Maurice Müller
Senior Content Manager
Maurice Müller est un journaliste et stratège de contenu bénéficiant d'une solide expérience dans les médias imprimés et numériques. Chez Formalize, il traduit des sujets complexes de conformité et de réglementation en contenus clairs et pratiques pour les professionnels de la conformité, des risques et de la sécurité à travers l'Europe.
Points clés:
La conformité au RGPD va bien au-delà des avis de confidentialité et des bandeaux cookies: licéité du traitement, droits des personnes concernées, registres, AIPD, sécurité, fournisseurs et gestion des violations.
Il s'applique aux organisations situées dans l'UE ainsi qu'à celles situées ailleurs qui proposent des biens ou des services à des personnes dans l'UE ou qui suivent leur comportement. La taille seule n'exempte personne.
Le responsable de traitement est comptable de la conformité et doit être en mesure de la démontrer. Un délégué à la protection des données conseille et contrôle, mais ne porte pas personnellement cette responsabilité.
Les amendes peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, mais les autorités les fixent au cas par cas et disposent d'autres outils, de la réprimande à l'interdiction de traitement.
Des changements sont à venir, mais la plupart ne sont pas encore votés. Le délai de 72 heures pour la notification des violations s'applique toujours, même si le « Digital Omnibus » propose de le passer à 96 heures.
Demandez à une entreprise si elle est conforme au RGPD, et la réponse sera généralement oui. Demandez-lui de prouver pourquoi un fournisseur particulier a accès aux données clients, quelle base légale courait pour la campagne marketing du dernier trimestre, ou quand a été révisée sa dernière analyse d'impact relative à la protection des données (AIPD), et la réponse peut prendre des semaines.
Cette seconde série de questions est la seule qui compte. Le principe de responsabilité (accountability) du RGPD exige des responsables de traitement qu'ils respectent ses règles et qu'ils soient en mesure de démontrer qu'ils le font. En pratique, cela transforme le règlement d'un texte juridique que vous lisez une fois en un ensemble de processus que vous exécutez au quotidien.
Qu'est-ce que la conformité au RGPD?
La conformité au RGPD signifie respecter les obligations du Règlement (UE) 2016/679 qui s'appliquent à la façon dont votre organisation traite les données à caractère personnel, et conserver les preuves pour le démontrer. Le règlement s'applique dans l'UE depuis le 25 mai 2018, ainsi qu'en Islande, au Liechtenstein et en Norvège dans le cadre de l'Espace économique européen.
Ce que cela implique dépend de ce que vous faites avec les données à caractère personnel, mais la plupart des programmes couvrent le même périmètre: une base légale pour chaque activité de traitement, une information claire pour les personnes concernées, des processus pour l'exercice de leurs droits, un registre des activités de traitement (RoPA), des évaluations des risques, des mesures de sécurité, la surveillance des fournisseurs et un moyen de gérer les violations. Cela touche aux personnes, aux processus, à la technologie et à la documentation, c'est pourquoi la responsabilité incombe rarement à une seule équipe.
Deux rôles façonnent tout le reste. Un responsable de traitement détermine les finalités et les moyens du traitement des données à caractère personnel. Un sous-traitant traite des données à caractère personnel pour le compte d'un responsable de traitement, comme un prestataire de paie ou un service cloud. Une organisation peut agir en tant que responsable de traitement pour certaines activités et en tant que sous-traitant pour d'autres. Découvrez comment le logiciel de conformité RGPD de Formalize aide les équipes à gérer les registres, les responsabilités et les preuves.
Qui doit se conformer au RGPD?
