Quels autres textes européens encadrent les données ?
En bref
Le RGPD reste le texte de référence sur les données personnelles, mais il s'inscrit désormais dans un ensemble plus large. D'autres règlements européens encadrent le partage et la réutilisation des données, les systèmes d'intelligence artificielle, les services en ligne et la sécurité des réseaux. Leur application s'échelonne et leurs obligations dépendent du rôle exact de chaque organisation.
Pendant des années, la conformité aux données se résumait au RGPD. L'Union européenne a depuis adopté plusieurs textes qui touchent au numérique sous d'autres angles. Les suivre de loin suffit dans la plupart des cas, à condition de savoir lequel peut vous concerner. Cet article donne des repères généraux, sans détail chiffré, et ne constitue pas un conseil juridique.
Une vue d'ensemble
| Domaine | Ce que le cadre européen vise | Qui peut être concerné |
|---|---|---|
| Données personnelles | Protéger les personnes et encadrer les traitements. | Toute organisation traitant des données personnelles. |
| Traceurs et communications électroniques | Encadrer l'accès aux terminaux et la confidentialité des échanges. | Tout site ou service en ligne. |
| Partage et réutilisation des données | Faciliter l'accès aux données produites par les objets et les services, encadrer leur réutilisation. | Fabricants d'objets connectés, fournisseurs de services de traitement de données, utilisateurs professionnels. |
| Intelligence artificielle | Classer les systèmes selon le risque et imposer des obligations proportionnées. | Fournisseurs et utilisateurs professionnels de systèmes concernés. |
| Services et plateformes en ligne | Responsabiliser les intermédiaires et encadrer certaines pratiques de marché. | Plateformes, places de marché, services d'intermédiation. |
| Sécurité des réseaux et résilience | Renforcer la sécurité des secteurs jugés essentiels et la gestion des incidents. | Entités des secteurs visés et certains de leurs fournisseurs. |
Notre article sur la directive NIS2 détaille le dernier volet, qui est aussi celui qui touche le plus grand nombre d'entreprises par effet de chaîne : un fournisseur peut se voir demander des garanties par un client concerné, sans l'être lui-même.
Ce qui change dans la méthode
Ces textes partagent une logique commune avec le RGPD, ce qui permet de réutiliser le travail déjà fait.
- Le rôle détermine les obligations : selon que vous fournissez, distribuez ou utilisez, les exigences diffèrent. Identifier son rôle est la première étape.
- L'approche par le risque : plus l'usage est susceptible d'affecter des personnes, plus les obligations sont lourdes.
- La documentation reste le mode de preuve : ce qui n'est pas écrit ne se démontre pas.
- La transparence : informer les personnes de ce que fait un système devient une exigence récurrente.
- La chaîne de fournisseurs : les obligations se propagent par les contrats bien au-delà des entités directement visées.
Une vigilance pratique sur l'intelligence artificielle
C'est le sujet sur lequel les entreprises avancent le plus vite, souvent sans cadre. Quelques réflexes limitent les difficultés, indépendamment du calendrier réglementaire :
- recensez les outils réellement utilisés, y compris ceux adoptés spontanément par les équipes ;
- vérifiez quelles données leur sont transmises, et si elles servent à entraîner un modèle ;
- écrivez une consigne simple sur ce qui ne doit jamais y être saisi ;
- maintenez une intervention humaine réelle sur les décisions qui affectent des personnes ;
- informez les personnes concernées lorsqu'un système intervient dans un processus les concernant ;
- inscrivez ces usages dans votre registre comme n'importe quel autre traitement.
Comment suivre sans y passer ses journées
- consultez périodiquement les publications de la CNIL, qui traduisent ces textes en obligations concrètes ;
- vérifiez l'état du droit sur les sources officielles avant toute décision structurante ;
- demandez à vos prestataires comment ils se préparent, et faites-le écrire dans les contrats ;
- traitez ces sujets lors de la revue périodique de votre registre plutôt qu'en chantier séparé ;
- sollicitez un conseil juridique pour les questions qui engagent votre activité.
Les calendriers d'application et les seuils évoluent encore : reportez-vous à la CNIL, à Légifrance et aux textes publiés au niveau européen plutôt qu'à des synthèses de seconde main. NexSecure peut faire le point sur les outils et les flux concernés dans le cadre de son offre de conformité RGPD.
Questions fréquentes
Ces nouveaux textes remplacent-ils le RGPD ?
Non. Le RGPD reste le texte de référence pour les données personnelles. Les autres règlements le complètent sur des sujets différents : partage des données, intelligence artificielle, services en ligne, sécurité des réseaux. Ils s'appliquent en parallèle.
Comment savoir si mon entreprise est concernée ?
Cela dépend de votre secteur et de votre rôle exact : fournisseur, distributeur ou utilisateur. Commencez par recenser vos activités et vos outils, puis vérifiez les critères sur les sources officielles ou avec un conseil juridique.
Faut-il déclarer les outils d'intelligence artificielle utilisés ?
Il n'existe pas de déclaration générale à effectuer. En revanche, un usage qui traite des données personnelles s'inscrit dans votre registre comme tout autre traitement, avec sa finalité, sa base légale et ses destinataires.
Où suivre l'évolution de ces textes ?
Sur les sites officiels : la CNIL pour la traduction pratique des obligations, Légifrance pour le droit français et le portail européen pour les textes eux-mêmes. Les calendriers évoluent, ce qui rend les synthèses non datées peu fiables.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet