RGPD : le guide complet pour les entreprise

L'essentiel en bref

• Le RGPD est le règlement (UE) 2016/679. Il est entré en vigueur le 24 mai 2016 et s'applique depuis le 25 mai 2018. Les deux dates sont régulièrement confondues.
• En France, la CNIL est la seule autorité de contrôle nationale (article 8 de la loi Informatique et Libertés). Il n'existe ni découpage régional ni découpage sectoriel, contrairement à l'Allemagne qui compte dix-huit autorités.
• La France n'impose aucun seuil d'effectif pour désigner un délégué à la protection des données. Seul l'article 37 du RGPD déclenche l'obligation. Toute affirmation d'un seuil chiffré à la française est fausse.
• En 2025, la CNIL a prononcé 83 sanctions pour 486 839 500 euros, dont 67 par la procédure simplifiée plafonnée à 20 000 euros. Elle a reçu 20 150 plaintes et 6 167 notifications de violation de données.
• Les deux amendes records de 2025, 325 millions d'euros contre Google et 150 millions contre Shein, ne sont pas des amendes RGPD : elles reposent sur l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy.

Qu'est-ce que le RGPD, et à qui s'applique-t-il ?

Le RGPD est le règlement général sur la protection des données, formellement le règlement (UE) 2016/679. Il fixe les conditions dans lesquelles des données à caractère personnel peuvent être traitées, les droits des personnes concernées et les preuves que vous devez pouvoir produire. Il a été adopté le 27 avril 2016 par le Parlement européen et le Conseil de l'Union européenne, non par la Commission.

Un détail qui se remarque en contrôle : le RGPD est entré en vigueur le 24 mai 2016, vingt jours après sa publication au Journal officiel de l'Union européenne. Il ne s'applique que depuis le 25 mai 2018, à l'issue du délai de transition prévu à l'article 99. Écrire que le règlement est entré en vigueur en 2018 confond entrée en vigueur et applicabilité.

Le RGPD ne s'applique pas uniquement aux entreprises établies dans l'Union. L'article 3 retient aussi le critère du ciblage : une entreprise sans établissement en Europe y est soumise dès lors qu'elle offre des biens ou des services à des personnes situées dans l'Union ou qu'elle suit leur comportement.

Le point d'accroche est toujours la donnée à caractère personnel au sens de l'article 4.1, et la notion est plus large que la plupart des équipes ne le pensent. Une adresse IP, un identifiant de cookie ou la combinaison d'un code postal, d'une année de naissance et d'un intitulé de poste sont des données personnelles dès qu'elles permettent d'isoler une personne. Les données purement sociales d'une entreprise n'en sont pas, mais les coordonnées professionnelles d'un salarié identifié le sont.

Le texte français a une particularité qu'il faut connaître avant de citer un article. La loi Informatique et Libertés de 1978 n'a pas été simplement modifiée en 2018 : l'ordonnance n° 2018-1125 du 12 décembre 2018 a remplacé ses articles 1 à 72 dans leur intégralité, avec effet au 1er juin 2019. La numérotation antérieure ne correspond donc plus. La disposition sur les cookies, longtemps citée comme l'article 32, est désormais l'article 82. C'est l'erreur de citation la plus fréquente dans les contenus français sur le sujet.

Les sept principes et les six bases légales

L'article 5.1 énonce six principes auxquels chaque traitement doit répondre : licéité, loyauté et transparence (a), limitation des finalités (b), minimisation des données (c), exactitude (d), limitation de la conservation (e), intégrité et confidentialité (f). La responsabilité figure à part, à l'article 5.2, ce qui explique que l'on parle couramment de sept principes. C'est elle qui coûte le plus cher en pratique. La responsabilité, c'est l'obligation de démontrer le respect des six autres, avant que quiconque ne pose la question. Un état de fait que vous ne pouvez pas documenter est réputé absent.

Un traitement n'est licite que s'il repose sur l'une des six bases légales de l'article 6.1. Elles sont exactement six et de rang égal. Une base légale se détermine par finalité, avant que le traitement ne commence. Retenir plusieurs bases au sein d'une même activité suppose donc que chacune corresponde à sa propre finalité ; lorsque plusieurs finalités sont regroupées, elles se documentent séparément. Citer plusieurs bases par précaution, pour qu'une tienne si l'autre cède, contrevient à l'obligation de transparence de l'article 13.1 c) et à l'exercice des droits des personnes. Changer de base légale après coup, parce que la première ne tient plus, n'est pas admis ; le CEPD le tient pour déloyal en règle générale dans ses lignes directrices 05/2020 et 2/2019.

