Module 0 — Introduction au RGPD

Origine, champ d’application, définitions et logique d’ensemble du règlement (UE) 2016/679

Le RGPD, et pourquoi ce texte a changé la donne

Le règlement général sur la protection des données est le règlement (UE) 2016/679 du Parlement européen et du Conseil, adopté le 27 avril 2016 et publié au Journal officiel de l’Union européenne le 4 mai suivant. Son titre complet dit déjà l’essentiel de son projet : il est relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Deux objectifs, donc, et non un seul. Le règlement protège les personnes, mais il organise aussi la circulation des données à l’intérieur du marché intérieur, et l’article premier interdit expressément de restreindre cette circulation au motif de la protection des données. On oublie souvent ce second volet ; il explique pourquoi le texte cherche partout un équilibre plutôt qu’une interdiction.

Il n’est pas parti de rien. La directive 95/46/CE, transposée en France dans la loi Informatique et Libertés du 6 janvier 1978, posait déjà les principes de finalité, de proportionnalité, de durée limitée et de sécurité. Vingt ans plus tard, ces principes tenaient toujours, mais leur mise en œuvre s’était fragmentée : chaque État avait transposé à sa manière, les autorités nationales interprétaient différemment, et une entreprise présente dans plusieurs pays devait composer avec autant de régimes que de frontières. Le choix du règlement, plutôt que d’une nouvelle directive, répond directement à ce constat.

Un règlement européen est directement applicable. Il ne se transpose pas : il entre en vigueur et il s’impose, dans les mêmes termes, dans tous les États membres. L’article 99 fixe la date que tout le monde a retenue : le règlement est entré en vigueur le vingtième jour suivant sa publication, mais il n’est applicable que depuis le 25 mai 2018, ce qui a laissé deux ans de préparation. À cette même date, l’article 94 a abrogé la directive 95/46/CE. C’est pourquoi l’on n’écrit jamais qu’un État « transpose le RGPD » : il l’applique, et il exerce éventuellement les marges de manœuvre que le règlement lui laisse.

Le renversement : de la déclaration à la démonstration

Le changement le plus profond n’est ni la date, ni le montant des amendes. C’est un renversement de la charge de la preuve, et il faut le saisir avant d’aborder quoi que ce soit d’autre, faute de quoi toute la suite paraît arbitraire.

Sous le régime antérieur, l’organisation déclarait ses traitements à l’autorité de contrôle avant de les mettre en œuvre. La CNIL délivrait un récépissé, et ce papier tenait lieu de tranquillité : on avait fait la démarche, on était en règle. Le système avait un défaut majeur : il contrôlait une intention déclarée à un instant donné, jamais une pratique réelle dans la durée. Des milliers de traitements déclarés vivaient ensuite leur vie sans que personne ne vérifie leur conformité.

Le RGPD a supprimé les formalités préalables et les a remplacées par ce que le texte anglais nomme accountability et que la version française rend par « responsabilité ». L’article 24 en donne la formule exacte : le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer que le traitement est conforme au règlement et être en mesure de le démontrer. Le verbe « démontrer » est le mot le plus important du règlement. Il signifie que l’organisation ne prévient plus personne, mais qu’elle doit pouvoir prouver sa conformité à tout moment, sans préavis, pièces à l’appui.

La conséquence pratique est immédiate et elle structure tout le reste de cette formation. Une mesure prise sans trace ne compte pas. Une décision juste mais non documentée est indéfendable en contrôle. Une analyse conduite oralement en réunion n’existe pas. Ce n’est pas un appel à la bureaucratie : c’est la contrepartie logique de la suppression des déclarations. On a échangé un formulaire déposé une fois contre un dossier tenu en permanence.

À qui et à quoi le règlement s’applique

Deux articles délimitent le terrain, et beaucoup d’organisations se trompent en croyant échapper à l’un ou à l’autre.

Le champ matériel — article 2

Le règlement s’applique au traitement de données à caractère personnel automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données contenues ou appelées à figurer dans un fichier. Autrement dit : dès qu’il y a informatique, le texte s’applique ; et il s’applique aussi au papier, à condition que celui-ci soit organisé en un ensemble structuré accessible selon des critères déterminés. Un classeur de dossiers du personnel rangés alphabétiquement est un fichier au sens du règlement. Une note manuscrite isolée sur un coin de bureau ne l’est pas.

