Fiche de Révision : RGPD et CNIL

Introduction

Le RGPD (Règlement Général sur la Protection des Données) est un texte réglementaire européen qui encadre la collecte, le traitement, et la protection des données personnelles des citoyens de l’Union européenne. La CNIL (Commission Nationale de l’Informatique et des Libertés) est l’autorité française chargée de veiller à l’application de ces règles.

Cette fiche a pour objectif de présenter les notions clés du RGPD et du rôle de la CNIL, en expliquant les concepts juridiques et techniques fondamentaux pour un niveau intermédiaire.

1. Définitions essentielles

Donnée personnelle : toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, notamment par un identifiant (nom, numéro de téléphone, adresse IP, etc.).

Traitement de données : toute opération ou ensemble d’opérations effectuées sur des données personnelles, telles que la collecte, l’enregistrement, l’organisation, la conservation, la modification, la consultation, la diffusion.

Responsable de traitement : personne physique ou morale qui détermine les finalités et les moyens du traitement des données.

Sous-traitant : personne physique ou morale qui traite des données pour le compte du responsable de traitement.

2. RGPD : principes fondamentaux

Le RGPD repose sur 6 grands principes :

Principe	Description
Licéité, loyauté, transparence	Le traitement doit être légal et expliqué clairement à la personne concernée.
Limitation de la finalité	Les données doivent être collectées pour un but déterminé, explicite et légitime.
Minimisation des données	Seules les données nécessaires au but doivent être collectées.
Exactitude	Les données doivent être à jour et exactes.
Limitation de la conservation	Les données ne doivent pas être conservées plus longtemps que nécessaire.
Intégrité et confidentialité	Les données doivent être sécurisées contre tout accès non autorisé ou illégal.

3. Droits des personnes concernées

Le RGPD garantit plusieurs droits aux citoyens, qu’ils peuvent exercer sur leurs données personnelles :

Droit d’accès : Toute personne peut demander quels données sont collectées et à quelles fins.
Droit de rectification : Correction des données inexactes ou incomplètes.
Droit à l’effacement (droit à l’oubli) : Suppression des données dans certains cas.
Droit à la limitation du traitement : Restreindre l’utilisation des données sous certaines conditions.
Droit à la portabilité : Obtenir ses données dans un format exploitable et les transférer.
Droit d’opposition : S’opposer au traitement des données, notamment dans un but marketing.

4. Rôle et missions de la CNIL

La CNIL est l’autorité administrative indépendante française qui assure :

La protection des droits des personnes sur leurs données personnelles.
Le contrôle et la sanction des entreprises et organismes traitant des données.
L’accompagnement et conseil aux organisations pour se conformer au RGPD.
La sensibilisation et information du public sur la protection des données.

Elle peut prononcer des amendes importantes en cas de non-respect du RGPD (jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial).

5. Le processus de conformité au RGPD

Avant de collecter des données, une organisation doit :

Identifier les données personnelles traitées.
Définir la finalité du traitement.
Vérifier la base légale du traitement (consentement, intérêt légitime…).
Informer les personnes concernées sur leurs droits.
Mettre en place des mesures techniques et organisationnelles pour assurer la sécurité des données.
Documenter le traitement via un Registre des activités de traitement.
Gérer les violations de données (notamment déclaration à la CNIL dans les 72h).

Processus simplifié de traitement conforme au RGPD

[Diagramme]

Ce diagramme illustre le cycle de vie simplifié des données personnelles sous la conformité RGPD.

6. Bases légales du traitement

Le RGPD autorise le traitement des données uniquement si une base légale est présente :

Base légale	Description	Exemple
Consentement	La personne accepte explicitement le traitement	Newsletter, cookies marketing
Exécution d’un contrat	Nécessaire pour réaliser un contrat	Livraison d’un produit
Obligation légale	Respect des lois ou obligations réglementaires	Prévention fiscale, sécurité sociale
Intérêt vital	Protéger la vie d’une personne	Urgence médicale
Mission d’intérêt public	Activité publique légitime	Statue, police
Intérêt légitime	Intérêts propres du responsable, non préjudiciables	Lutte contre la fraude

7. Mesures techniques et organisationnelles

Pour garantir la sécurité et la confidentialité des données, le RGPD impose des mesures adaptées, appelées "privacy by design" et "privacy by default" :

Chiffrement des données sensibles.
Contrôle strict des accès.
Anonymisation ou pseudonymisation des données.
Formations régulières du personnel.
Évaluation d’impact (DPIA) pour les traitements à haut risque.

8. Sanctions en cas de non-conformité

Le non-respect du RGPD peut entraîner :

Amendes administratives : jusqu’à 20 millions d’euros ou 4 % du CA mondial.
Mise en demeure avec obligation de mise en conformité.
Suspension des traitements de données.
Actions en justice au civil par les personnes concernées.

Synthèse / Points essentiels

Le RGPD fixe un cadre légal européen pour protéger les données personnelles.
La CNIL veille à l’application en France et informe les utilisateurs.
Le traitement des données doit respecter les principes fondamentaux (licéité, minimisation...).
Les citoyens disposent de droits importants sur leurs données (accès, effacement...).
La conformité nécessite une analyse des bases légales et une sécurisation technique.
Les sanctions sont sévères en cas de non-respect.

Annexe : Exemple chiffré de sanction possible

Supposons une entreprise mondiale avec un chiffre d’affaires annuel de 500 millions d’euros. En cas de violation grave du RGPD :

[Formule mathématique]

Elle pourrait donc être sanctionnée à hauteur de 20 millions d’euros, reflétant la gravité et le poids économique.

Cette fiche vous permettra de bien comprendre les mécanismes et exigences autour du RGPD et du rôle clé de la CNIL pour la protection des données personnelles.

RGPD et CNIL