Venons-en à l'idée fausse la plus répandue. Huit ans après l'entrée en application, beaucoup d'entreprises considèrent le consentement comme la base légale la plus sûre, souvent en pensant se placer du côté prudent. C'est l'inverse. Le consentement est la seule des six bases révocable à tout moment, et le retrait fait tomber la licéité pour l'avenir. Vous n'avez alors plus de fondement solide et vous devez donner suite au retrait, donc supprimer.

Dans la relation de travail s'ajoute un problème plus grave. Le lien de subordination entre employeur et salarié élève fortement les exigences de preuve du caractère libre du consentement, et le considérant 43 du RGPD va dans le même sens : en cas de déséquilibre manifeste entre le responsable de traitement et la personne concernée, le consentement n'est pas une base solide. Le salarié se trouve face à quelqu'un qui attend quelque chose de lui et se demande ce qui arrivera s'il refuse. Or si le caractère libre manque, c'est une condition de validité qui manque, et donc la base légale tout entière. Vous ne risquez donc pas seulement un retrait ultérieur : vous risquez de n'avoir jamais eu de fondement valable.

L'exemple type reste la photo de salarié, dont le consentement est signé le premier jour avec le reste du dossier d'arrivée. C'est précisément le moment où l'on veut bien faire, et donc celui où le caractère libre est le plus difficile à soutenir. Examinez toujours les six bases d'abord. En pratique, ce sont l'exécution du contrat au b) ou l'intérêt légitime au f) qui portent la plupart des traitements, et l'un comme l'autre résistent mieux.

Les obligations qui concernent toutes les entreprises

La charge opérationnelle du RGPD ne tient pas à des interdictions mais à des obligations de preuve. Six d'entre elles concernent pratiquement toute entreprise de plus d'une poignée de salariés.

Le registre des activités de traitement de l'article 30 est le cœur documentaire. Les autorités le demandent en premier, parce qu'il révèle si une entreprise connaît sa propre activité de traitement. Comment tenir un registre, des mesures de sécurité et une AIPD sans faire vivre trois fichiers Excel en parallèle, nous le montrons sur la page consacrée au registre, à l'AIPD et aux mesures de sécurité.

Sur les mesures de sécurité de l'article 32, les entreprises en font souvent trop, parce qu'elles transposent le niveau de détail de l'ISO 27001 à la protection des données. Le texte est volontairement général et demande des mesures proportionnées au risque, pas un référentiel de contrôles avec preuve de mise en œuvre pour chacune. Un catalogue tenu à jour et exportable suffit, l'export étant l'objectif réel puisque vous devez annexer ces mesures à chaque contrat de sous-traitance.

Ce contrat doit couvrir intégralement les mentions obligatoires de l'article 28.3 : l'objet et la durée du traitement, sa nature et sa finalité, les catégories de données et de personnes concernées, les obligations et droits du responsable de traitement, les mesures de sécurité et le régime des sous-traitants ultérieurs. La sous-traitance n'est pas la seule configuration possible : lorsque deux parties déterminent conjointement les finalités et les moyens, elles sont responsables conjoints au sens de l'article 26 et il leur faut un autre type d'accord.

Sur ce contrat, la première vérification est la plus élémentaire et c'est elle qui échoue le plus souvent : ces mentions sont-elles toutes présentes ? Huit ans après l'entrée en application, souvent non. Une conséquence relève ensuite de la direction et non du service conformité. Vous ne pourrez pas toujours conclure un contrat parfaitement conforme : une entreprise de trente personnes qui adresse des demandes de modification à un grand fournisseur américain n'obtiendra pas d'aménagement individuel. La question n'est alors pas de maquiller le contrat mais de savoir si le résultat est acceptable. Cette décision revient à la direction, pas au délégué à la protection des données, dont le rôle est d'évaluer et de conseiller, par écrit.

Quelles mentions obligatoires de l'article 28.3 vérifier en premier, où cèdent les chaînes de sous-traitants et les plafonds de responsabilité, que faire lorsque le prestataire refuse de négocier : nous le détaillons dans notre guide sur le contrat de sous-traitance RGPD.

Reste une correction propre à la France, qui circule beaucoup dans les contenus traduits de l'allemand. Il n'existe aucun seuil d'effectif en droit français pour désigner un délégué à la protection des données. L'obligation découle uniquement de l'article 37.1 du RGPD : organismes publics, suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données sensibles. Hors ces cas, la CNIL encourage la désignation sans l'imposer. En revanche, dès qu'un délégué existe, sa désignation à la CNIL est obligatoire au titre de l'article 37.7 et se fait exclusivement par le téléservice dédié. Ce que change le choix entre interne et externe, nous le traitons dans l'article sur les avantages d'un DPO externe.

