Guide pratique · RGPD (UE) 2016/679
La protection des données, sans jargon.
RGPD
Un guide de pilotage indépendant : principes, droits, responsabilités et preuves utiles. Il ne remplace ni le texte du règlement, ni l’avis d’un juriste, ni l’analyse de votre traitement.
Le règlement, article par article, sans superflu.
Une partie à la fois : points à examiner, conseils et exemples de preuves.
Poser les principes et la base légale
L'esprit du règlement (Articles 5 à 11) : Tout traitement repose sur des principes et sur une base légale. Le règlement ajoute une exigence qui irrigue tout le reste : savoir démontrer ce que l’on fait (art. 5, §2).
Points à examiner
- Respecter les principes : traitement licite, loyal et transparent ; finalités déterminées ; minimisation ; exactitude ; durée de conservation limitée ; intégrité et confidentialité ; responsabilité (art. 5).
- Choisir une base légale pour chaque finalité : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public ou intérêts légitimes (art. 6).
- Quand on s’appuie sur le consentement, pouvoir le prouver, le recueillir de manière libre, spécifique, éclairée et univoque, et permettre de le retirer aussi simplement qu’on l’a donné (art. 7).
- Prévoir un régime particulier pour les enfants dans les services en ligne (art. 8).
- Traiter les données sensibles (santé, origine, opinions, biométrie, etc.) seulement dans les cas prévus (art. 9), et les données sur les infractions dans un cadre strict (art. 10).
L'astuce agile
Pour chaque traitement, une ligne de tableau : finalité, base légale, données, durée, destinataires. Si vous ne savez pas écrire la finalité en une phrase, le traitement est trop flou.
À éviter : Tout fonder sur le consentement par réflexe. · Collecter des données « au cas où ».
Exemples de preuves
Respecter les droits des personnes
L'esprit du règlement (Articles 12 à 23) : La personne garde la main sur ses données : elle est informée, peut accéder à ses données, les faire corriger, effacer ou transférer, et s’opposer à certains traitements.
Points à examiner
- Informer clairement, dès la collecte, de qui traite les données, pourquoi, sur quelle base, combien de temps, avec quels destinataires et comment exercer ses droits (art. 12 à 14).
- Répondre aux demandes dans un délai d’un mois, en facilitant l’exercice des droits (art. 12).
- Droit d’accès (art. 15), de rectification (art. 16), d’effacement (art. 17), de limitation (art. 18).
- Informer les destinataires des rectifications, effacements ou limitations (art. 19).
- Droit à la portabilité (art. 20) et droit d’opposition (art. 21).
- Encadrer les décisions entièrement automatisées, profilage compris (art. 22).
- Connaître les limitations possibles par le droit de l’Union ou national (art. 23).
L'astuce agile
Une adresse unique pour les demandes et une procédure d’une page : qui reçoit, qui vérifie l’identité, qui répond sous un mois, où l’on garde la trace.
À éviter : Exiger systématiquement une pièce d’identité pour toute demande. · Traiter chaque demande au cas par cas, sans modèle de réponse.
Exemples de preuves
Prouver sa responsabilité
L'esprit du règlement (Articles 24 à 31) : Le responsable de traitement met en œuvre des mesures appropriées et doit pouvoir le démontrer. Les sous-traitants sont encadrés par contrat, et le registre des traitements en est la pièce centrale.
Points à examiner
- Mettre en œuvre des mesures techniques et organisationnelles appropriées et savoir le démontrer (art. 24).
- Intégrer la protection des données dès la conception et par défaut (art. 25).
- Définir par accord les responsabilités respectives en cas de responsabilité conjointe (art. 26).
- Encadrer chaque sous-traitant par un contrat qui fixe les instructions, la confidentialité, la sécurité, le recours à d’autres sous-traitants, l’aide au responsable et la suppression ou restitution des données (art. 28).
- Tenir un registre des activités de traitement (art. 30).
- Coopérer avec l’autorité de contrôle (art. 31).
L'astuce agile
Commencez par le registre : un tableur, une ligne par traitement, un responsable par ligne. Ajoutez une colonne « sous-traitant et contrat signé ? » et vous avez déjà la liste de vos contrats à vérifier.
