Comprendre pour mieux agir
Formulaires en ligne, adhésions, candidatures, newsletters, applications, vidéosurveillance, outils collaboratifs, plateformes numériques : les organisations collectent aujourd’hui une quantité considérable de données concernant des personnes physiques.
Cette transformation numérique crée des opportunités, mais également de nouvelles responsabilités. Une donnée mal collectée, trop largement accessible, conservée trop longtemps ou insuffisamment protégée peut devenir une source de risque juridique, organisationnel, réputationnel et cyber.
Le Règlement général sur la protection des données, ou RGPD, ne doit donc pas être considéré uniquement comme une contrainte administrative. Il constitue également un cadre de gouvernance permettant aux organisations de mieux connaître leurs données, d’en limiter l’usage, d’en contrôler l’accès et d’améliorer leur sécurité.
Protéger les données personnelles, c’est aussi réduire la surface d’exposition de l’organisation.
1. Qu’est-ce que le RGPD ?
Le Règlement général sur la protection des données, plus couramment appelé RGPD, constitue le cadre européen de référence en matière de protection des données personnelles.
Il est applicable depuis le 25 mai 2018.
Son objectif est notamment de renforcer la maîtrise des personnes sur les données qui les concernent et de responsabiliser les organismes qui les traitent.
Le RGPD concerne aussi bien :
- les entreprises ;
- les associations ;
- les administrations ;
- les collectivités ;
- les établissements publics ;
- les organismes privés ;
- certaines organisations établies hors de l’Union européenne lorsqu’elles entrent dans son champ territorial.
La taille de l’organisation ne constitue donc pas, à elle seule, un critère permettant d’échapper au RGPD.
2. Qu’est-ce qu’une donnée personnelle ?
Le RGPD définit une donnée personnelle comme une information se rapportant à une personne physique identifiée ou identifiable.
L’identification peut être directe.
Par exemple :
- nom ;
- prénom ;
- photographie.
Elle peut également être indirecte.
Cela peut notamment concerner :
- adresse électronique ;
- numéro de téléphone ;
- identifiant utilisateur ;
- adresse IP ;
- numéro d’identification ;
- localisation ;
- combinaison de plusieurs informations permettant d’identifier une personne.
Une adresse IP ou un identifiant en ligne peuvent ainsi constituer des données personnelles lorsqu’ils permettent de relier l’information à une personne.
Une donnée n’a pas besoin de comporter un nom et un prénom pour être une donnée personnelle.
3. Qu’est-ce qu’un traitement de données ?
Le mot « traitement » possède un sens très large.
Il peut s’agir de :
- collecter ;
- enregistrer ;
- classer ;
- consulter ;
- modifier ;
- transmettre ;
- partager ;
- conserver ;
- supprimer ;
- rapprocher plusieurs données.
Un simple fichier de contacts peut donc constituer un traitement.
Une base de bénévoles, un formulaire de candidature ou une liste d’abonnés à une newsletter également.
Le RGPD ne concerne pas uniquement les grandes bases de données ou les technologies complexes.
4. Commencer par une question simple : pourquoi collectons-nous cette donnée ?
Chaque traitement doit répondre à une finalité déterminée, explicite et légitime.
Cela signifie qu’une organisation doit savoir expliquer pourquoi elle collecte une information.
Exemples :
- gérer une adhésion ;
- répondre à une demande de contact ;
- administrer un compte utilisateur ;
- recruter un collaborateur ;
- envoyer une newsletter ;
- organiser un événement.
Collecter des informations « au cas où elles seraient utiles plus tard » n’est pas une bonne logique de conformité.
Le bon réflexe
Avant d’ajouter un nouveau champ à un formulaire :
« Avons-nous réellement besoin de cette information pour atteindre notre objectif ? »
5. La minimisation réduit également le risque cyber
Le principe de minimisation impose de limiter les données aux informations adéquates, pertinentes et nécessaires pour l’objectif poursuivi.
Cette règle possède également un intérêt évident en matière de sécurité.
Une organisation qui collecte moins de données :
- possède moins d’informations à protéger ;
- réduit les conséquences possibles d’une fuite ;
- limite le nombre d’informations exploitables par un attaquant ;
- simplifie la gouvernance de ses bases.
Une donnée que l’on ne collecte pas ne peut pas être volée dans son système d’information.
La protection des données rejoint donc directement la logique de réduction de la surface d’exposition.
6. Le consentement n’est pas la seule base légale
Une erreur fréquente consiste à penser que tout traitement nécessite obligatoirement le consentement.
Le RGPD prévoit six bases légales pour les traitements relevant de son article 6 :
- consentement ;
- contrat ou mesures précontractuelles ;
- obligation légale ;
- sauvegarde des intérêts vitaux ;
- mission d’intérêt public ;
- intérêt légitime.
Le choix dépend du traitement concerné.
La base juridique doit être déterminée en amont, car elle influence notamment les droits applicables aux personnes.
Exemple
Lorsqu’une personne envoie spontanément son CV en réponse à une offre d’emploi, certaines opérations nécessaires au traitement de cette candidature peuvent relever des mesures précontractuelles plutôt que du consentement.
7. Le consentement doit être réellement valable lorsqu’il est utilisé
Lorsque le traitement repose sur le consentement, celui-ci ne doit pas être obtenu artificiellement.
Il doit notamment être :
- libre ;
- spécifique ;
- éclairé ;
- univoque.
La personne doit également pouvoir retirer son consentement dans les conditions prévues.
Une case précochée ou une acceptation noyée dans des conditions difficilement compréhensibles ne correspond pas à une bonne pratique de consentement.