Les ordres de grandeur budgétaires, eux, figurent dans notre aperçu des coûts d'un DPO externe.

Ce qui n'est en général pas documenté, c'est ce qui a été introduit sans passer par la conformité : un outil marketing en version d'essai, un assistant d'IA souscrit par une équipe. Comment retrouver cette informatique parallèle systématiquement plutôt qu'une fois par an, nous le décrivons sous shadow IT et découverte de données.

Droits des personnes concernées : ce que vous devez réellement fournir

Les articles 15 à 22 confèrent sept droits opposables : accès (article 15), rectification (16), effacement (17), limitation du traitement (18), portabilité (20), opposition (21) et le droit de ne pas faire l'objet d'une décision exclusivement automatisée (22). L'article 12 fixe les modalités et le délai : dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception. Une prolongation de deux mois est possible, à condition d'être motivée et notifiée dans le premier mois.

La première étape n'est pas la réponse mais la qualité du demandeur. La personne qui écrit est-elle bien celle dont les données sont en cause ? En cas de doute raisonnable, vous devez l'identifier, car communiquer des données à la mauvaise personne constitue en soi une violation, et une violation sérieuse.

Ce qui est le plus souvent négligé, c'est l'étendue. Une réponse au titre de l'article 15 n'est pas l'annonce que des données sont traitées : elle comprend une copie des données à caractère personnel traitées. La donnée elle-même doit figurer dans la réponse, parce que la finalité du droit est précisément de permettre à la personne de vérifier la licéité du traitement. Une simple liste de catégories ne satisfait pas la demande. La Cour de justice lit la copie comme une reproduction fidèle et intelligible des données, et la remise d'extraits de documents, voire de documents entiers, peut être nécessaire lorsqu'elle est indispensable à l'exercice effectif des droits (C-487/21, 4 mai 2023). Il en va de même des destinataires : sur demande, les destinataires concrets doivent être nommés, sauf impossibilité ou demande manifestement infondée ou excessive (C-154/21, 12 janvier 2023).

Ce qui en découle devient vite lourd. Si une ancienne salariée réclame, après dix ans dans l'entreprise, l'ensemble des données la concernant, ses messages contiennent nécessairement des données de tiers, des personnes en copie aux collègues dont il est question dans le corps du message. Vous leur devez une obligation de confidentialité propre, ce qui impose d'occulter les passages correspondants. C'est du travail manuel, et il ne se remplace pas par une procédure rédigée avec une IA.

Un élément déplace la priorité de ce sujet : les demandes d'accès sont régulièrement déposées pour préparer une action indemnitaire. Il est devenu courant, du côté des conseils du demandeur, de jouer l'accès comme première carte, parce qu'elle rapporte deux choses. Elle procure de l'information, et elle provoque souvent un second manquement, puisque beaucoup d'entreprises ne savent pas répondre complètement dans le délai. L'indemnisation au titre de l'article 82 suppose toutefois un dommage concret : le manquement seul ne suffit pas (C-300/21, 4 mai 2023). Il n'existe pas pour autant de seuil de gravité, et un préjudice moral même limité est réparable. La parade n'a rien de spectaculaire : répondre avec transparence et courtoisie, ne rien minimiser, et demander des précisions quand la demande est vague. Une part appréciable des dossiers qui partent vers l'escalade se désamorcent ainsi. Comment traiter une demande de façon structurée, contrôle d'identité et suivi des délais compris, nous le détaillons dans notre article sur la demande d'accès conforme au RGPD.

Le second poste de coût est l'effacement, qui suit souvent immédiatement l'accès. L'article 17 l'impose sous conditions, tandis que des durées légales de conservation imposent l'inverse. La sortie passe par une politique de conservation qui attribue à chaque catégorie une durée et un responsable, et par la connaissance des emplacements ; comment retrouver des données personnelles dans les outils réellement utilisés, nous le décrivons sous découverte de données.

L'AIPD : quand elle est requise, et comment elle est structurée

Savoir si une AIPD est requise et savoir comment la construire sont deux questions distinctes. L'article 35.3 cite trois cas types : l'évaluation systématique et approfondie d'aspects personnels par traitement automatisé, profilage compris, sur laquelle se fondent des décisions produisant des effets juridiques ou comparables ; le traitement à grande échelle de données sensibles au sens de l'article 9.1 ou de données relatives à des condamnations au sens de l'article 10 ; et la surveillance systématique à grande échelle d'une zone accessible au public. S'y ajoutent, au titre de l'article 35.4, les listes des autorités de contrôle, en France la liste des types d'opérations pour lesquelles la CNIL exige une AIPD. L'analyse de seuil consigne, pour chaque activité de traitement, si un risque élevé est probable, et le résultat négatif se documente aussi. L'AIPD complète ne vient qu'ensuite.

