Cybersécurité pour l’Intelligence Artificielle

RGPD : obligations, droits des personnes et mise en conformité

Applicable depuis le 25 mai 2018, le Règlement Général sur la Protection des Données (RGPD) a profondément transformé la façon dont les organisations collectent, utilisent et protègent les données personnelles. Près de huit ans après son entrée en vigueur, il reste plus que jamais d’actualité : en 2025, la CNIL a prononcé des sanctions record, dont 325 millions d’euros à l’encontre de Google pour dépôt de cookies sans consentement, et 150 millions d’euros à SHEIN pour des manquements similaires. Ces décisions rappellent que la conformité RGPD n’est pas un exercice ponctuel mais une démarche continue, soumise à un contrôle renforcé des autorités.

Le RGPD s’applique à toute organisation qui traite des données personnelles de résidents européens, quelle que soit sa taille ou sa localisation géographique. Une TPE française, une PME belge, un groupe américain ciblant des clients européens : tous sont concernés. En France, la CNIL est l’autorité de contrôle compétente pour veiller au respect du règlement, contrôler les organismes et prononcer des sanctions.

Cette page vous présente les exigences clés du RGPD, le régime de sanctions applicable, et les étapes concrètes pour structurer ou renforcer votre démarche de conformité.

Contactez nos experts
–
–
–

Une mesure européenne 

Qu’est-ce que le RGPD ?

Le règlement (UE) 2016/679, dit RGPD, est le texte de référence européen en matière de protection des données personnelles. Il remplace la directive 95/46/CE et s’applique directement dans l’ensemble des États membres de l’Union européenne, sans nécessiter de transposition nationale. En France, il est complété par la loi Informatique et Libertés, modifiée pour assurer sa cohérence avec le règlement.

Le RGPD repose sur un principe fondateur : la responsabilisation des organisations. Là où la directive de 1995 imposait des formalités préalables auprès des autorités de contrôle, le RGPD supprime la plupart de ces formalités et transfère la responsabilité de la conformité aux organisations elles-mêmes. Elles doivent être en mesure de démontrer à tout moment qu’elles respectent le règlement, c’est le principe d’accountability.

Décryptage de la norme

Les six principes fondamentaux du RGPD

Tout traitement de données personnelles doit respecter six principes fondamentaux définis à l’article 5 du règlement :

Licéité, loyauté et transparence

Le traitement doit reposer sur une base légale et les personnes doivent être informées

Limitation des finalités

Les données doivent être collectées pour des finalités déterminées, explicites et légitimes

Minimisation des données

Seules les données strictement nécessaires aux finalités doivent être collectées

Exactitude

Les données doivent être exactes et tenues à jour

Limitation de la conservation

Les données ne peuvent pas être conservées indéfiniment

Intégrité et confidentialité

Des mesures de sécurité appropriées doivent protéger les données

–

Notre engagement pour votre réussite

Les exigences clés du RGPD

1. Une base légale pour chaque traitement

Tout traitement de données personnelles doit reposer sur l’une des six bases légales prévues à l’article 6 du RGPD. Le choix de la base légale est une décision structurante qui doit intervenir avant la mise en œuvre du traitement et être documentée dans le registre des traitements.

La CNIL précise que le choix de la base légale est une opération décisive, car elle conditionne les droits des personnes concernées et les obligations du responsable de traitement. Les six bases légales sont :

  • Le consentement : libre, spécifique, éclairé et univoque
  • L’exécution d’un contrat auquel la personne est partie
  • Le respect d’une obligation légale
  • La sauvegarde des intérêts vitaux
  • L’exécution d’une mission d’intérêt public
  • La poursuite d’intérêts légitimes, sous réserve de ne pas porter atteinte aux droits des personnes

2. Le registre des activités de traitement

Le registre des activités de traitement est le document central de la conformité RGPD. Il recense l’ensemble des traitements de données personnelles réalisés par l’organisation, avec pour chacun les finalités, les catégories de données et de personnes concernées, les destinataires, les durées de conservation, et les mesures de sécurité mises en place.