Le paragraphe 2 énumère quatre exclusions : les activités hors du champ du droit de l’Union, la politique étrangère et de sécurité commune, l’activité strictement personnelle ou domestique d’une personne physique, et les traitements des autorités compétentes à des fins pénales, lesquels relèvent d’une directive distincte. L’exception domestique est celle qu’on invoque le plus souvent à tort : elle protège le carnet d’adresses privé, pas le fichier de contacts d’un auto-entrepreneur, ni la page publique d’une association.

Le champ territorial — article 3

Le premier critère est celui de l’établissement : le règlement s’applique au traitement effectué dans le cadre des activités d’un établissement d’un responsable ou d’un sous-traitant sur le territoire de l’Union, que le traitement ait lieu ou non dans l’Union. Une entreprise établie en France qui héberge ses serveurs à Singapour reste intégralement soumise au règlement.

Le second critère est celui du ciblage, et c’est lui qui a donné au texte sa portée mondiale. Le règlement s’applique aussi aux organisations non établies dans l’Union lorsque leurs traitements concernent des personnes qui s’y trouvent et sont liés soit à l’offre de biens ou de services à ces personnes, qu’un paiement soit exigé ou non, soit au suivi de leur comportement au sein de l’Union. Le premier cas atteint le commerçant en ligne étranger qui livre en Europe ; le second atteint tout dispositif d’analyse d’audience, de publicité ciblée ou de mesure comportementale qui observe des internautes européens. La gratuité du service ne change rien, le texte le dit expressément.

Les définitions de l’article 4, à fixer avant tout le reste

L’article 4 donne vingt-six définitions. Une dizaine d’entre elles conditionnent la lecture de tout le règlement, et les confondre est la source d’erreurs la plus répandue dans les programmes de conformité réels.

Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation ou un identifiant en ligne. Trois mots méritent qu’on s’y arrête. « Toute information » : il n’y a pas de seuil de sensibilité, une taille de chaussure est une donnée personnelle si elle se rattache à quelqu’un. « Indirectement » : une adresse IP, un numéro de client, un identifiant de cookie sont des données personnelles, ce qui surprend encore. « Personne physique » : les données d’une entreprise ne sont pas protégées par le règlement, mais celles de son dirigeant et de ses salariés le sont.

Un traitement est toute opération appliquée à des données, automatisée ou non. Le texte en donne une liste ouverte qui va de la collecte à la destruction, en passant par la consultation, la structuration, l’interconnexion et la simple conservation. Retenir surtout ceci : consulter est un traitement, conserver est un traitement, et effacer est encore un traitement. On ne sort pas du règlement en cessant d’utiliser des données ; on en sort en ne les détenant plus.

Le responsable du traitement est celui qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement. Le sous-traitant est celui qui traite des données pour le compte du responsable. La frontière ne tient ni au contrat signé, ni à l’intitulé retenu par les parties : elle tient au pouvoir de décision réel. Celui qui décide pourquoi et comment est responsable, même s’il a signé un document qui le qualifie de prestataire. Cette qualification est le premier exercice de tout programme de conformité et le plus souvent bâclé ; le module 8 y revient en détail.

Le destinataire est quiconque reçoit communication de données, qu’il s’agisse ou non d’un tiers — un service interne peut donc être destinataire. Le tiers est celui qui n’est ni la personne concernée, ni le responsable, ni le sous-traitant, ni une personne agissant sous leur autorité. La distinction commande la rédaction du registre et des mentions d’information.

Le consentement est défini comme toute manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne accepte, par une déclaration ou un acte positif clair, que ses données fassent l’objet d’un traitement. Quatre adjectifs, quatre conditions cumulatives, et une exigence d’acte positif qui condamne les cases pré-cochées et le silence valant accord.

Une violation de données à caractère personnel est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données, ou l’accès non autorisé à de telles données. La définition est plus large que l’intuition commune : elle ne se limite pas à la fuite vers l’extérieur. Un serveur de sauvegarde détruit par un incendie, un fichier rendu illisible par un rançongiciel, une erreur de manipulation qui écrase des dossiers sont des violations au sens du règlement, sans qu’aucune donnée n’ait été divulguée.

La pseudonymisation est le traitement par lequel les données ne peuvent plus être attribuées à une personne précise sans recourir à des informations supplémentaires conservées séparément et protégées. Elle réduit le risque et le règlement l’encourage à plusieurs reprises, mais elle ne fait pas sortir les données du champ d’application : des données pseudonymisées restent des données personnelles. L’anonymisation, elle, est irréversible et fait effectivement sortir du règlement — mais elle est bien plus difficile à atteindre qu’on ne le croit, et un simple remplacement du nom par un numéro n’y suffit jamais.