Moins de 250 salariés : une souplesse limitée (art. 30, §5) : le registre peut être allégé, mais il reste obligatoire pour les traitements non occasionnels, à risque ou portant sur des données sensibles.
À éviter : Un registre rempli une fois et jamais relu. · Des sous-traitants sans contrat signé.
Exemples de preuves
Sécuriser et réagir aux violations
L'esprit du règlement (Articles 32 à 34) : Une sécurité proportionnée au risque, et une réaction rapide quand une violation survient : la notifier à l’autorité, parfois informer les personnes.
Points à examiner
- Adopter des mesures de sécurité adaptées au risque : pseudonymisation, chiffrement, confidentialité, intégrité, disponibilité, résilience, rétablissement et tests réguliers (art. 32).
- Documenter toute violation de données personnelles, ses effets et les mesures prises (art. 33).
- Notifier à l’autorité de contrôle les violations susceptibles d’engendrer un risque pour les personnes, dans les meilleurs délais et si possible dans les 72 heures, avec les motifs du retard au-delà (art. 33).
- Prévoir le contenu de la notification : nature de la violation, catégories et nombre de personnes et d’enregistrements, point de contact, conséquences probables, mesures prises ou envisagées (art. 33).
- Informer les personnes concernées sans retard injustifié quand le risque pour elles est élevé (art. 34).
L'astuce agile
Préparez un « kit violation » d’une page avant d’en avoir besoin : qui décide, qui contacte l’hébergeur, qui rédige la notification, modèle de message aux personnes. Le délai de 72 heures court dès que vous avez connaissance de la violation.
À éviter : Découvrir sa procédure de violation le jour de la violation. · Attendre d’avoir toutes les informations pour prévenir l’autorité : une notification en deux temps est possible.
Exemples de preuves
Évaluer les risques et désigner un DPO
L'esprit du règlement (Articles 35 à 39) : Quand un traitement présente un risque élevé pour les personnes, une analyse d’impact (AIPD) s’impose. Le délégué à la protection des données (DPO) conseille et contrôle, de façon indépendante.
Points à examiner
- Réaliser une AIPD avant tout traitement susceptible d’engendrer un risque élevé : description du traitement, nécessité et proportionnalité, risques pour les personnes, mesures prévues (art. 35).
- Consulter l’autorité de contrôle si le risque élevé subsiste malgré les mesures (art. 36).
- Désigner un DPO dans les cas prévus : autorité publique, suivi régulier et systématique à grande échelle, données sensibles à grande échelle (art. 37).
- Associer le DPO aux questions de protection des données, lui donner les ressources et l’indépendance nécessaires, éviter les conflits d’intérêts (art. 38).
- Confier au DPO l’information et le conseil, le contrôle du respect du règlement, le conseil sur l’AIPD et le rôle de point de contact de l’autorité (art. 39).
L'astuce agile
Une grille de dépistage de trois questions à poser à chaque nouveau projet : données sensibles ? surveillance ou profilage ? grande échelle ? Un « oui » déclenche une AIPD, un « non » est tracé.
À éviter : Faire l’AIPD après le lancement du projet. · Désigner comme DPO la personne qui décide des traitements.
Exemples de preuves
Encadrer les transferts hors de l’UE
L'esprit du règlement (Articles 44 à 50) : Transférer des données hors de l’Union exige un mécanisme qui garantit un niveau de protection équivalent.
Points à examiner
- Appliquer le principe général : un transfert hors UE n’est possible que dans les conditions du chapitre V (art. 44).
- Vérifier d’abord s’il existe une décision d’adéquation pour le pays de destination (art. 45).
- À défaut, s’appuyer sur des garanties appropriées, par exemple des clauses contractuelles types (art. 46) ou des règles d’entreprise contraignantes (art. 47).
- Réserver les dérogations pour des situations particulières, avec prudence (art. 49).
L'astuce agile
Dressez la carte de vos transferts : outil, sous-traitant, pays, mécanisme. Beaucoup de transferts viennent d’outils de messagerie, d’hébergement ou d’assistance que l’on oublie.
À éviter : Se fier à une promesse commerciale plutôt qu’à un mécanisme juridique. · Ignorer les sous-traitants ultérieurs des fournisseurs.
