RGPD et conformité

Une analyse d'impact relative à la protection des données, ou AIPD, est une étude menée avant de lancer un traitement susceptible d'engendrer un risque élevé pour les personnes. Elle décrit le traitement, vérifie sa nécessité, identifie les risques et les mesures qui les réduisent. La CNIL publie une liste des traitements pour lesquels elle est requise et un outil pour la conduire.

Lire la réponse complète : Analyse d'impact (AIPD) : quand et comment la mener ?

Un bandeau cookies doit recueillir le consentement avant tout dépôt de traceur non essentiel. Refuser doit être aussi simple qu'accepter, poursuivre la navigation ne vaut pas accord, et les finalités doivent être expliquées clairement. Les traceurs strictement nécessaires au fonctionnement du site en sont dispensés. Le visiteur doit pouvoir changer d'avis à tout moment. La CNIL détaille ces règles dans ses lignes directrices.

Lire la réponse complète : Bandeau cookies : quelles règles respecter ?

Le RGPD ne fixe pas de durée unique : les données personnelles doivent être conservées le temps nécessaire à l'objectif pour lequel elles ont été collectées. Chaque organisme fixe donc une durée par usage, en s'appuyant sur les textes qui imposent des délais, sur les référentiels de la CNIL et sur son besoin réel. À l'échéance, les données sont supprimées, anonymisées ou archivées avec un accès restreint.

Lire la réponse complète : Combien de temps conserver les données personnelles ?

Des durées inscrites dans un registre ne suppriment rien par elles-mêmes. L'automatisation consiste à traduire chaque durée en une règle appliquée par le système : sortie de la base active, passage en archive à accès restreint, puis suppression ou anonymisation. Prévoyez une trace des opérations, un contrôle périodique et une règle claire pour les sauvegardes.

Lire la réponse complète : Comment automatiser l'archivage et la purge des données ?

Chaque usage de données personnelles doit reposer sur une base légale, c'est-à-dire une justification prévue par le RGPD. Les plus courantes sont le consentement, l'exécution d'un contrat, le respect d'une obligation légale et l'intérêt légitime. Le choix se fait usage par usage, avant la collecte, et il ne se change pas en cours de route : il conditionne les droits des personnes.

Lire la réponse complète : Comment choisir la base légale d'un traitement ?

Avant de confier des données à un prestataire, vérifiez où elles seront hébergées, qui y accédera, quels sous-traitants interviennent et comment vous les récupérerez. Demandez les documents qui appuient ses réponses plutôt que des affirmations commerciales. Le contrat doit prévoir son assistance en cas de demande d'une personne ou d'incident, et les conditions de restitution en fin de relation.

Lire la réponse complète : Comment choisir un prestataire qui traite vos données ?

Le droit à l'effacement permet à une personne de demander la suppression de ses données, notamment lorsqu'elles ne sont plus nécessaires ou qu'elle retire son consentement. Il n'est pas absolu : une obligation légale de conservation ou la nécessité de défendre un droit en justice peuvent justifier un refus motivé. En pratique, l'effacement doit couvrir tous les outils, et non le seul fichier principal.

Lire la réponse complète : Comment effacer les données d'une personne ?

Un consentement valable est libre, spécifique, éclairé et donné par un acte positif : pas de case pré-cochée ni d'accord global. Vous devez pouvoir démontrer qu'il a été recueilli, ce qui suppose d'en conserver la trace datée. Le retrait doit être aussi simple que l'accord, et il met fin à l'usage concerné sans effacer automatiquement les autres traitements.

Lire la réponse complète : Comment gérer et prouver les consentements reçus ?

Une politique de confidentialité explique quelles données personnelles vous collectez, pourquoi, sur quelle base légale, à qui vous les transmettez, combien de temps vous les conservez et comment exercer ses droits, dont celui de saisir la CNIL. Le RGPD exige une information concise, transparente, facile d'accès et formulée en termes clairs et simples. Elle doit décrire vos traitements réels, pas ceux d'un modèle.

Lire la réponse complète : Comment rédiger une politique de confidentialité ?

Toute personne peut demander à savoir si vous traitez des données la concernant et à en obtenir une copie, avec les informations sur les objectifs, les destinataires et les durées. La demande peut arriver par n'importe quel canal et n'a pas besoin d'être motivée. Vous devez répondre dans le délai prévu par le règlement, que la CNIL rappelle sur son site.