Le profilage, enfin, est toute forme de traitement automatisé consistant à évaluer des aspects personnels d’une personne, notamment pour analyser ou prédire son rendement au travail, sa situation économique, sa santé, ses préférences, sa fiabilité ou ses déplacements. La notion irrigue le règlement : elle déclenche des obligations d’information renforcées, un droit d’opposition spécifique, l’encadrement des décisions automatisées et, très souvent, une analyse d’impact.

Les acteurs et la répartition des rôles

Cinq acteurs se partagent la scène, et confondre leurs rôles est le meilleur moyen de construire un programme qui ne tient pas.

La personne concernée est celle dont les données sont traitées. Elle n’est pas partie au dispositif, elle en est la bénéficiaire : le règlement lui reconnaît des droits qu’elle exerce quand elle le décide, et elle peut saisir l’autorité de contrôle comme le juge.

Le responsable du traitement porte l’obligation. C’est une personne morale, pas une personne physique : l’entreprise, l’association, la collectivité. On entend souvent désigner le directeur informatique ou le délégué comme « le responsable de traitement » ; c’est une erreur de langage qui a des conséquences juridiques réelles, car elle déplace la responsabilité vers un individu alors qu’elle pèse sur l’organisation.

Le sous-traitant agit pour le compte du responsable et sur son instruction. Le RGPD lui a donné pour la première fois des obligations propres, directement opposables : sécurité, registre, notification au responsable, encadrement de la sous-traitance ultérieure. Un hébergeur ou un éditeur de logiciel en mode service ne peut plus se retrancher derrière son client.

Le délégué à la protection des données, que le texte français désigne ainsi et que l’usage professionnel appelle DPO, est un conseil et un point de contact. Il n’est pas le responsable du traitement et ne décide pas à sa place ; le module 1 précise cette frontière, qui est la question la plus mal comprise de toute la fonction.

L’autorité de contrôle, enfin, est indépendante et dotée de pouvoirs d’enquête, de correction et de sanction. En France, c’est la CNIL. Le Comité européen de la protection des données réunit les autorités nationales, tranche les différends transfrontaliers et publie des lignes directrices qui font autorité en pratique sans être juridiquement contraignantes.

L’architecture du règlement

Le texte compte quatre-vingt-dix-neuf articles répartis en onze chapitres, précédés de cent soixante-treize considérants. Le chapitre I pose les dispositions générales, le champ d’application et les définitions. Le chapitre II énonce les principes et les bases légales. Le chapitre III détaille les droits des personnes. Le chapitre IV, le plus volumineux, régit les obligations du responsable et du sous-traitant, de la sécurité au délégué en passant par le registre, les violations et les analyses d’impact. Le chapitre V encadre les transferts hors Union. Les chapitres VI et VII organisent les autorités de contrôle et leur coopération. Le chapitre VIII traite des recours, de la responsabilité et des sanctions. Le chapitre IX ouvre des marges nationales pour des situations particulières. Les chapitres X et XI règlent les actes d’exécution et les dispositions finales.

Les considérants méritent une mention à part. Ils ne créent aucune obligation, mais ils exposent l’intention du législateur et la Cour de justice de l’Union européenne s’y réfère constamment pour interpréter les articles. Quand un article laisse une question ouverte — ce qu’est un traitement « à grande échelle », ce que recouvre l’intérêt légitime — c’est très souvent un considérant qui donne la réponse. Savoir naviguer entre les deux est une compétence de praticien.

Ce qui reste national, et ce qui n’est pas le RGPD

Le règlement est directement applicable, mais il n’occupe pas tout le terrain. Il renvoie une cinquantaine de fois au droit des États membres, et le chapitre IX leur ouvre des marges expresses : données de santé, relations de travail, recherche scientifique et archivage, numéro d’identification national, secret professionnel, liberté d’expression. En France, ces marges sont exercées par la loi n° 78-17 du 6 janvier 1978 modifiée, qui a conservé son nom de loi Informatique et Libertés et qui articule le règlement avec le droit national. Une disposition de cette loi n’est jamais une disposition du règlement : la formation distingue systématiquement les deux.

Un exemple sert de test à tous les stagiaires : le droit de définir des directives sur le sort de ses données après sa mort, qu’on appelle mort numérique. Il figure à l’article 85 de la loi Informatique et Libertés. Il ne figure nulle part dans le RGPD, pour une raison logique que le règlement énonce dans ses considérants : il ne s’applique pas aux données des personnes décédées, et laisse les États libres de légiférer sur ce point.