L'article 35 impose cette analyse lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. On la trouve aussi sous l'ancien nom d'étude d'impact sur la vie privée, ou EIVP. Ce qui est le plus souvent négligé, c'est l'ordre de l'examen : avant d'apprécier les risques, il faut décrire ce qui est traité, à quelle fin, et si le traitement est nécessaire et proportionné sous cette forme. C'est seulement sur cette base que l'on peut juger des risques pour les personnes et des mesures qu'ils appellent. L'AIPD se découpe donc en quatre étapes qui s'appuient l'une sur l'autre.

L'erreur la plus répandue consiste à commencer par l'étape 3. Placer l'appréciation des risques avant l'examen de la nécessité inverse la logique du texte : vous évaluez alors les risques d'un traitement dont il n'est pas établi qu'il soit nécessaire sous cette forme.

L'étape 2 se réduit le plus souvent à un champ de texte vide, alors que c'est là que se trouve le travail. Deux questions y mènent. Cette quantité de données est-elle nécessaire à la finalité, ou peut-on faire avec moins ? Et le moyen retenu est-il proportionné ? Un exemple : dans une crèche, des jouets disparaissent chaque semaine du bac à sable. Une vidéosurveillance l'empêcherait-elle ? Probablement. Est-elle proportionnée, à l'égard d'enfants, pour des jouets de plage ? Non, et il existe des moyens moins intrusifs. Cette mise en balance, rédigée, c'est l'étape 2.

La seconde erreur est un raisonnement importé de la sécurité de l'information. Dans un système de management ISO 27001, vous pouvez apprécier un risque résiduel, le documenter puis le porter sciemment, parce qu'il s'agit d'un risque de l'entreprise. Dans une AIPD, vous appréciez des risques pour les droits et libertés d'autres personnes. Ces risques, vous n'en disposez pas de la même manière. Cela ne signifie pas qu'aucun risque ne peut subsister après une AIPD : le RGPD demande une appréciation proportionnée au risque et des mesures d'atténuation adaptées. Mais s'il reste, après leur mise en œuvre, un risque élevé probable pour les personnes, vous ne pouvez pas commencer le traitement sur cette base. Une étape de validation intitulée « risque élevé accepté » n'a rien à faire dans une AIPD.

Ce qui s'applique alors, c'est l'article 36 : consulter la CNIL avant le début du traitement, ou renoncer. En pratique le cas est rare, mais la règle est centrale pour comprendre l'AIPD, car l'alternative à une atténuation efficace n'est pas la poursuite sans contrôle, c'est l'autorité. La consultation ne remplace ni l'atténuation ni une étape ordinaire de validation.

Deux outils valent mieux que n'importe quel modèle trouvé sur un blog. Le Comité européen de la protection des données a adopté le 10 mars 2026 un projet de modèle d'AIPD, mis en consultation publique du 14 avril au 9 juin 2026, qui détaille clairement les sous-points de chaque étape ; la consultation est close et la version définitive reste attendue, il faut donc le citer comme un projet. Le logiciel PIA de la CNIL, gratuit et ouvert, guide la structure et fournit un catalogue de risques prédéfinis. Enfin, l'AIPD se conduit avant le début du traitement. Là où elle est documentée après coup, cela se voit : les mesures y figurent comme déjà mises en œuvre, au lieu de découler de l'appréciation des risques.

Violation de données : la première heure, et quand notifier

L'article 33.1 vous impose de notifier une violation de données à caractère personnel à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Ce seuil de risque fait partie de l'obligation et disparaît régulièrement des résumés. Le délai court à compter de la connaissance, non du fait générateur, et il court aussi le week-end.

La première heure décide moins de la notification que de l'établissement des faits. Les questions sont toujours les mêmes : qui, quand, comment, où, quelles données sont concernées et surtout ce qui peut être établi techniquement et de façon démontrable à cet instant, par opposition à ce qui est supposé. L'appréciation juridique ne vient qu'ensuite.

La frontière entre notifiable et non notifiable est rarement nette. C'est pourquoi l'approche que nous retenons est celle du doute favorable à la notification. En cas d'incertitude, on notifie, parce que cela écarte votre propre manquement. S'il apparaît après coup que vous auriez dû notifier et ne l'avez pas fait, vous cumulez la violation et un second manquement.