Le RGPD s'applique plus largement que ne le pensent de nombreuses organisations. Son champ d'application territorial va bien au-delà de l'UE, et seules quelques activités y échappent totalement:
Situation | Le RGPD s'applique-t-il? | Ce qu'il faut savoir |
|---|---|---|
Organisation établie dans l'UE qui traite des données à caractère personnel | Oui | Cela s'applique quel que soit l'endroit où le traitement a lieu, y compris sur des serveurs situés hors de l'UE. |
Organisation située hors de l'UE proposant des biens ou des services à des personnes dans l'UE | Oui | Cela s'applique que l'offre soit payante ou gratuite. Elles doivent généralement désigner un représentant dans l'UE, à de rares exceptions près. |
Organisation située hors de l'UE suivant le comportement de personnes dans l'UE | Oui | Cela couvre notamment le suivi en ligne et le profilage. |
Sous-traitant agissant pour le compte d'un responsable de traitement | Oui | Les sous-traitants ont leurs propres obligations directes, notamment en matière de sécurité et de tenue de registres. |
Petite ou moyenne entreprise | Oui | Certaines obligations sont allégées, comme la dérogation relative au registre pour les organisations de moins de 250 salariés, mais cette exemption comporte d'importantes exceptions. |
Particulier agissant à des fins exclusivement personnelles ou domestiques | Oui | L'exemption pour usage domestique couvre les activités privées, et non professionnelles. |
La taille de l'entreprise ne détermine pas si le RGPD s'applique. Ce qui varie, c'est l'ensemble des obligations spécifiques applicables, ce qui dépend du traitement et de son niveau de risque. Une entreprise dont les activités principales impliquent un suivi régulier et systématique à grande échelle des personnes doit, par exemple, désigner un délégué à la protection des données et aura généralement besoin d'AIPD. Une petite entreprise gérant uniquement les coordonnées de base de ses clients n'en aura généralement pas besoin.
Liste de contrôle de conformité au RGPD: comment atteindre et maintenir la conformité
Une fois que vous savez que le RGPD s'applique, le travail se résume à dix étapes, de la cartographie de vos données à l'évaluation continue du programme dans le temps:
1. Confirmez si et comment le RGPD s'applique
Vérifiez votre périmètre, identifiez les cas où vous agissez en tant que responsable de traitement et ceux où vous agissez en tant que sous-traitant, et vérifiez si vous devez désigner un délégué à la protection des données (DPD) ou un représentant dans l'UE.
2. Cartographiez les données à caractère personnel que vous traitez
Identifiez les données à caractère personnel que vous détenez, leur provenance, les systèmes qui les stockent, qui peut y accéder, et leur destination, y compris les transferts hors de l'EEE.
3. Créez et maintenez votre registre des activités de traitement (RoPA)
L'article 30 exige un registre des activités de traitement couvrant les finalités, les catégories de données et de personnes, les destinataires, les transferts, les durées de conservation et les mesures de sécurité. Même lorsque la dérogation pour les petites entreprises s'applique, le registre reste la colonne vertébrale de tout le reste de cette liste.
4. Établissez et documentez les bases légales
Choisissez l'une des six bases légales pour chaque activité de traitement: le consentement, le contrat, l'obligation légale, la sauvegarde des intérêts vitaux, la mission d'intérêt public ou l'intérêt légitime. Lorsque vous vous fondez sur l'intérêt légitime, documentez le test de mise en balance. Lorsque vous vous fondez sur le consentement, conservez-en la preuve. Pour les catégories particulières de données, comme les données de santé, vous devez également remplir l'une des conditions prévues à l'article 9.
5. Fournissez une information claire sur la protection des données
Informez les personnes de ce que vous faites avec leurs données, pourquoi, sur quelle base légale et pendant combien de temps, dans un langage qu'elles peuvent comprendre. Cette information est due au moment où vous collectez les données ou, si vous les obtenez d'un tiers, au plus tard dans un délai d'un mois.
6. Mettez en place des processus pour les droits des personnes concernées
Les personnes peuvent demander l'accès, la rectification, l'effacement ou la portabilité de leurs données, la limitation ou l'opposition au traitement, et contester certaines décisions automatisées. Vous disposez d'un mois pour répondre, ce délai pouvant être prolongé de deux mois supplémentaires pour les demandes complexes; chaque demande nécessite donc un responsable, une étape de vérification et un moyen de suivre la date limite.
7. Réalisez des AIPD lorsque cela est requis
Une AIPD est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes, comme un profilage approfondi ayant des effets significatifs sur elles, ou un traitement à grande échelle de données sensibles. Notre guide sur l'analyse d'impact relative à la protection des données (AIPD) explique quand et comment en réaliser une.
8. Gérez les sous-traitants et les fournisseurs tiers
Mettez en place des contrats conformes à l'article 28, vérifiez que les fournisseurs peuvent répondre à vos exigences de sécurité, approuvez et suivez leurs sous-traitants ultérieurs, et assurez-vous que tous les transferts hors de l'EEE reposent sur un mécanisme valide. Une approche structurée de la gestion des tiers empêche la situation de devenir incontrôlable à mesure que la liste des fournisseurs s'allonge.