La tenue de ce registre est obligatoire pour la quasi-totalité des organisations. Les entreprises de moins de 250 salariés peuvent bénéficier d’allègements, sauf si leurs traitements présentent un risque pour les droits des personnes, portent sur des catégories particulières de données, ou sont effectués de façon non occasionnelle. En pratique, la quasi-totalité des organisations sont concernées.

3. La désignation d’un DPO

Le Délégué à la Protection des Données (DPO) est le pilote de la conformité RGPD au sein de l’organisation. Sa désignation est obligatoire dans trois cas définis à l’article 37 du RGPD :

  • Les autorités et organismes publics, quelle que soit la nature des traitements effectués
  • Les organismes dont l’activité principale consiste à effectuer un suivi régulier et systématique des personnes à grande échelle
  • Les organismes dont l’activité principale consiste à traiter à grande échelle des catégories particulières de données (données de santé, données biométriques, données relatives aux condamnations pénales…)

Le CEPD encourage la désignation d’un DPO même en dehors des cas obligatoires. Le DPO peut être un collaborateur interne ou un prestataire externe. Il doit disposer des qualités professionnelles, des connaissances et des moyens nécessaires à l’exercice de ses missions en toute indépendance. Il ne peut pas être sanctionné pour l’exercice de ses fonctions.

4. La protection des données dès la conception et par défaut

L’article 25 du RGPD impose d’intégrer la protection des données personnelles dès la conception des systèmes et des processus (privacy by design), et de garantir que les paramètres par défaut offrent le niveau de protection le plus élevé possible (privacy by default).

Ces principes s’appliquent à tout nouveau traitement, tout nouveau système ou toute nouvelle application. La CNIL précise qu’ils s’appliquent également au développement de systèmes d’intelligence artificielle impliquant des données personnelles.

5. L’analyse d’impact relative à la protection des données (AIPD/DPIA)

L’analyse d’impact relative à la protection des données (AIPD, ou DPIA en anglais) est obligatoire pour tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées. Elle est présumée nécessaire lorsqu’un traitement remplit au moins deux des neuf critères définis par les lignes directrices du G29 :

  • Évaluation ou scoring des personnes
  • Prise de décision automatisée avec effet juridique
  • Surveillance systématique
  • Données sensibles ou données à caractère hautement personnel
  • Données traitées à grande échelle
  • Croisement ou combinaison de données
  • Données concernant des personnes vulnérables
  • Usage innovant ou application de nouvelles solutions technologiques
  • Transferts de données hors UE

La CNIL met à disposition un logiciel open source, PIA, pour faciliter la conduite et la formalisation des analyses d’impact. Elle a également lancé en avril 2026 une consultation publique sur un modèle européen d’AIPD. Si le niveau de risque résiduel reste élevé après la mise en œuvre des mesures d’atténuation, le responsable de traitement doit consulter la CNIL avant de mettre en œuvre le traitement.

6. La sécurité des traitements

L’article 32 du RGPD impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Ces mesures incluent explicitement la pseudonymisation et le chiffrement des données, la capacité à assurer la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, et les moyens permettant de rétablir la disponibilité des données en cas d’incident.

En janvier 2026, la CNIL a sanctionné une société de 3,5 millions d’euros pour, entre autres manquements, une absence de mesures de sécurité appropriées concernant la complexité des mots de passe. Ce type de sanction illustre que les exigences de sécurité du RGPD sont directement contrôlables et sanctionnables.

7. La notification des violations de données

En cas de violation de données personnelles, le responsable de traitement doit notifier la CNIL dans un délai de 72 heures suivant la constatation de la violation, si celle-ci est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. Si le délai est dépassé, les motifs du retard doivent être expliqués.

Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, celles-ci doivent également être notifiées dans les meilleurs délais. La notification peut se faire en deux temps : une notification initiale dans les 72 heures, complétée par des informations supplémentaires lorsqu’elles sont disponibles.