Lire la réponse complète : Comment répondre à une demande d'accès aux données ?

Le registre des traitements, prévu par l'article 30 du RGPD, recense les usages de données personnelles d'un organisme. Pour le tenir, listez les activités concernées, comme les clients, les salariés ou le site internet, puis rédigez une fiche par activité : finalité, personnes et données, destinataires, durée de conservation, sécurité et transferts hors Union européenne. Mettez-le à jour à chaque nouvel outil.

Lire la réponse complète : Comment tenir le registre des traitements RGPD ?

Un contrôle de la CNIL peut se dérouler sur place, en ligne, sur pièces ou sur convocation. Les agents vérifient la réalité de vos traitements et la cohérence de votre documentation. La meilleure préparation consiste à tenir à jour un dossier rassemblant registre, informations publiées, contrats, durées et mesures de sécurité, et à désigner qui répond le jour venu.

Lire la réponse complète : Contrôle de la CNIL : comment s'y préparer ?

La désignation d'un délégué à la protection des données, ou DPO, est obligatoire dans trois cas prévus par le RGPD : pour les autorités et organismes publics, pour les organismes dont l'activité de base implique un suivi régulier et systématique de personnes à grande échelle, et pour ceux qui traitent à grande échelle des données sensibles ou relatives aux condamnations pénales. Ailleurs, elle reste facultative.

Lire la réponse complète : Délégué à la protection des données : est-il obligatoire ?

La directive européenne NIS2, n° 2022/2555, vise les organisations publiques et privées de secteurs jugés critiques : énergie, transports, santé, eau, infrastructures numériques, services informatiques gérés, certaines industries, entre autres. Elle s'applique en général à partir d'une taille moyenne, avec des exceptions indépendantes de la taille. Les organisations concernées doivent gérer leurs risques cyber et signaler leurs incidents importants.

Lire la réponse complète : Directive NIS2 : quelles organisations sont concernées ?

Les mineurs bénéficient d'une protection renforcée, car ils mesurent moins bien les conséquences d'un partage de données. Pour les services en ligne proposés directement à un enfant sur la base du consentement, l'accord du titulaire de l'autorité parentale est requis en dessous d'un âge fixé par la loi. L'information doit être rédigée dans des termes qu'un jeune public comprend.

Lire la réponse complète : Données des mineurs : quelles précautions prendre ?

Un employeur traite des données de ses salariés pour gérer le contrat de travail et respecter ses obligations, ce qui ne suppose pas leur consentement. Il ne peut collecter que des informations utiles à ces objectifs, doit informer le personnel et les candidats, et fixer une durée de conservation annoncée. Les candidatures non retenues ne se conservent pas indéfiniment sans information.

Lire la réponse complète : Données des salariés et des candidats : les règles

Un formulaire de contact recueille des données personnelles, donc le RGPD s'applique. Demandez seulement les champs utiles, placez près du bouton une mention courte sur l'usage des données, leur durée de conservation et les droits des personnes, ajoutez une case distincte et non cochée pour la prospection, fixez une durée de conservation et protégez la transmission par HTTPS.

Lire la réponse complète : Formulaire de contact : que demande le RGPD ?

Une photo ou une vidéo qui permet de reconnaître quelqu'un est une donnée personnelle. Deux régimes se superposent : le droit à l'image, qui suppose l'accord de la personne pour une diffusion, et le RGPD, qui encadre la conservation et l'usage des fichiers. Les caméras installées dans des locaux obéissent à des règles propres, notamment d'information et de proportionnalité.

Lire la réponse complète : Photos et vidéos de personnes : quelles précautions ?

La portabilité permet à une personne de récupérer les données qu'elle vous a fournies, dans un format structuré et lisible par une machine, afin de les réutiliser ailleurs. Elle ne vise que les traitements reposant sur le consentement ou sur un contrat, et réalisés de façon automatisée. Les données que vous avez déduites ou enrichies vous-même n'entrent pas dans ce périmètre.

Lire la réponse complète : Portabilité des données : en quoi consiste ce droit ?

La prospection par voie électronique suppose en principe un accord préalable lorsqu'elle vise des particuliers. Vers des professionnels, elle est possible sans accord si le message concerne leur activité, avec une information claire et un moyen de refus simple. Le démarchage téléphonique obéit à des règles propres, dont le respect de la liste d'opposition. Chaque message doit permettre de se désinscrire.