9. Mettez en œuvre des mesures de sécurité et des processus de gestion des violations appropriés
Appliquez des mesures de sécurité adaptées au risque et préparez-vous aux violations avant qu'elles ne surviennent. Une violation de données à caractère personnel doit être notifiée à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins qu'elle ne soit pas susceptible de présenter un risque pour les personnes; ces dernières doivent en être informées directement si le risque est élevé pour elles. Chaque violation, qu'elle soit notifiée ou non, doit être consignée dans un registre interne. Associer les violations à la gestion globale de vos risques permet d'identifier les points où les contrôles doivent être améliorés.
10. Formez les employés et effectuez des révisions continues
Formez les personnes qui manipulent des données à caractère personnel et révisez régulièrement le programme. Les nouveaux systèmes, les nouveaux fournisseurs et les nouvelles utilisations des données, telles que l'IA, sont les moments où les registres et les évaluations deviennent le plus souvent obsolètes.
Transformer la liste de contrôle en un programme opérationnel
Rassemblez votre registre des activités de traitement (RoPA) actuel, aussi éparpillé soit-il aujourd'hui. Nous vous montrerons à quoi ressemblent ces dix étapes lorsqu'elles s'exécutent sous forme de flux de travail, accompagnées de leurs responsables et de leurs preuves.
Quels sont les 7 principes du RGPD?
L'article 5 énonce sept principes sur lesquels repose tout le reste. La troisième colonne correspond au côté pratique de la conformité: c'est ce que vous devriez être en mesure de présenter si l'on vous pose la question.
Principe | Ce que cela signifie | Ce que vous devriez être en mesure de présenter |
|---|---|---|
Licéité, loyauté et transparence | Traiter les données sur une base légale valide, de manière à ce que les personnes puissent raisonnablement s'y attendre, et les en informer | Des bases légales documentées et des avis de confidentialité clairs |
Limitation des finalités | Collecter les données pour des finalités déterminées, et ne pas les réutiliser à des fins incompatibles | Des finalités enregistrées par activité, et des contrôles de compatibilité pour les nouveaux usages |
Minimisation des données | Ne collecter que ce qui est réellement nécessaire au regard de la finalité | Une justification pour les champs de données que vous collectez |
Exactitude | Conserver des données exactes et à jour | Des processus pour corriger et mettre à jour les enregistrements |
Limitation de la conservation | Ne conserver les données que le temps nécessaire | Un calendrier de conservation, et la preuve que la suppression est effectuée |
Intégrité et confidentialité | Protéger les données au moyen d'une sécurité appropriée | Des contrôles d'accès, des mesures de sécurité et des registres d'incidents |
Responsabilité | Assumer la responsabilité de tout ce qui précède, et être en mesure de le démontrer | L'ensemble des éléments ci-dessus, tenus à jour |
Qui est responsable de garantir la conformité au RGPD?
Il est facile de confondre deux notions ici: la responsabilité juridique (accountability) et la responsabilité opérationnelle.
La responsabilité juridique incombe au responsable de traitement. L'organisation qui détermine les finalités et les moyens du traitement des données est tenue de se conformer aux principes et d'être en mesure de le prouver. En pratique, cela signifie que la direction générale doit s'assurer que les structures, les ressources et les responsabilités appropriées sont en place.
Les sous-traitants ont leurs propres obligations. Ils doivent travailler dans le cadre d'un contrat avec le responsable de traitement conforme à l'article 28, maintenir une sécurité appropriée, tenir leurs propres registres et informer le responsable de traitement des violations sans retard injustifié.
Un DPD (Délégué à la protection des données) conseille et contrôle. Le DPD informe l'organisation de ses obligations, contrôle la conformité, conseille sur les AIPD et sert de point de contact pour l'autorité de contrôle. Sa désignation est obligatoire dans certains cas, notamment pour les autorités publiques ou les organisations dont les activités principales impliquent un suivi à grande échelle. Mais le DPD ne porte pas personnellement la responsabilité juridique de l'organisation et ne doit pas être positionné comme tel.