8. Les droits des personnes

Le RGPD confère aux personnes concernées un ensemble de droits qu’elles peuvent exercer à tout moment. Les demandes doivent recevoir une réponse dans un délai d’un mois, pouvant être prolongé à trois mois pour les demandes complexes :

  • Droit d’accès (article 15) : obtenir une copie des données détenues
  • Droit de rectification (article 16) : corriger les données inexactes
  • Droit à l’effacement (article 17) : obtenir la suppression des données dans certaines conditions
  • Droit à la limitation (article 18) : suspendre temporairement l’utilisation des données
  • Droit à la portabilité (article 20) : recevoir ses données dans un format structuré
  • Droit d’opposition (article 21) : s’opposer à l’utilisation des données, à tout moment pour la prospection commerciale

9. L’encadrement des transferts hors UE

Tout transfert de données personnelles vers un pays situé hors de l’Union européenne et de l’Espace Économique Européen doit être encadré. Les mécanismes disponibles incluent :

  • La décision d’adéquation de la Commission européenne : le pays de destination offre un niveau de protection équivalent. C’est le cas des États-Unis depuis juillet 2023 via le Data Privacy Framework, dont la révision est prévue en 2026
  • Les clauses contractuelles types (CCT) : modèles de contrats adoptés par la Commission européenne
  • Les règles d’entreprise contraignantes (BCR) : politique interne applicable à l’ensemble d’un groupe

La CNIL recommande à chaque organisation de recenser ses transferts de données hors UE, d’évaluer leur légalité, et de mettre en place les mécanismes d’encadrement appropriés.

10. Les contrats de sous-traitance conformes (DPA)

L’article 28 du RGPD impose la mise en place d’un contrat de traitement de données (DPA) avec tout sous-traitant traitant des données personnelles pour le compte de l’organisation. Ce contrat doit définir précisément les obligations du sous-traitant, ses engagements de confidentialité et de sécurité, et les conditions de recours à des sous-traitants ultérieurs.

Les prochaines échéances 

Calendrier et actualité du RGPD

  • Mai 2018

    Search Search

    Application du RGPD

    Le RGPD est applicable dans toute l’Union européenne depuis le 25 mai 2018, remplaçant la directive 95/46/CE.

  • Amendes records au niveau européen

    Les autorités de protection des données européennes ont prononcé des sanctions historiques : Amazon (746 millions d’euros au Luxembourg), Meta (1,2 milliard d’euros en Irlande pour les transferts de données vers les États-Unis), TikTok (345 millions d’euros pour le traitement des données des mineurs).

    Tools Tools

    2021-2024

  • 2025

    Heart Heart

    Renforcement des contrôles CNIL

    La CNIL a intensifié ses contrôles sur les cookies et la publicité ciblée, sanctionnant Google (325 millions d’euros), SHEIN (150 millions d’euros), American Express Carte France (1,5 million d’euros) et de nombreuses autres organisations pour des manquements aux règles sur les traceurs.

  • Révision prévue du cadre de transferts UE-USA

    La révision du Data Privacy Framework, qui encadre les transferts de données entre l’UE et les États-Unis depuis juillet 2023, est prévue en 2026. Les organisations qui s’appuient sur ce mécanisme pour leurs transferts vers les États-Unis doivent suivre attentivement cette évolution.

    Heart Heart

    2026

Des risques pour toutes les entreprises

Sanctions et risques en cas de non-conformité

Le RGPD prévoit deux niveaux de sanctions administratives, auxquels s’ajoutent des mesures correctives.

Niveau 1 : jusqu’à 10 millions d’euros ou 2 % du CA mondial

Les manquements aux obligations des responsables de traitement et des sous-traitants (registre des traitements, sécurité, DPO, DPIA, sous-traitance) sont sanctionnés par des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.

Niveau 2 : jusqu’à 20 millions d’euros ou 4 % du CA mondial

Les violations des principes fondamentaux du règlement (bases légales, droits des personnes, transferts internationaux) sont sanctionnées par des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Mesures correctives

Au-delà des amendes, la CNIL dispose d’un large éventail de mesures correctives : avertissements, mises en demeure, limitation temporaire ou interdiction des traitements, suspension des transferts vers des pays tiers, et injonctions assorties d’astreintes journalières. Les plaintes individuelles constituent un déclencheur fréquent des contrôles de la CNIL, qui dispose d’un pouvoir de contrôle sur place et sur pièces.