Exemples de preuves
Connaître les contrôles et les sanctions
L'esprit du règlement (Articles 51 à 84) : Une autorité de contrôle indépendante surveille l’application du règlement. Les personnes peuvent saisir cette autorité ou un juge, et les sanctions peuvent être lourdes.
Points à examiner
- Savoir que chaque pays a une autorité de contrôle indépendante, la CNIL en France, avec des pouvoirs d’enquête et de correction (art. 51 à 59).
- Respecter le droit des personnes d’introduire une réclamation auprès de l’autorité (art. 77) et de former un recours juridictionnel (art. 78 et 79).
- Prévoir la possibilité d’actions représentatives par des organismes mandatés (art. 80) et le droit à réparation du dommage (art. 82).
- Connaître les amendes administratives : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour certains manquements (registre, sécurité, notification), et jusqu’à 20 millions d’euros ou 4 % pour les manquements aux principes, aux droits ou aux transferts (art. 83).
- Savoir que la sanction tient compte de la gravité, de la durée, des mesures prises et de la coopération (art. 83).
L'astuce agile
Votre meilleur dossier de défense tient en quatre pièces : registre à jour, contrats signés, preuves de sensibilisation, journal des violations. Quand le contrôle arrive, c’est ce qu’on vous demandera.
À éviter : Espérer ne pas être contrôlé. · Une conformité qui existe seulement dans la tête du dirigeant.
Exemples de preuves
Pour s’orienter
Six repères pour bien lire le règlement.
Le RGPD n’est pas une norme volontaire : c’est un texte juridique d’application directe. Voici comment s’y retrouver.
Repères documentaires
16 points de départ pour votre dispositif.
Ces 16 repères sont une aide méthodologique Viva QSE, pas une liste exhaustive d’obligations. Le règlement impose de savoir démontrer sa conformité (art. 5, §2 et art. 24) ; ces documents sont ceux qui le permettent le plus simplement.
Registre des activités de traitement
Une ligne par traitement : finalité, catégories, destinataires, durées, sécurité.
Mentions d’information
Information des personnes à la collecte, en langage clair.
Procédure d’exercice des droits
Qui reçoit, vérifie, répond sous un mois et trace les demandes.
Contrats de sous-traitance
Instructions, confidentialité, sécurité, sous-traitants ultérieurs, restitution ou suppression.
Accords de responsabilité conjointe
Répartition des rôles et des obligations vis-à-vis des personnes.
Durées de conservation
Durées par finalité et règles de suppression ou d’archivage.
Mesures de sécurité
Politique de sécurité et mesures adaptées au risque.
Procédure de gestion des violations
Qui décide, qui notifie, modèle de notification et d’information.
Cartographie des transferts
Outils, sous-traitants, pays de destination et mécanisme retenu.
Base légale par finalité
Base juridique retenue et sa justification pour chaque traitement.
Preuves de consentement
Date, version du texte, moyen de recueil et retrait éventuel.
Journal des violations
Toute violation, ses effets et les mesures prises, notifiée ou non.
Registre des demandes de droits
Demandes reçues, dates, réponses et délais.
Analyses d’impact
Description, nécessité, risques, mesures et décision.
Missions du DPO
Désignation, contact, avis rendus et comptes rendus à la direction.
Preuves de sensibilisation
Formations et rappels pour les personnes qui accèdent aux données.
Un guide, pas un avis juridique
Interprétation méthodologique indépendante de Viva QSE, qui ne constitue pas un avis juridique. Le texte du règlement et les lignes directrices de la CNIL et du CEPD font foi. Ces repères ne garantissent pas la conformité.
RGPD et DPO externe · Guide ISO/IEC 27701 · Guide ISO/IEC 27001 · Guide ISO 31000 · Guide ISO 22301 · Ressources
Autres normes : ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 20000-1, ISO 22301.
Déployer votre dispositif
ISO, RGPD ou projet : mission de déploiement sur trois mois. Voir l’offre Build, ses conditions et ses tarifs.
Parlons de votre enjeu.
Un premier échange de 20 minutes, sans engagement. Vous préférez écrire ? Un court message suffit.
Échanger