Le travail opérationnel est réparti à travers toute l'entreprise. Les équipes juridiques et conformité interprètent les règles, l'IT et la sécurité protègent les systèmes, les RH gèrent les données des employés, les achats gèrent les fournisseurs, et le marketing documente les finalités des campagnes, les bases légales et le consentement lorsque cela est requis. La conformité au RGPD fonctionne quand chacune de ces équipes sait quelle partie elle pilote.
Le RGPD et l'IA: quelles sont les exigences de conformité?
L'utilisation de l'IA ne suspend pas le RGPD. Dès qu'un système d'IA traite des données à caractère personnel, que ce soit lors de l'entraînement, dans les requêtes que les utilisateurs saisissent ou dans les résultats qu'il produit, le règlement s'applique pleinement.
Quelques exigences importent tout particulièrement:
Une base légale pour chaque phase: Développer un modèle et l'utiliser sont des activités de traitement distinctes. L'avis 28/2024 du Comité européen de la protection des données confirme que l'intérêt légitime peut constituer une base valide, mais seulement après un test documenté en trois étapes, et qu'un modèle entraîné sur des données à caractère personnel n'est pas automatiquement anonyme.
Limitation des finalités et minimisation des données: Les données collectées pour le service client ne deviennent pas automatiquement des données d'entraînement pour un nouveau modèle.
Transparence: Les personnes doivent savoir quand et comment l'IA traite leurs données.
AIPD: Les nouvelles technologies traitant des données à caractère personnel à grande échelle atteignent souvent le seuil de risque élevé.
Décisions automatisées: L'article 22 restreint les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant de manière significative les personnes. Lorsque de telles décisions sont autorisées, les personnes ont le droit d'obtenir une intervention humaine et de contester la décision.
Fournisseurs d'IA: Un prestataire d'IA externe agit souvent en tant que sous-traitant, ce qui fait entrer en jeu les contrats de l'article 28, et fréquemment aussi les transferts internationaux.
The EU AI Act adds its own requirements on top, rather than replacing any of these. Following the Digital Omnibus on AI, its high-risk obligations apply from 2 December 2027 for stand-alone systems and from 2 August 2028 for AI embedded in regulated products. Our AI Act page covers how the two fit together.
Le Règlement européen sur l'IA (AI Act) ajoute ses propres exigences par-dessus, plutôt que de remplacer l'une d'entre elles. À la suite du « Digital Omnibus » sur l'IA, ses obligations relatives au risque élevé s'appliquent à partir du 2 décembre 2027 pour les systèmes autonomes et à partir du 2 août 2028 pour l'IA intégrée dans des produits réglementés. Notre page consacrée à l'AI Act détaille la façon dont ces deux textes s'articulent.
Quelles sont les sanctions en cas de non-conformité au RGPD?
Les amendes font les gros titres, mais les autorités de contrôle disposent d'une boîte à outils plus large. Elles peuvent émettre des avertissements et des réprimandes, ordonner à une organisation de mettre ses traitements en conformité, limiter temporairement ou définitivement un traitement, et suspendre les transferts de données hors de l'EEE. Les personnes concernées peuvent également demander une réparation pour le dommage subi du fait d'une violation.
Lorsque les autorités infligent une amende, l'article 83 fixe deux niveaux maximaux:
Niveau | Amende maximale | Infractions typiques |
|---|---|---|
Niveau inférieur | 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu | Obligations telles que les registres, la sécurité, les AIPD et le rôle du DPD |
Niveau supérieur | 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu | Les principes fondamentaux, les bases légales, les droits des personnes concernées et les transferts internationaux |
Ce sont des plafonds, pas des points de départ. Les autorités décident au cas par cas, en tenant compte de la nature, de la gravité et de la durée de l'infraction, de son caractère intentionnel ou négligent, des mesures prises par l'organisation pour limiter le dommage, et de son degré de coopération. Un programme bien documenté n'exclut pas une amende, mais les mesures que vous avez prises et la qualité de votre coopération font partie des facteurs que les autorités prennent en compte.
Ce qui change: le RGPD en 2026 et 2027
Le cœur du RGPD n'a pas changé depuis 2018, mais trois évolutions méritent d'être suivies:
Nouvelles règles d'application transfrontalière, à compter du 2 avril 2027: Le Règlement (UE) 2025/2518 harmonise la façon dont les autorités traitent les affaires transfrontalières, en fixant des délais pour les enquêtes et des droits de procédure plus clairs pour les organisations concernées. Cela ne modifie pas les exigences du RGPD, mais vise à rendre l'application transfrontalière plus rapide.
