La protection des données personnelles structure aujourd'hui l'ensemble des relations numériques entre individus, entreprises et administrations. Le droit applicable en France repose sur deux piliers complémentaires : le Règlement général sur la protection des données (RGPD), entré en application le 25 mai 2018, et la loi Informatique et Libertés du 6 janvier 1978, adaptée pour en assurer l'articulation avec le droit national. Comprendre ces règles n'est pas réservé aux juristes. Toute organisation qui collecte, utilise ou conserve des informations sur des personnes physiques est concernée, qu'il s'agisse d'une start-up, d'une collectivité territoriale ou d'un professionnel de santé. Les enjeux sont considérables : des sanctions financières lourdes, des atteintes à la réputation et, surtout, des droits fondamentaux à respecter.
Les principes qui structurent le droit des données personnelles
Le RGPD repose sur un socle de principes directeurs que tout responsable de traitement doit respecter. La licéité exige que chaque traitement repose sur une base juridique valable. La transparence impose d'informer clairement les personnes concernées sur l'usage de leurs données. La limitation des finalités interdit de réutiliser des données à d'autres fins que celles annoncées au moment de la collecte.
Trois autres principes complètent ce cadre. La minimisation des données signifie que seules les informations strictement nécessaires peuvent être collectées. L'exactitude oblige à maintenir des données à jour. Enfin, la limitation de la conservation interdit de conserver des données au-delà de la durée nécessaire aux finalités poursuivies — durée qui varie selon le secteur et la nature du traitement.
La loi Informatique et Libertés française complète ces dispositions en précisant notamment le régime applicable aux traitements de données de santé, aux fichiers de police judiciaire ou encore aux traitements mis en œuvre par les juridictions. Elle confie à la Commission nationale de l'informatique et des libertés (CNIL) le rôle d'autorité nationale de contrôle.
Les six bases légales autorisées par le RGPD méritent d'être listées clairement, car choisir la mauvaise peut rendre un traitement illicite :
- Le consentement de la personne concernée, libre, éclairé, spécifique et révocable à tout moment
- L'exécution d'un contrat auquel la personne est partie
- Le respect d'une obligation légale incombant au responsable du traitement
- La sauvegarde des intérêts vitaux de la personne ou d'un tiers
- L'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique
- La poursuite d'un intérêt légitime du responsable du traitement, sous réserve qu'il ne prime pas sur les droits des personnes
Quelles données sont protégées et qui est responsable ?
Une donnée à caractère personnel désigne toute information permettant d'identifier une personne physique, directement ou indirectement. Un nom, une adresse e-mail, un numéro de téléphone, une adresse IP, une photo ou encore des données de localisation entrent dans cette définition. L'identification peut être directe ou résulter d'un croisement d'informations apparemment anodines.
À lire aussi : Connaître le prix d’une intervention urgente d’un plombier avant de l’engager
Certaines données bénéficient d'une protection renforcée. Les données sensibles — révélant l'origine ethnique, les convictions religieuses, les opinions politiques, l'appartenance syndicale, ou portant sur la santé, la vie sexuelle, les données biométriques ou génétiques — ne peuvent être traitées que dans des cas strictement encadrés par l'article 9 du RGPD.
Le responsable du traitement est la personne ou l'organisme qui détermine pourquoi et comment les données sont traitées. C'est lui qui supporte la charge principale de conformité. Le sous-traitant, quant à lui, traite les données pour le compte du responsable, selon ses instructions : prestataire informatique, hébergeur, agence marketing. Le RGPD leur impose désormais des obligations directes, notamment en matière de sécurité et de documentation.
Le délégué à la protection des données (DPO) occupe une position particulière. Sa désignation est obligatoire pour les autorités publiques, les organismes dont l'activité principale consiste en des traitements à grande échelle de données sensibles, ou en une surveillance systématique à grande échelle de personnes. Le DPO conseille, contrôle la conformité interne et sert d'interlocuteur avec la CNIL. Il ne peut pas être sanctionné pour l'exercice de ses missions.
Les droits des personnes face aux traitements
Le RGPD reconnaît aux personnes concernées un ensemble de droits qu'elles peuvent exercer directement auprès du responsable du traitement. Le droit d'accès permet à chacun d'obtenir confirmation qu'un traitement le concernant est en cours, et d'en obtenir une copie. Le droit de rectification autorise la correction de données inexactes ou incomplètes.