Deuxième point d’articulation, plus piégeux encore : les cookies et autres traceurs. Leur dépôt et leur lecture ne relèvent pas du RGPD mais de la directive 2002/58/CE, dite vie privée et communications électroniques, transposée en France à l’article 82 de la loi Informatique et Libertés. L’article 95 du règlement réserve d’ailleurs expressément ce régime. Le RGPD s’applique bien au traitement des données que le traceur produit ensuite, ainsi qu’aux conditions de validité du consentement recueilli, mais l’obligation de recueillir ce consentement avant le dépôt vient du texte sur les communications électroniques. Cette distinction paraît académique jusqu’au jour où l’on cherche le fondement d’une sanction : les amendes prononcées en France sur les bandeaux cookies l’ont été sur ce fondement national, dans le cadre d’une procédure différente.

Enfin, tout ce qui porte le nom de protection des données n’est pas du RGPD. La Suisse applique sa loi fédérale révisée, le Royaume-Uni son propre règlement depuis le retrait de l’Union, le Québec la loi 25. Ces textes s’inspirent largement du modèle européen et convergent sur les principes, mais ils diffèrent sur les délais, les seuils et les sanctions. Une organisation qui opère sur plusieurs de ces marchés ne peut pas dupliquer sa conformité européenne sans vérification.

Ce que la formation attend de vous

Un dernier mot de méthode. Le RGPD est un texte fondé sur le risque, et cela signifie que très peu de ses obligations ont une réponse unique et universelle. Combien de mesures de sécurité faut-il ? Celles qui sont appropriées au risque. Quelle durée de conservation retenir ? Celle qui est nécessaire au regard de la finalité. Faut-il une analyse d’impact ? Si le traitement est susceptible d’engendrer un risque élevé. Cette formulation déroute au premier abord, et l’on cherche instinctivement le barème qui n’existe pas.

Il faut accepter ce mode de raisonnement plutôt que de lutter contre lui, car c’est lui qui donne au texte sa robustesse : écrit en 2016, il s’applique sans retouche à des technologies apparues depuis. La contrepartie est exigeante. Puisque le règlement ne fixe pas le niveau, c’est à l’organisation de le déterminer, de le justifier et de le documenter. Le risque appréciable est d’ailleurs celui qui pèse sur les droits et libertés des personnes concernées, et non celui qui pèse sur l’entreprise. C’est le contresens le plus fréquent et le plus lourd de conséquences : une fuite de données sans impact financier pour l’organisation peut représenter un risque élevé pour les personnes, et déclenche alors toutes les obligations correspondantes.

À retenir

• Le RGPD est le règlement (UE) 2016/679, applicable depuis le 25 mai 2018 dans tous les États membres, sans transposition.
• Il poursuit deux objectifs indissociables : protéger les personnes et garantir la libre circulation des données dans le marché intérieur.
• Il a supprimé les déclarations préalables et les a remplacées par l’accountability : être conforme et être en mesure de le démontrer, à tout moment, pièces à l’appui.
• Le champ matériel couvre tout traitement automatisé et les fichiers papier structurés ; l’exception domestique ne protège que l’usage strictement privé.
• Le champ territorial repose sur l’établissement dans l’Union ou sur le ciblage de personnes qui s’y trouvent, ce qui donne au texte une portée mondiale.
• Une donnée personnelle est toute information rattachable, même indirectement, à une personne physique : identifiant en ligne et adresse IP en font partie.
• Responsable du traitement et sous-traitant se distinguent par le pouvoir de décision réel sur les finalités et les moyens, jamais par l’intitulé du contrat.
• La pseudonymisation réduit le risque mais ne fait pas sortir du règlement ; seule une anonymisation irréversible le fait.
• Le risque à apprécier est celui qui pèse sur les droits et libertés des personnes, pas celui qui pèse sur l’organisation.
• Les traceurs relèvent de la directive 2002/58/CE et de l’article 82 de la loi Informatique et Libertés, pas directement du RGPD.

Note de source : les définitions citées sont celles de l’article 4 du règlement (UE) 2016/679, les champs d’application ceux des articles 2 et 3, l’obligation de démonstration celle de l’article 24, et les dates celles des articles 94 et 99. Les dispositions relatives à la mort numérique et aux traceurs relèvent de la loi française n° 78-17 du 6 janvier 1978 modifiée, respectivement en ses articles 85 et 82, et non du règlement : la checklist d’implémentation MQ les rattache au programme RGPD, ce qui est justifié en pratique mais ne doit pas être présenté comme une exigence du règlement.