Le droit à l'information, délivrée au moment de la collecte. Le droit d'accès, qui permet d'obtenir une copie de ses données et des informations sur leur traitement. Le droit de rectification. Le droit à l'effacement, dans certaines conditions. Le droit à la limitation du traitement. Le droit à la portabilité, qui permet de récupérer ses données dans un format structuré et lisible par machine. Le droit d'opposition, notamment à la prospection. Et le droit de ne pas faire l'objet d'une décision entièrement automatisée produisant des effets juridiques. Une demande d'exercice de droits doit recevoir une réponse dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes.
Le responsable de traitement détermine les finalités et les moyens : c'est lui qui répond du respect du RGPD. Le sous-traitant traite les données pour le compte du responsable, selon ses instructions — un hébergeur, un logiciel en ligne, un prestataire de paie. Leur relation est encadrée par un contrat prévu à l'article 28, qui impose notamment des instructions documentées, la confidentialité, la sécurité, l'encadrement de la sous-traitance ultérieure, l'assistance du responsable et le sort des données en fin de contrat. Externaliser un traitement ne transfère jamais la responsabilité.
L'article 30 impose de tenir un registre des activités de traitement : la liste, tenue à jour, de tout ce que l'organisme fait des données personnelles. Chaque fiche décrit la finalité, les catégories de personnes et de données, les destinataires, les transferts hors Union européenne éventuels, les durées de conservation et une description générale des mesures de sécurité. Le registre est le premier document que demande une autorité de contrôle ; c'est aussi l'outil qui permet à l'organisme de savoir ce qu'il détient, condition de toute protection sérieuse. L'obligation vaut pour la quasi-totalité des structures, y compris les petites, dès lors que le traitement n'est pas occasionnel ou porte sur des données sensibles.
Lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, l'article 35 impose une analyse d'impact relative à la protection des données (AIPD). Elle décrit le traitement, évalue sa nécessité et sa proportionnalité, apprécie les risques pour les personnes et définit les mesures pour les réduire. Sont notamment visés l'évaluation systématique d'aspects personnels, le traitement à grande échelle de données sensibles et la surveillance systématique d'un lieu ouvert au public. Si le risque résiduel reste élevé malgré les mesures, l'autorité de contrôle doit être consultée avant la mise en œuvre.
L'article 32 demande des mesures de sécurité appropriées au risque, techniques et organisationnelles, en citant le chiffrement et la pseudonymisation, la capacité à garantir confidentialité, intégrité et disponibilité, et l'aptitude à restaurer les données après un incident. En cas de violation — destruction, perte, altération, divulgation ou accès non autorisé —, le responsable doit la notifier à l'autorité de contrôle dans les 72 heures si elle présente un risque pour les personnes (article 33), et informer les personnes elles-mêmes lorsque le risque est élevé (article 34). Toutes les violations sont consignées dans un registre interne.
Dans chaque État membre, une autorité de contrôle indépendante veille à l'application du règlement ; en France, c'est la CNIL. Au niveau européen, le Comité européen de la protection des données assure la cohérence. Les autorités peuvent prononcer des avertissements, des mises en demeure, des injonctions, des limitations de traitement et des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les personnes concernées peuvent aussi introduire une réclamation et demander réparation d'un préjudice.
Le RGPD ne dicte pas des outils : il fixe des principes, des bases légales et des droits, et impose de pouvoir en démontrer le respect. Le cadre juridique se complète de mesures concrètes, notamment techniques : la sauvegarde et la récupération des données pour la disponibilité, et le chiffrement, la pseudonymisation et l'anonymisation pour la confidentialité.