–

Votre chemin vers la conformité à l’AI Act

Les étapes de mise en conformité au RGPD

Étape 1 : Cartographie des traitements

La première action consiste à recenser l’ensemble des traitements de données personnelles réalisés par l’organisation et à constituer le registre des activités de traitement. Cette cartographie couvre les traitements internes, les traitements réalisés par des sous-traitants, et les transferts de données vers des pays tiers.

Étape 2 : Désigner un DPO

L’organisation doit évaluer si la désignation d’un DPO est obligatoire au regard des critères de l’article 37 du RGPD. Si elle l’est, le DPO doit être désigné et notifié à la CNIL via le téléservice dédié. Même en dehors des cas obligatoires, la désignation d’un DPO est fortement recommandée par le CEPD.

Étape 3 : DPIA pour les traitements à risque

Pour chaque traitement susceptible d’engendrer un risque élevé, une analyse d’impact doit être réalisée avant sa mise en oeuvre. La CNIL met à disposition le logiciel PIA pour faciliter cette démarche. Si le risque résiduel reste élevé, la CNIL doit être consultée avant le lancement du traitement.

Étape 4 : Sécurisation des données

L’organisation doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles : chiffrement, pseudonymisation, contrôle d’accès, journalisation des accès, et tests réguliers des mesures de sécurité.

Étape 5 : Procédure de gestion des violations de données

L’organisation doit documenter et tester son processus de détection, d’évaluation et de notification des violations de données, pour être en mesure de notifier la CNIL dans le délai de 72 heures imposé par l’article 33 du RGPD.

Étape 6 : Mise en conformité des sous-traitants

Des DPA conformes à l’article 28 du RGPD doivent être signés avec l’ensemble des prestataires traitant des données personnelles pour le compte de l’organisation. Ces contrats doivent inclure les clauses obligatoires définies par le règlement et être mis à jour en cas d’évolution des traitements.

Oui, toute organisation qui traite des données personnelles de résidents européens est soumise au RGPD, quelle que soit sa taille ou son secteur d’activité. Une TPE qui gère une liste de clients, un cabinet médical qui tient des dossiers patients, ou une association qui gère ses adhérents sont tous concernés. La taille de l’organisation peut influencer certaines obligations spécifiques, mais pas l’application des principes fondamentaux.

Non. La désignation d’un DPO est obligatoire pour les autorités et organismes publics, les organismes réalisant un suivi régulier et systématique des personnes à grande échelle, et ceux traitant à grande échelle des catégories particulières de données. Le CEPD encourage cependant la désignation d’un DPO même en dehors des cas obligatoires. Le DPO peut être interne ou externalisé.

L’analyse d’impact relative à la protection des données (AIPD ou DPIA) est une évaluation des risques qu’un traitement fait peser sur les droits et libertés des personnes concernées. Elle est obligatoire lorsqu’un traitement est susceptible d’engendrer un risque élevé, c’est-à-dire lorsqu’il remplit au moins deux des neuf critères définis par les lignes directrices du G29. La CNIL met à disposition le logiciel PIA pour faciliter sa réalisation.

En cas de violation de données personnelles susceptible d’engendrer un risque pour les droits et libertés des personnes, le responsable de traitement doit notifier la CNIL dans un délai de 72 heures suivant la constatation de la violation. Si la violation est susceptible d’engendrer un risque élevé pour les personnes concernées, celles-ci doivent également être notifiées dans les meilleurs délais.

Pourquoi choisir notre accompagnement IA Act ?

La valeur ajoutée de Fidens pour votre cybersécurité

20

Consultants experts
Travaillez avec des spécialistes reconnus
de la cybersécurité des SI, qui sont certifiés Lead Auditor, Lead Implementor et OSCP

360°

Offre Cyber complète
Conseil en gouvernance,
audits fonctionnels et techniques,
solutions logicielles SMSI et formations

+3000

Missions réalisées
Bénéficiez de retours d’expérience complets
et adoptez une approche pragmatique
pour votre cybersécurité

Contactez nos experts cybersécurité