Le droit à l'effacement — parfois appelé « droit à l'oubli » — permet de demander la suppression de données dans des situations précises : retrait du consentement, données devenues inutiles, traitement illicite. Il ne s'applique pas de manière absolue et connaît des exceptions, notamment lorsque la conservation répond à une obligation légale.
À lire aussi : Éviter les erreurs courantes en droit de la construction
Le droit à la portabilité concerne les données fournies par la personne elle-même dans le cadre d'un contrat ou sur la base de son consentement. Elle peut demander à les recevoir dans un format structuré et lisible par machine, ou à les faire transmettre directement à un autre prestataire. Le droit d'opposition permet de refuser certains traitements, notamment ceux fondés sur l'intérêt légitime ou à des fins de prospection commerciale.
Le délai de réponse est fixé par l'article 12 du RGPD à un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe ou de volume important, à condition d'en informer la personne dans le premier mois. Toute réponse doit être gratuite, sauf en cas de demandes manifestement infondées ou excessives.
Ce que la loi impose concrètement aux organismes
Au-delà des principes, le RGPD génère des obligations opérationnelles précises. Tout responsable de traitement doit tenir un registre des activités de traitement, document interne recensant les finalités, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité. Ce registre n'est pas à transmettre à la CNIL spontanément, mais doit être mis à disposition sur demande.
La sécurité des données est une obligation de moyens adaptés aux risques. Chiffrement, pseudonymisation, contrôle d'accès, journalisation des opérations sensibles : les mesures techniques et organisationnelles doivent être proportionnées à la nature des données et aux menaces identifiées.
En cas de violation de données — destruction, perte, altération, divulgation ou accès non autorisé — le responsable du traitement doit notifier la CNIL dans un délai de 72 heures après en avoir pris connaissance, sauf si la violation ne présente aucun risque pour les droits des personnes. Lorsque le risque est élevé, les personnes concernées doivent également être informées sans délai indu.
À lire aussi : Comment réussir la création de son entreprise à Nice ?
Certains traitements présentant un risque élevé nécessitent une analyse d'impact relative à la protection des données (AIPD) préalable. Cette évaluation identifie les risques et les mesures pour les atténuer. La liste des traitements soumis à cette obligation est publiée par la CNIL et doit être consultée régulièrement, car elle évolue. Les transferts de données hors Union européenne sont soumis à des règles spécifiques : pays reconnus adéquats par la Commission européenne, clauses contractuelles types, règles d'entreprise contraignantes.
Contrôles, sanctions et voies de recours disponibles
La CNIL dispose de pouvoirs étendus : mission de contrôle sur place et sur pièces, mise en demeure, injonction et sanction administrative. Le Comité européen de la protection des données (CEPD) coordonne les positions des autorités nationales dans les affaires transfrontalières.
Les sanctions prévues par l'article 83 du RGPD sont graduées. Pour certaines violations — comme le non-respect des obligations relatives au consentement ou aux droits des personnes — l'amende peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Pour les violations les plus graves, notamment le non-respect des principes fondamentaux ou des droits des personnes, le plafond monte à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Ces montants maximaux ne sont pas des tarifs automatiques : la CNIL tient compte de la gravité, du caractère intentionnel, de la coopération de l'organisme et des mesures correctives prises.
Toute personne peut adresser une réclamation à la CNIL si elle estime que ses droits ne sont pas respectés. Cette démarche ne remplace pas nécessairement une action en justice. Les demandes d'indemnisation peuvent être portées devant les juridictions civiles sur le fondement de l'article 82 du RGPD, qui prévoit la responsabilité du responsable de traitement ou du sous-traitant en cas de dommage. Pour contester certaines décisions de la CNIL, le Conseil d'État peut être compétent — la juridiction applicable dépend de la nature de l'acte concerné et doit être vérifiée au cas par cas.
Un professionnel du droit — avocat spécialisé en droit du numérique ou en droit des données personnelles — reste l'interlocuteur adapté pour analyser une situation concrète, évaluer les risques spécifiques d'un traitement et construire une stratégie de mise en conformité adaptée à chaque structure. Les textes évoluent : le Data Governance Act et le règlement sur l'intelligence artificielle viennent compléter le cadre sans remplacer le RGPD, et leurs obligations respectives méritent une attention particulière selon les activités concernées.