La raison pour laquelle les entreprises hésitent est presque toujours la même : la crainte qu'une notification n'attire l'attention de l'autorité et ne déclenche des investigations. Cette crainte va dans le mauvais sens. Une autorité de contrôle n'est pas là pour importuner les entreprises, elle tient dans cette situation davantage du partenaire technique. La notification ne remplit pas seulement une obligation, elle ouvre un appui pour planifier les étapes suivantes, ce qui compte surtout sur les incidents d'ampleur.

L'article 34 est fréquemment mal cité, et la logique s'y inverse. Il régit l'information des personnes concernées et ne joue que si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Aucun délai de 72 heures ne s'applique à leur égard, mais l'information doit intervenir dans les meilleurs délais. La différence entre les deux articles tient au seuil : un risque suffit pour notifier à l'autorité, un risque élevé rend l'information des personnes obligatoire. En cas de doute, notifier à l'autorité, oui ; en cas de doute, écrire à toutes les personnes concernées, non.

L'article 33.5 vous impose ensuite de documenter toute violation de données, y compris celle qui n'est pas notifiable. Le registre interne des violations n'est donc pas une bonne pratique, c'est une obligation légale.

Ce qui fait la différence tient à la préparation : une chaîne d'alerte nommée et le formulaire de notification de la CNIL déjà repéré. Ces deux éléments se construisent à l'avance. Les 72 heures, non.

Transferts de données hors UE

Le chapitre V du RGPD, les articles 44 à 50, encadre les transferts vers des destinataires situés en dehors de l'Union et de l'Espace économique européen. Le chapitre V suppose toujours que le traitement soit déjà licite au titre de l'article 6 : c'est la seconde question, pas la première. Cela établi, face à un prestataire américain la première vérification est toujours la même : existe-t-il une certification en cours au titre de l'EU-US Data Privacy Framework ? Juridiquement il s'agit d'une décision d'adéquation au sens de l'article 45 (décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023), et elle ne couvre pas les entreprises américaines en général mais uniquement celles qui se sont effectivement fait certifier. Vérifier la certification du destinataire précis et documenter cette vérification est donc une obligation, pas un excès de zèle.

À défaut, le second mécanisme est celui de l'article 46, en pratique presque toujours les clauses contractuelles types de la Commission, ou CCT, au sens du 2, c) (décision d'exécution (UE) 2021/914 du 4 juin 2021). Le d) vise des clauses adoptées par une autorité de contrôle et approuvées par la Commission ; il ne joue quasiment aucun rôle en pratique, il n'y a donc pas de véritable choix entre les deux. C'est ici que beaucoup d'équipes sautent une étape. Lorsque la Cour de justice de l'Union européenne a invalidé la précédente décision d'adéquation (Schrems II, C-311/18, 16 juillet 2020), elle a exigé que des mesures supplémentaires viennent s'ajouter aux clauses, dans la mesure où celles-ci ne suffisent pas à elles seules à garantir un niveau de protection substantiellement équivalent. Le contrat seul ne suffit pas. De là est née l'analyse d'impact du transfert, en pratique le transfer impact assessment ou TIA.

Avant toute appréciation de fond vient une étape formelle, celle que l'on oublie le plus souvent : le choix du bon module. Les clauses en comptent quatre, selon le rôle des parties. Le module 1 couvre le transfert de responsable de traitement à responsable de traitement, le module 2 de responsable à sous-traitant, le module 3 de sous-traitant à sous-traitant et le module 4 de sous-traitant à responsable. Les configurations de sous-traitant à sous-traitant, qui relèvent du module 3, sont régulièrement documentées avec le module 2. Un module erroné rend le mécanisme de transfert attaquable, parce que les obligations convenues ne correspondent pas à la répartition réelle des rôles.

Une TIA répond à quatre questions : l'état du droit dans le pays de destination, la possibilité d'accès par des services de renseignement, l'existence de voies de recours pour les personnes concernées sur place, et les mesures techniques qui sécurisent le traitement. Il y en a une que vous ne pouvez pas traiter seul : savoir si des accès d'autorités ont déjà eu lieu chez ce prestataire relève du prestataire. Les grands fournisseurs publient au mieux un modèle renseigné ; la conduite et l'appréciation restent votre responsabilité. C'est précisément là que les négociations contractuelles montrent une faiblesse caractéristique. Le responsable de traitement demande au sous-traitant si une TIA existe pour les sous-traitants ultérieurs américains employés, reçoit un « oui, nous en avons une » et considère le point comme réglé. Ce qui est alors documenté, c'est l'existence de l'analyse, pas son résultat. Savoir si les quatre questions ont réellement été traitées pour ce sous-traitant, et quelles mesures en ont été tirées, reste ouvert. Mieux vaut donc se faire remettre l'analyse elle-même, ou la rendre exigible contractuellement, plutôt que de se contenter de demander si elle existe. La responsabilité de l'appréciation du transfert reste au responsable de traitement.

