Exigence organisationnelle

Protection des données personnellesCe qu’exigent le RGPD, HDS et SOC 2

Toute organisation qui collecte, utilise, stocke ou partage des informations relatives à des personnes physiques est soumise au Règlement Général sur la Protection des Données (RGPD). Entré en application le 25 mai 2018, ce règlement européen s’applique à toute organisation, publique ou privée, établie dans l’Union européenne ou ciblant des résidents européens. Il ne fait pas de distinction de taille : une TPE qui gère une liste de clients, un cabinet médical qui tient des dossiers patients, ou un grand groupe international qui traite des données à grande échelle sont tous concernés.

Contactez nos experts
Définition

Qu’est-ce que la protection des données personnelles ?

La protection des données personnelles ne se résume pas à une case à cocher dans un audit de conformité. Elle repose sur une démarche structurée, continue et documentée, qui place les droits des personnes au cœur des pratiques de l’organisation. La CNIL, autorité de contrôle française, peut contrôler les organismes à sa propre initiative ou suite à des plaintes, et prononcer des sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial en cas de manquement grave.

Cette page vous présente les principes fondamentaux du RGPD, les exigences clés à mettre en œuvre, et leur articulation avec les grands référentiels de cybersécurité et de protection des données.

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. L’identification peut être directe (nom, prénom, adresse) ou indirecte (identifiant, numéro de téléphone, adresse IP, données biométriques, localisation…). Un traitement de données personnelles est toute opération portant sur ces données : collecte, enregistrement, organisation, conservation, modification, extraction, consultation, utilisation, communication, diffusion, ou destruction.

Le RGPD repose sur six grands principes que tout responsable de traitement doit respecter :

  • Licéité, loyauté et transparence : le traitement doit reposer sur une base légale et les personnes doivent être informées de l’utilisation de leurs données
  • Limitation des finalités : les données doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de façon incompatible
  • Minimisation des données : seules les données adéquates, pertinentes et strictement nécessaires aux finalités doivent être collectées
  • Exactitude : les données doivent être exactes et tenues à jour
  • Limitation de la conservation : les données ne peuvent pas être conservées indéfiniment et doivent être supprimées, anonymisées ou archivées après leur utilisation
  • Intégrité et confidentialité : des mesures de sécurité appropriées doivent être mises en place pour protéger les données

Qui est concerné par le RGPD ?

Le RGPD s’applique à toute organisation qui traite des données personnelles, qu’elle soit établie dans l’UE ou qu’elle cible des résidents européens. Il distingue deux rôles principaux :

  • Le responsable de traitement : l’entité qui détermine les finalités et les moyens du traitement
  • Le sous-traitant : l’entité qui traite des données personnelles pour le compte du responsable de traitement

Les sous-traitants sont soumis à des obligations spécifiques et doivent présenter des garanties suffisantes pour assurer la protection des données. Ils ne peuvent pas recruter d’autres sous-traitants sans autorisation écrite préalable du responsable de traitement.

L’essentiel

Les points de contrôle communs

Cinq exigences fondamentales structurent toute démarche de protection des données personnelles conforme au RGPD.

  1. Le registre des traitements

    Le registre des activités de traitement est le document central de la conformité RGPD. Il recense l’ensemble des traitements de données personnelles réalisés par l’organisation, avec pour chacun : les finalités du traitement, les catégories de données traitées, les catégories de personnes concernées, les destinataires des données, les durées de conservation, et les mesures de sécurité mises en place.

    Le RGPD impose la tenue de ce registre à tout responsable de traitement. Les organisations de moins de 250 salariés peuvent bénéficier d’allègements, sauf si leurs traitements présentent un risque pour les droits des personnes concernées, portent sur des catégories particulières de données, ou sont effectués de façon non occasionnelle. En pratique, la quasi-totalité des organisations sont concernées.

    Le registre est un outil vivant qui doit être mis à jour régulièrement et être disponible en cas de contrôle de la CNIL.

  2. Les bases légales pour chaque traitement

    Chaque traitement de données personnelles doit reposer sur l’une des six bases légales prévues par le RGPD :

    • Le consentement de la personne concernée, qui doit être libre, spécifique, éclairé et univoque
    • L’exécution d’un contrat auquel la personne est partie
    • Le respect d’une obligation légale
    • La sauvegarde des intérêts vitaux de la personne ou d’un tiers
    • L’exécution d’une mission d’intérêt public
    • La poursuite d’intérêts légitimes du responsable de traitement, sous réserve de ne pas porter atteinte aux droits des personnes

    Chaque traitement doit avoir une base légale clairement identifiée et documentée dans le registre des traitements. L’absence de base légale constitue une violation du RGPD susceptible d’entraîner des sanctions.

  3. La protection des données dès la conception et par défaut (Privacy by Design & by Default)

    Le principe de privacy by design, inscrit à l’article 25 du RGPD, impose d’intégrer la protection des données personnelles dès la conception des systèmes, applications et processus, et non a posteriori. Il implique de prendre en compte les exigences de protection des données à chaque étape du développement d’un produit ou d’un service.

    Le principe de privacy by default complète cette approche : par défaut, seules les données strictement nécessaires au regard de chaque finalité spécifique doivent être traitées. Les paramètres par défaut des systèmes doivent garantir la protection des données, sans que la personne concernée ait à intervenir. Les données ne doivent pas être accessibles à un nombre indéterminé de personnes sans intervention de la personne concernée.