Le « Digital Omnibus », toujours à l'état de proposition. Publié par la Commission européenne en novembre 2025, il réduirait la définition des données à caractère personnel, porterait le délai de notification des violations à 96 heures pour les violations à haut risque, introduirait un point d'entrée unique pour la déclaration des incidents et clarifierait l'intérêt légitime pour l'IA. En septembre 2026, il est toujours en première lecture: les commissions du Parlement européen ne l'ont pas encore voté et le Conseil n'a pas arrêté sa position de négociation. Tant qu'il n'est pas adopté, les règles actuelles s'appliquent.
Transferts vers les États-Unis. Le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) reste valide après son maintien par le Tribunal de l'UE en septembre 2025, mais un recours est en instance devant la Cour de justice. La pression s'est accentuée depuis un arrêt de la Cour suprême des États-Unis de juin 2026 sur l'indépendance de la Federal Trade Commission (FTC), l'agence chargée de faire respecter les principes du cadre, à la suite duquel l'organisation de protection de la vie privée noyb a appelé la Commission à le retirer. Les organisations qui s'y fient doivent vérifier que chaque destinataire est activement certifié et que sa certification couvre les données concernées, tout en identifiant leur solution de repli.
Logiciel de conformité RGPD: qu'est-ce que c'est et comment le choisir
Un logiciel de conformité RGPD aide les organisations à gérer au même endroit les tâches récurrentes d'un programme de confidentialité: le registre des traitements (RoPA), les analyses d'impact (AIPD/DPIA), les demandes des personnes concernées, les évaluations des fournisseurs, le registre des violations de données et la documentation qui lie le tout. Il ne rend pas une organisation conforme à lui seul. Les décisions appartiennent toujours aux personnes, mais le logiciel facilite grandement la mise à jour de ces décisions et leur présentation en cas de contrôle.
Lors de la comparaison des solutions, quelques questions sont plus utiles qu'une simple liste de fonctionnalités:
Couvre-t-il vos processus réels, du registre des traitements à la gestion des violations, ou seulement une partie ?
Gère-t-il le travail récurrent, comme les rappels de révision, les délais de réponse aux demandes et les réévaluations des fournisseurs ?
Des personnes extérieures à l'équipe confidentialité peuvent-elles l'utiliser, y compris les ressources humaines, l'informatique et les achats ?
Peut-il fournir des preuves sur demande, avec une piste d'audit indiquant qui a décidé quoi et quand ?
Fonctionne-t-il aux côtés de vos autres référentiels, tels qu'ISO 27001 ou NIS2, si vous les gérez également ?
Il n'existe pas de logiciel de conformité RGPD universel. Le bon choix dépend du nombre d'activités de traitement que vous gérez, du nombre d'équipes impliquées et des autres normes que vous devez respecter. Pour une catégorie plus large, consultez notre guide des logiciels de gestion de la conformité.
Formalize et la conformité au RGPD
Formalize est conçu pour gérer la dimension continue et récurrente du RGPD : le maintien à jour du registre des traitements (RoPA), la gestion des demandes de droits, la surveillance des sous-traitants et la centralisation des preuves d'audit.
Registre des activités de traitement (RoPA): Flux de travail guidés et alignés sur l'Article 30 du RGPD, directement reliés à la cartographie de vos fournisseurs et sous-traitants. Exportation possible sous formats PDF ou Excel.
Gestion des demandes des personnes concernées (DSAR): Suivi complet de la réception à la clôture des demandes de droits (accès, suppression, rectification), intégrant un transfert sécurisé des données et la suppression automatisée selon la durée de rétention définie.
Évaluations des risques et des tiers: Audits fournisseurs configurables, workflows dédiés aux Analyses d'Impact relatives à la Protection des Données (AIPD / DPIA) et aux évaluations d'impact des transferts (TIA).
Gestion des risques et incidents: Journalisation et suivi des violations de données personnelles. Formalize permet de gérer le RGPD conjointement avec d'autres référentiels de sécurité et de conformité comme ISO 27001, NIS2 ou DORA au sein de la même interface.
Plus de 8 000 organisations utilisent les produits de Formalize. Consultez les tarifs pour découvrir les formules disponibles.