Une idée fausse répandue concerne l'hébergement européen. Les grands fournisseurs américains ont des filiales européennes et vous contractez aujourd'hui le plus souvent avec la filiale. C'est un avantage réel, mais cela ne clôt pas l'analyse : la société mère reste derrière la filiale et le droit américain peut permettre des accès à des données traitées dans l'Union par celle-ci. Un hébergement européen et un cocontractant européen sont deux bons arguments, pas la fin de l'appréciation.

Sur la solidité du cadre : le Tribunal de l'Union européenne a rejeté le 3 septembre 2025 le recours en annulation de la décision d'adéquation (Latombe contre Commission, T-553/23). Un pourvoi a été formé le 31 octobre 2025 et l'affaire est pendante devant la Cour de justice sous le numéro C-703/25 P. La décision s'applique donc. Deux dispositifs précédents ont toutefois été annulés par la Cour de justice, et qui mise sur le seul Data Privacy Framework sans clauses contractuelles types en réserve planifie sans solution de repli.

RGPD et AI Act : ce que les deux textes partagent

C'est la question qui revient le plus souvent aujourd'hui, et elle se pose mal. Le RGPD et le règlement sur l'intelligence artificielle ne se superposent pas : ils se cumulent. L'AI Act encadre la mise sur le marché et l'usage de systèmes d'IA selon leur niveau de risque. Le RGPD encadre le traitement de données personnelles, y compris quand ce traitement a lieu dans un système d'IA. Un système peut être parfaitement conforme à l'AI Act et illicite au regard du RGPD, et inversement.

Deux conséquences pratiques dominent. D'abord, la question la plus fréquente en entreprise, celle de savoir si des données clients peuvent être confiées à un modèle d'IA, se tranche au titre du RGPD et non de l'AI Act. Le fournisseur du modèle est en règle générale sous-traitant, ce qui impose un contrat au sens de l'article 28 : c'est lui qui fonde la transmission. En revanche, tant que la finalité ne change pas, aucune nouvelle base légale n'est requise. L'engagement décisif est celui par lequel les données saisies ne servent pas à l'entraînement du modèle, à vérifier et non à présumer. Et si vous êtes vous-même sous-traitant et employez un modèle comme sous-traitant ultérieur, il vous faut modifier le contrat existant avec votre propre client.

Ensuite, les analyses préalables se ressemblent sans se confondre. L'AIPD de l'article 35 porte sur les risques pour les personnes concernées ; l'analyse d'impact sur les droits fondamentaux prévue par l'AI Act pour certains systèmes à haut risque a un objet distinct et ne dispense pas de la première. L'article 22 du RGPD, sur les décisions exclusivement automatisées, s'applique par ailleurs indépendamment de la qualification du système au titre de l'AI Act.

Deux repères de calendrier, souvent confondus. Le règlement (UE) 2026/1744, publié le 24 juillet 2026, modifie le règlement sur l'IA et a reporté les échéances applicables aux systèmes à haut risque au 2 décembre 2027 et au 2 août 2028 ; il ne modifie pas le RGPD. Et la CNIL a publié en juin 2025 des recommandations sur l'intérêt légitime comme base légale pour le développement de systèmes d'IA, moissonnage compris, qui relèvent du droit souple. Quels systèmes relèvent du haut risque, nous le détaillons dans notre article sur les systèmes d'IA à haut risque.

Qui contrôle en France, et ce que coûtent les manquements

En France, une seule autorité contrôle l'application du RGPD. L'article 8 de la loi Informatique et Libertés qualifie la Commission nationale de l'informatique et des libertés d'autorité administrative indépendante et la désigne comme « l'autorité de contrôle nationale » au sens du règlement. Il n'y a ni autorité régionale ni autorité sectorielle pour le secteur privé. C'est une simplification réelle par rapport à l'Allemagne, où la compétence est répartie entre dix-huit autorités et où une entreprise doit d'abord identifier celle de son Land.

