GDPR Règlement général sur la protection des données.

Un règlement qui porte sur la responsabilité, pas seulement sur le consentement

Le RGPD est souvent réduit, dans les conversations, aux bandeaux cookies et aux fenêtres de consentement, mais cette image passe à côté de l'essentiel de son poids. Le consentement n'est que l'une des bases légales possibles pour le traitement des données à caractère personnel, et pour la plupart des activités d'une organisation, ce n'est même pas celle sur laquelle elle s'appuie. L'exécution d'un contrat, l'obligation légale et l'intérêt légitime portent, en pratique, bien davantage de traitements.

Le changement plus profond introduit par le RGPD est la responsabilité (accountability) : il ne suffit pas de se conformer, il faut être en mesure de démontrer cette conformité. Ce seul principe transforme la protection des données, qui passe d'un avis juridique à une discipline opérationnelle, avec des registres, des analyses et des preuves derrière chaque affirmation.

Parce qu'il s'agit d'un règlement et non d'une directive, le RGPD s'applique directement dans toute l'UE et plus largement dans l'EEE, sans que chaque pays ait à le transposer dans son droit national, ce qui explique que ses obligations fondamentales soient identiques en France, en Allemagne et en Irlande. Sa portée s'étend aussi au-delà de l'Europe. Une organisation établie en dehors de l'UE entre malgré tout dans son champ d'application lorsqu'elle propose des biens ou des services à des personnes situées dans l'Union ou qu'elle surveille leur comportement sur ce territoire. Cette portée territoriale explique qu'une entreprise sans bureau européen puisse tout de même devoir répondre devant une autorité de contrôle européenne.

Base légale, droits des personnes concernées et obligations qui en découlent

Chaque traitement de données à caractère personnel nécessite une base légale choisie avant le début du traitement, et la base retenue conditionne les droits que les personnes peuvent exercer. Les personnes concernées peuvent demander à accéder à leurs données, à les faire rectifier ou effacer, à limiter le traitement ou s'y opposer, et dans certains cas à les recevoir sous une forme portable. Aucun de ces droits n'est absolu ; chacun s'accompagne de conditions et d'exemptions.

Autour des droits gravitent les obligations du responsable de traitement et du sous-traitant : la protection des données dès la conception et par défaut, la tenue d'un registre des activités de traitement, la sécurisation des données par des mesures techniques et organisationnelles appropriées, et la mise en place de contrats écrits chaque fois qu'un sous-traitant traite des données pour le compte d'un responsable de traitement.

Deux obligations méritent d'être mises en avant car elles structurent le travail quotidien. Lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les personnes, le responsable de traitement réalise une analyse d'impact relative à la protection des données avant de poursuivre, en documentant le risque et la manière dont il est atténué.

Et lorsqu'une violation de données à caractère personnel survient, le responsable de traitement est soumis à une obligation de notification auprès de l'autorité de contrôle dans un délai court et défini, les personnes concernées étant également informées lorsque le risque pour elles est élevé. Ce ne sont pas des rituels administratifs. Ce sont les moments où le principe de responsabilité devient une obligation concrète et limitée dans le temps.

Où se situe le RGPD parmi les concepts voisins

Il est utile de distinguer le RGPD des rôles et des outils qui gravitent autour de lui. Un DPO est une personne ou une fonction que certaines organisations doivent désigner pour superviser la conformité ; une DPIA est le processus d'analyse pour les traitements à risque élevé ; un ROPA est l'inventaire des activités de traitement ; les clauses contractuelles types sont l'un des mécanismes permettant de transférer légalement des données hors de l'UE. Le RGPD est le règlement qui impose ou autorise chacun de ces éléments. Les autorités de contrôle nationales telles que la CNIL en France le font appliquer et publient des lignes directrices, et le Comité européen de la protection des données les coordonne pour qu'une interprétation unique prévale par-delà les frontières.

Comme le note la shortDefinition, les montants phares pouvant atteindre 20 millions d'euros ou 4 pour cent du chiffre d'affaires annuel mondial dominent la couverture médiatique, et pourtant la plupart des actions répressives passent par un dialogue avec l'autorité de contrôle plutôt que par des amendes maximales. Les autorités enquêtent, posent des questions, exigent des mesures correctrices et résolvent souvent les affaires par des mesures correctives bien en deçà du plafond.

Pour les praticiens, la leçon concrète est qu'une bonne foi démontrable et une posture de conformité étayée par des preuves changent la tournure de ce dialogue. Les organisations qui s'en sortent le plus mal sont généralement celles qui ne peuvent pas montrer ce qu'elles faisaient des données, et non celles qui ont pris une décision honnête et documentée.

Comment les praticiens le rendent opérationnel

Transformer le règlement en travail de routine commence généralement par la cartographie. Vous constituez et tenez à jour un registre des activités de traitement afin de savoir quelles données vous détenez, pourquoi, sur quelle base légale et où elles circulent.

À partir de là, les équipes intègrent la protection de la vie privée dès la conception dans les nouveaux projets, réalisent des DPIA là où le risque est élevé, renforcent les contrats de sous-traitance et répètent le parcours de notification des violations afin que le compte à rebours ne les prenne pas au dépourvu. Beaucoup ancrent cela dans un système de management plutôt que dans un classeur de politiques, et c'est là que des normes comme ISO 27701 et les lignes directrices des autorités de contrôle prennent toute leur valeur.

L'objectif est une preuve en régime permanent : à tout moment, vous pouvez démontrer une base légale, un enregistrement et un contrôle pour les données à caractère personnel que vous traitez.