Lire la réponse complète : Prospection par e-mail et téléphone : quelles règles ?

Au sens du RGPD, un sous-traitant est une personne ou un organisme qui traite des données personnelles pour le compte d'un responsable du traitement et selon ses instructions : hébergeur, prestataire de maintenance, éditeur d'un logiciel en ligne, outil d'envoi d'e-mails. Un contrat écrit doit encadrer la relation, et le sous-traitant a ses propres obligations, notamment en matière de sécurité.

Lire la réponse complète : Qu'est-ce qu'un sous-traitant au sens du RGPD ?

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou par recoupement. Un nom, une photo, une adresse e-mail professionnelle, une adresse IP ou un numéro de client en sont. Certaines catégories, comme la santé ou les opinions, bénéficient d'une protection renforcée. Une donnée seulement pseudonymisée reste personnelle.

Lire la réponse complète : Qu'est-ce qu'une donnée personnelle exactement ?

Les personnes doivent être informées au moment où leurs données sont collectées, dans un langage clair et sans qu'elles aient à chercher. En pratique, l'information se donne à deux niveaux : une mention courte à l'endroit même de la collecte, et une politique de confidentialité complète accessible en permanence. Quand les données viennent d'ailleurs, l'information reste due.

Lire la réponse complète : Quand et comment informer les personnes concernées ?

Le RGPD demande des mesures techniques et organisationnelles adaptées au risque, sans imposer de produit particulier. Il cite notamment le chiffrement et la pseudonymisation, la capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la possibilité de rétablir l'accès après un incident, et une procédure de test régulier de l'efficacité des mesures.

Lire la réponse complète : Quelle sécurité des données le RGPD exige-t-il ?

Un site web qui traite des données personnelles doit informer clairement les visiteurs, reposer sur une base légale pour chaque usage, ne collecter que le nécessaire et obtenir le consentement avant de déposer des traceurs non essentiels. Il doit aussi permettre l'exercice des droits, sécuriser les données, encadrer ses prestataires par contrat, fixer des durées de conservation et inscrire ses traitements au registre.

Lire la réponse complète : Quelles sont les obligations RGPD d'un site web ?

Le RGPD reste le texte de référence sur les données personnelles, mais il s'inscrit désormais dans un ensemble plus large. D'autres règlements européens encadrent le partage et la réutilisation des données, les systèmes d'intelligence artificielle, les services en ligne et la sécurité des réseaux. Leur application s'échelonne et leurs obligations dépendent du rôle exact de chaque organisation.

Lire la réponse complète : Quels autres textes européens encadrent les données ?

Un registre des traitements n'a de valeur que s'il décrit la réalité du moment. Désignez une personne responsable et un remplaçant, puis reliez la mise à jour aux événements qui changent les traitements : nouvel outil, nouveau prestataire, nouveau formulaire, nouvelle finalité, départ d'un service. Une revue périodique complète ce suivi et vérifie les points restés dans l'ombre.

Lire la réponse complète : Qui met à jour le registre RGPD, et à quel moment ?

Un bandeau correctement rédigé ne garantit pas que le site se comporte comme il l'annonce. L'essentiel se vérifie derrière : les scripts se chargent-ils vraiment après l'accord, un refus les bloque-t-il, quels traceurs en appellent d'autres, et que déposent les contenus intégrés ? Un inventaire régulier des traceurs réels complète le travail de rédaction.

Lire la réponse complète : Traceurs : que vérifier au-delà du bandeau cookies ?

Un transfert hors Union européenne existe dès que des données deviennent accessibles depuis un pays tiers, y compris pour une simple maintenance à distance. Il doit être encadré par l'un des mécanismes prévus par le RGPD : décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes ou, selon les cas, une dérogation d'application restreinte.

Lire la réponse complète : Transferts de données hors Union européenne : le cadre

En cas de violation de données personnelles, contenez d'abord l'incident, puis évaluez le risque pour les personnes concernées. S'il existe un risque, notifiez la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Si le risque est élevé, informez aussi les personnes. Documentez toujours la violation dans un registre interne, même sans notification.

Lire la réponse complète : Violation de données personnelles : que faire ?