L'article 83 prévoit deux niveaux d'amende : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les obligations d'organisation (articles 25, 28, 30, 32, 33 et 34, 35, 37 à 39), jusqu'à 20 millions ou 4 % pour les obligations de fond (articles 5, 6, 7, 9, 12 à 22 et 44 à 49). Le montant le plus élevé prévaut. Lorsque l'entité appartient à un groupe, l'assiette est la notion d'entreprise au sens du droit de l'Union, articles 101 et 102 du TFUE, c'est-à-dire l'unité économique et non la personne morale ; le considérant 150 y renvoie expressément et limite ce renvoi au calcul de l'amende. La Cour de justice l'a confirmé et a précisé que cette notion ne gouverne que le plafond, non la question de savoir contre qui et à quelles conditions une amende peut être prononcée (C-807/21, 5 décembre 2023). Le destinataire reste le responsable de traitement ou le sous-traitant, la société mère pouvant être solidairement tenue au paiement.

Reste la distinction que la plupart des articles français escamotent, et elle porte précisément sur les chiffres les plus cités.

Deux enseignements en découlent. Le premier : les deux montants records de 2025 ne sont pas des amendes RGPD. Ils reposent sur l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy, et accessoirement sur le code des postes et des communications électroniques. Les plafonds de 4 % et 2 % ne les gouvernent donc pas, et le guichet unique ne s'applique pas non plus, ce qui est exactement pourquoi la CNIL a pu sanctionner directement des sociétés établies en Irlande. Un article qui range ces sanctions parmi les « amendes RGPD » se trompe sur ses chiffres les plus visibles.

Le second : la correction juridictionnelle existe mais reste rare. Sur les affaires majeures, une seule a été réduite, Amazon France Logistique, ramenée de 32 à 15 millions d'euros. Criteo et les deux décisions Google ont été confirmées. Citer 32 millions pour Amazon reste courant et n'est plus exact depuis décembre 2025.

Les volumes ont changé d'échelle. En 2025 la CNIL a prononcé 83 sanctions pour 486 839 500 euros, dont 16 par la formation restreinte et 67 par la procédure simplifiée de l'article 22-1 de la loi Informatique et Libertés, plafonnée à 20 000 euros et décidée par le seul président de la formation restreinte. Elle a aussi adressé 143 mises en demeure, reçu 20 150 plaintes et enregistré 6 167 notifications de violation. Le détail figure dans le bilan des sanctions publié par la CNIL. Pour une PME, la procédure simplifiée est donc l'expérience ordinaire du contrôle, même si elle est marginale en montants.

Deux chiffres méritent l'attention des employeurs : 21 organismes sanctionnés en 2025 au sujet des cookies et traceurs, et 16 au sujet de la vidéosurveillance des salariés. Le contrôle de l'activité des personnes employées est une priorité assumée, et le recrutement figure parmi les thèmes de contrôle prioritaires de la CNIL pour 2026.

Trois durées françaises reviennent par ailleurs constamment. Les dossiers de candidats non retenus se conservent deux ans après le dernier contact selon la CNIL, dont le référentiel d'avril 2026 sur les durées de conservation en gestion des ressources humaines prévoit un archivage jusqu'à cinq ans à compter du pourvoi du poste lorsqu'il s'agit de se défendre contre une action pour discrimination, au titre de l'article L.1134-5 du code du travail. Les pièces comptables se conservent dix ans en application de l'article L123-22 du code de commerce. Et avant toute mise en place d'un dispositif de surveillance, l'employeur doit consulter le comité social et économique dans les entreprises d'au moins cinquante salariés, ce qui est plus qu'une simple information, en plus d'informer préalablement chaque personne concernée.

Un ordre de grandeur pour une entreprise de taille moyenne. Un éditeur de logiciels B2B installé à Lyon, 60 salariés, gère des données personnelles dans quatorze systèmes, du CRM à l'outil de recrutement. Le registre compte 38 activités de traitement après le premier inventaire complet, dont trois avec transfert vers les États-Unis. La charge n'est pas dans la construction mais dans l'entretien : chaque nouvel outil et chaque mouvement de personnel produit une modification du registre, des mesures de sécurité ou d'un contrat.

Ce qui change en 2026

La distinction entre droit applicable et projet en cours est particulièrement utile ici, plusieurs textes ayant été présentés en même temps en novembre 2025.

Pour planifier, retenez le droit applicable. L'extension de la dispense de l'article 30.5 serait un allègement réel pour les entreprises de 250 à 750 salariés, mais elle ne joue de toute façon pas pour les traitements risqués ni pour les données sensibles. Un registre vous sera nécessaire dans les deux cas de figure ; en cas de violation, c'est lui qui fonde la notification de l'article 33.