    La CNIL précise que ces principes s’appliquent à toutes les organisations traitant des données personnelles, y compris dans le cadre du développement de systèmes d’intelligence artificielle.

  4. Le respect des droits des personnes

    Le RGPD confère aux personnes concernées un ensemble de droits qu’elles peuvent exercer à tout moment auprès du responsable de traitement. Ces droits doivent être facilités et les demandes doivent recevoir une réponse dans un délai d’un mois, pouvant être prolongé à trois mois pour les demandes complexes :

    • Droit d’accès (article 15) : obtenir une copie des données détenues et des informations sur leur traitement
    • Droit de rectification (article 16) : corriger les données inexactes ou incomplètes
    • Droit à l’effacement (article 17) : obtenir la suppression des données dans certaines conditions
    • Droit à la limitation du traitement (article 18) : suspendre temporairement l’utilisation des données
    • Droit à la portabilité (article 20) : recevoir ses données dans un format structuré et les transmettre à un autre responsable de traitement
    • Droit d’opposition (article 21) : s’opposer à l’utilisation des données pour des raisons tenant à sa situation particulière, ou à tout moment pour la prospection commerciale

    L’organisation doit mettre en place des procédures claires pour recevoir, traiter et répondre à ces demandes dans les délais impartis.

  5. Les transferts internationaux encadrés

    Tout transfert de données personnelles vers un pays situé hors de l’Union européenne et de l’Espace Économique Européen doit être encadré pour garantir un niveau de protection équivalent à celui offert par le RGPD. Les outils d’encadrement prévus par le règlement incluent :

    • La décision d’adéquation (article 45) : la Commission européenne reconnaît que le pays de destination offre un niveau de protection équivalent. C’est le cas notamment des États-Unis depuis la décision d’adéquation du 10 juillet 2023, et du Royaume-Uni
    • Les clauses contractuelles types (article 46) : des modèles de contrats adoptés par la Commission européenne, régulièrement mis à jour
    • Les règles d’entreprise contraignantes (BCR) : une politique interne applicable à l’ensemble d’un groupe d’entreprises

    En l’absence de l’un de ces mécanismes, le transfert est en principe interdit, sauf dérogations prévues à l’article 49 du RGPD pour des situations particulières.

Cartographie croisée

Ce qu’en disent les référentiels

La protection des données personnelles est au cœur de plusieurs référentiels, avec des niveaux de couverture variables. Le RGPD et l’ISO 27701 en constituent les deux piliers principaux.

Obligation explicite Exigence partielle Recommandation / implicite
Questions fréquentes

Protection des données personnelles en 4 questions

Toutes les organisations sont-elles soumises au RGPD ?

Oui, toute organisation qui traite des données personnelles de résidents européens est soumise au RGPD, y compris des organisations non-européennes qui traitent de la donnée de citoyens européens, quelle que soit sa taille ou son secteur d’activité. Une TPE qui gère une liste de clients, un cabinet médical qui tient des dossiers patients, ou une association qui gère ses adhérents sont tous concernés. La taille de l’organisation peut influencer certaines obligations (comme la tenue obligatoire du registre des traitements), mais pas l’application des principes fondamentaux.

Qu’est-ce qu’une base légale et pourquoi est-elle obligatoire ?

La base légale est le fondement juridique qui autorise un traitement de données personnelles. Sans base légale, le traitement est illicite au regard du RGPD. Il existe six bases légales possibles : le consentement, l’exécution d’un contrat, le respect d’une obligation légale, la sauvegarde des intérêts vitaux, l’exécution d’une mission d’intérêt public, et les intérêts légitimes du responsable de traitement. Chaque traitement doit avoir une base légale clairement identifiée et documentée.

Quelle est la différence entre ISO 27701 et RGPD ?

Le RGPD est un règlement européen juridiquement contraignant qui définit les obligations en matière de protection des données personnelles. L’ISO 27701 est une norme internationale qui fournit un cadre méthodologique pour structurer un Système de Management de la Protection de la Vie Privée (PIMS). L’ISO 27701 n’est pas une certification au sens de l’article 42 du RGPD, mais elle constitue un outil reconnu par la CNIL pour démontrer une démarche active de conformité. Environ 60 % de ses contrôles sont mutualisables avec l’ISO 27001.

Qu’est-ce qu’un transfert international de données et comment l’encadrer ?

Un transfert international de données est tout envoi de données personnelles vers un pays situé hors de l’Union européenne et de l’Espace Économique Européen. Il doit être encadré par l’un des mécanismes prévus par le RGPD : décision d’adéquation de la Commission européenne, clauses contractuelles types, ou règles d’entreprise contraignantes. En l’absence de mécanisme d’encadrement, le transfert est en principe interdit.

Pourquoi nous faire confiance ?

La valeur ajoutée de Fidens pour votre cybersécurité

Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.

Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.

40 Consultants experts Travaillez avec des spécialistes reconnus de la cybersécurité des SI, qui sont certifiés Lead Auditor, Lead Implementor et OSCP.
360° Offre Cyber complète Conseil en gouvernance, audits fonctionnels et techniques, solutions logicielles SMSI et formations.
+3000 Missions réalisées Bénéficiez de retours d'expérience complets et adoptez une approche pragmatique pour votre cybersécurité.

Contactez nos experts cybersécurité