Le RGPD n’est pas qu’une affaire de cookies
Le Règlement général sur la protection des données (RGPD), en application depuis mai 2018, structure la façon dont une organisation européenne doit gouverner les données à caractère personnel. Il repose sur des bases légales limitatives : un traitement n’est licite que s’il s’appuie sur l’une des six bases de son article 6, le consentement, l’exécution d’un contrat, une obligation légale, la sauvegarde d’intérêts vitaux, une mission d’intérêt public, ou l’intérêt légitime du responsable de traitement, à condition qu’il ne prime pas sur les droits de la personne concernée. Choisir la bonne base n’est pas un exercice cosmétique : elle conditionne les droits dont dispose ensuite la personne, en particulier son droit de retrait quand la base est le consentement.
Le registre des traitements, colonne vertébrale de la conformité
L’article 30 du RGPD impose à tout responsable de traitement, et à tout sous-traitant, de tenir un registre de ses activités de traitement. Pour chaque traitement, ce registre documente les finalités poursuivies, les catégories de personnes et de données concernées, les catégories de destinataires, les éventuels transferts hors Union européenne, les durées de conservation envisagées et une description des mesures de sécurité mises en œuvre. Une exemption existe pour les organismes de moins de 250 salariés, mais elle est plus étroite qu’on ne le croit : elle tombe dès que le traitement n’est pas occasionnel, comporte un risque pour les droits des personnes, ou porte sur des données sensibles.
Ce registre n’est pas un exercice isolé : il recoupe le catalogue de données décrit au chapitre précédent. Un catalogue bien tenu facilite la rédaction du registre, et réciproquement.
Une PME de 40 salariés collecte des données de géolocalisation de ses commerciaux pour une application de tournée. Doit-elle tenir un registre des traitements pour ce traitement précis ?
Voir la réponse
Réponse : A. L’exemption de l’article 30, paragraphe 5, ne dispense que les très petites structures dont le traitement est ponctuel et sans risque particulier. Un suivi de géolocalisation régulier de salariés est précisément le type de traitement qui fait tomber l’exemption, quel que soit l’effectif de l’entreprise.
Source : RGPD, le registre des activités de traitement, CNIL, 2026.
L’analyse d’impact, quand le risque devient élevé
L’article 35 du RGPD impose une analyse d’impact relative à la protection des données (AIPD, ou PIA pour Privacy Impact Assessment) lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Le règlement cite trois familles de cas : une évaluation systématique et approfondie d’aspects personnels reposant sur un profilage aux effets juridiques ou similaires significatifs, un traitement à grande échelle de données sensibles ou relatives à des condamnations pénales, ou une surveillance systématique à grande échelle d’une zone accessible au public. La CNIL publie et actualise une liste de traitements pour lesquels une AIPD est requise, et une liste de ceux qui en sont dispensés.
Le délégué à la protection des données (DPO), déjà présenté au premier chapitre, est le garant naturel de cette analyse : il conseille sur sa nécessité, en suit la méthode et documente les mesures prises pour réduire le risque résiduel. La CNIL propose aussi un MOOC gratuit pour qui découvre ces notions.
Le nouveau paquet européen des données
Depuis 2022, l’Union européenne a construit, à côté du RGPD, un ensemble de règlements qui ne portent plus seulement sur les données personnelles mais sur la donnée en général, y compris industrielle et publique.
Le Data Governance Act (règlement (UE) 2022/868), applicable depuis septembre 2023, organise le réemploi de données publiques protégées (secret des affaires, propriété intellectuelle, données personnelles) par des tiers, encadre les intermédiaires de données qui mettent en relation détenteurs et utilisateurs de données, et crée un statut pour l’altruisme des données, le partage volontaire à des fins d’intérêt général. Présentation officielle : Commission européenne, stratégie numérique.
Le Data Act (règlement (UE) 2023/2854), applicable depuis le 12 septembre 2025, concerne directement les développeurs de produits connectés : il impose que l’utilisateur d’un objet connecté puisse accéder gratuitement, dans un format structuré et lisible par une machine, aux données que cet objet génère, et qu’il puisse les transférer à un tiers de son choix. Pour une équipe qui conçoit un service adossé à des objets connectés, cela signifie concevoir dès l’architecture une exportation de données normalisée, plutôt que de la traiter comme une fonctionnalité annexe ajoutée après coup. Présentation officielle : Commission européenne et Vie publique.
L’AI Act (règlement (UE) 2024/1689) touche la donnée par deux angles. Son article 10 impose, pour les systèmes d’intelligence artificielle à haut risque, une gouvernance des jeux de données d’entraînement, de validation et de test : choix de conception documentés, examen des biais possibles, pertinence et représentativité au regard de l’usage prévu. Ses obligations de transparence de l’article 50, notamment l’information des personnes lorsqu’elles interagissent avec un système d’IA ou consultent un contenu généré par IA, sont applicables depuis le 2 août 2026. La CNIL publie des fiches pratiques sur l’intelligence artificielle qui font le pont entre ces obligations et le RGPD, en particulier sur la constitution de jeux de données d’entraînement à partir de données personnelles.
Un objet connecté domestique collecte des données de consommation. Depuis le Data Act, que doit pouvoir faire son utilisateur ?
Voir la réponse
Réponse : A. Le Data Act impose la gratuité de l’accès aux données générées par un produit connecté, un format exploitable par une machine, et la possibilité de les transmettre à un tiers. C’est une contrainte de conception à anticiper dès l’architecture d’un service, pas une fonctionnalité que l’on ajoute en fin de projet.
Source : Data Act, règlement européen sur les données, Vie publique, 2025.
Ce qu’il faut en retenir
Ce paquet réglementaire ne remplace pas le RGPD, il s’y ajoute : le RGPD protège la personne, le DGA et le Data Act organisent la circulation de la donnée entre organisations, l’AI Act encadre les données utilisées par les systèmes d’intelligence artificielle. Trois textes, une même exigence : documenter ses choix avant d’être contrôlé, pas après. La conformité ainsi comprise n’est pas un frein à la conception, elle en devient un paramètre, au même titre que la performance ou l’ergonomie, ce que le chapitre suivant traduit concrètement dans la façon de modéliser une base de données.
Ce cours existe aussi en atelier animé, sur site ou à distance.