Le RGPD ne vient d'ailleurs presque jamais seul. Qui vise l'ISO 27001 couvre déjà une part importante des exigences de l'article 32, parce que le contrôle des accès, le chiffrement et la journalisation produisent les mêmes preuves dans les deux référentiels. Ce qui ne se transpose pas, c'est la logique de risque : un système de management apprécie des risques pour l'entreprise, qu'elle peut porter, alors que le RGPD apprécie des risques pour des tiers, que vous ne pouvez pas porter. Comment articuler l'article 32, l'annexe A et SOC 2 sur un seul jeu de mesures, nous le traitons dans l'article dédié à l'ISO 27001 et au RGPD.

Le chemin complet vers le certificat figure dans notre guide de la certification ISO 27001.

Pour les secteurs réglementés s'ajoute la directive NIS2, dont les obligations de notification sont autonomes et ne sont pas satisfaites par l'article 33 du RGPD.

Comment Kertos met en œuvre la conformité RGPD

Kertos associe une plateforme de gestion de la protection des données à des experts certifiés qui prennent en charge une partie de la mise en œuvre. Le système de gestion de la protection des données tient le registre des activités de traitement, les mesures techniques et organisationnelles ainsi que les contrats de sous-traitance au même endroit, et déduit les changements des systèmes raccordés au lieu de les demander une fois par an.

Le domaine où l'automatisation se justifie le plus nettement est celui des demandes des personnes concernées. Elles suivent un processus défini, avec contrôle d'identité, collecte des données à travers les systèmes et suivi du délai de l'article 12 ; plus d'un demi-million de demandes ont déjà été traitées ainsi. Le fonctionnement est détaillé sur la page consacrée aux demandes des personnes concernées.

Là où personne ne peut assumer le rôle en interne, Kertos fournit un délégué à la protection des données externe. La désignation externe vaut juridiquement la désignation interne, avec une différence à dire franchement : un intervenant externe n'a pas accès à vos systèmes et n'apprend l'arrivée d'un nouvel outil ou d'une nouvelle fonctionnalité que si on lui en parle. Associé seulement lorsque le produit est techniquement terminé, il lui reste la remarque plutôt que la conception, et les modifications tardives coûtent plus cher qu'une demi-heure en phase d'idée.

Quelles fonctions une solution doit couvrir et où le logiciel atteint ses limites, nous l'avons rassemblé dans l'aperçu consacré au logiciel de protection des données.

La couverture obligation par obligation figure sous le RGPD avec Kertos.

Si vous voulez savoir quelle part de votre charge documentaire est automatisable dans votre configuration, réservez un échange.

Questions fréquentes

Où le RGPD s'applique-t-il ?

Le RGPD s'applique dans les 27 États membres de l'Union et, par l'accord sur l'Espace économique européen, en Norvège, en Islande et au Liechtenstein. Par le critère de ciblage de l'article 3, il atteint en outre les entreprises sans établissement dans l'Union dès lors qu'elles offrent des biens ou des services à des personnes qui s'y trouvent ou qu'elles suivent leur comportement.

Qu'est-ce qu'une donnée à caractère personnel ?

Selon l'article 4.1, toute information relative à une personne physique identifiée ou identifiable. Cela comprend le nom, l'adresse et la date de naissance, mais aussi les adresses IP, les identifiants de cookies, les données de localisation et les numéros de matricule. Le critère est de savoir si la donnée permet d'isoler une personne avec les moyens disponibles, au besoin en combinant plusieurs éléments.

Quand faut-il désigner un délégué à la protection des données en France ?

Dans les trois cas de l'article 37.1 du RGPD : organisme public, suivi régulier et systématique à grande échelle des personnes, ou traitement à grande échelle de données sensibles ou relatives à des condamnations. Il n'existe aucun seuil d'effectif en droit français, contrairement à l'Allemagne. Hors ces cas la désignation est encouragée mais facultative, et dès qu'un délégué est désigné il doit être déclaré à la CNIL via son téléservice.

Quel est le montant des amendes en cas de manquement au RGPD ?

L'article 83 prévoit deux niveaux : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les obligations d'organisation et de documentation, jusqu'à 20 millions ou 4 % pour les manquements aux principes, aux droits des personnes ou aux règles de transfert, le montant le plus élevé prévalant. En 2025, la CNIL a prononcé 83 sanctions pour 486 839 500 euros au total, dont 67 par la procédure simplifiée plafonnée à 20 000 euros.

Que signifie être conforme au RGPD ?

Que chaque traitement de données personnelles repose sur une base légale de l'article 6, respecte les principes de l'article 5, et que vous puissiez démontrer les deux. La démonstration est l'objet même du contrôle : sans registre au titre de l'article 30, sans mesures de sécurité documentées au titre de l'article 32 et sans contrats de sous-traitance au titre de l'article 28, la conformité ne peut pas être établie devant la CNIL, même si le traitement est licite au fond.