8. Informer les personnes constitue une obligation centrale
La protection des données repose également sur la transparence.
La personne doit comprendre notamment :
- qui traite ses données ;
- pourquoi elles sont utilisées ;
- sur quelle base juridique ;
- pendant combien de temps ;
- à qui elles peuvent être transmises ;
- quels sont ses droits ;
- comment les exercer.
Cette information peut prendre différentes formes selon le contexte :
- mention sous un formulaire ;
- politique de confidentialité ;
- document d’information ;
- information intégrée à une application.
Une politique de confidentialité ne doit pas simplement exister. Elle doit pouvoir être comprise.
9. Les droits des personnes doivent pouvoir être exercés réellement
Le RGPD accorde différents droits aux personnes selon la situation et le traitement concerné.
Ils peuvent notamment inclure :
- droit d’accès ;
- droit de rectification ;
- droit d’effacement ;
- droit à la limitation ;
- droit d’opposition ;
- droit à la portabilité.
Une organisation doit donc disposer d’un processus permettant de :
- recevoir la demande ;
- identifier correctement la personne lorsque cela est nécessaire ;
- identifier les traitements concernés ;
- analyser le droit applicable ;
- répondre dans les délais prévus ;
- conserver la traçabilité appropriée de la demande.
La CNIL insiste également sur la nécessité d’organiser concrètement l’exercice de ces droits.
10. Le droit à l’effacement n’est pas un droit absolu
Une demande d’effacement ne signifie pas nécessairement que toutes les données doivent être immédiatement supprimées sans analyse.
Certaines informations peuvent devoir être conservées lorsqu’une autre obligation juridique l’exige ou lorsqu’un autre fondement autorise leur conservation.
Il faut donc examiner :
- quelles données sont concernées ;
- pourquoi elles sont détenues ;
- si la finalité existe encore ;
- si une obligation de conservation demeure ;
- si une limitation ou un archivage est nécessaire.
Répondre correctement à un droit RGPD suppose de connaître le cycle de vie réel de la donnée.
11. Les données ne peuvent pas être conservées indéfiniment
Le principe de limitation de conservation impose de fixer une durée adaptée à l’objectif ayant justifié la collecte.
La CNIL rappelle qu’une donnée ne doit rester en base active que pendant la durée nécessaire à sa finalité. Elle doit ensuite, selon les situations, être supprimée, anonymisée ou placée dans un archivage répondant à un besoin justifié.
L’organisation doit donc connaître :
- la date de collecte ;
- la durée applicable ;
- le moment auquel la donnée doit sortir de la base active ;
- son éventuel archivage ;
- la date de suppression définitive.
12. Exemple : la conservation d’un CV
La conservation des candidatures illustre bien l’importance de nuancer les règles.
Pour un candidat non retenu, la CNIL indique notamment qu’un recruteur peut, dans certaines conditions, conserver une candidature pour d’éventuelles opportunités futures pendant une durée qui ne devrait pas dépasser deux ans à compter du dernier contact, sous réserve du fondement approprié et de l’information de la personne.
Cela ne signifie pas :
« Tous les CV doivent systématiquement être conservés deux ans. »
La durée dépend de la finalité réelle et du cadre applicable.
13. La sécurité constitue une obligation du RGPD
Une organisation qui traite des données personnelles doit mettre en œuvre des mesures techniques et organisationnelles appropriées.
La sécurité ne concerne pas uniquement le serveur hébergeant la base.
Elle peut notamment porter sur :
- comptes utilisateurs ;
- mots de passe ;
- authentification ;
- habilitations ;
- postes de travail ;
- sauvegardes ;
- chiffrement lorsqu’il est pertinent ;
- mises à jour ;
- journalisation ;
- sécurité physique ;
- gestion des prestataires ;
- sensibilisation des utilisateurs.
La CNIL rappelle que la sécurité doit être adaptée à la sensibilité des données et aux risques encourus par les personnes.
14. Le principe du moindre privilège est essentiel
Tous les collaborateurs n’ont pas besoin d’accéder à toutes les données.
Les habilitations doivent donc être définies en fonction des missions.
Par exemple :
- l’équipe communication n’a pas nécessairement besoin d’accéder aux documents RH ;
- un bénévole ne doit pas automatiquement accéder à l’ensemble des informations concernant les autres membres ;
- un prestataire technique ne doit disposer que des accès nécessaires à son intervention.
Cette logique constitue à la fois une bonne pratique RGPD et une bonne pratique de cybersécurité.
Moins une donnée est accessible inutilement, moins elle peut être consultée, modifiée ou exfiltrée accidentellement ou volontairement.
15. Attention aux fichiers partagés et outils collaboratifs
Les données personnelles peuvent facilement se retrouver dispersées dans :
- Google Drive ;
- Microsoft 365 ;
- outils de gestion de projet ;
- messageries ;
- dossiers partagés ;
- fichiers Excel ;
- outils CRM ;
- solutions SaaS.
Une organisation peut parfaitement avoir sécurisé sa base principale tout en laissant des copies accessibles ailleurs.
La gouvernance doit donc identifier :
- où sont les données ;
- qui y accède ;
- quelles copies existent ;
- comment elles sont supprimées ;
- quels prestataires interviennent.
16. Le sous-traitant ne supprime pas la responsabilité de l’organisation
De nombreuses organisations utilisent des prestataires pour :
- héberger un site ;
- envoyer des courriels ;
- gérer les adhésions ;
- stocker des documents ;
- administrer une plateforme ;
- traiter des paiements ;
- analyser des données.
Lorsqu’un prestataire traite des données personnelles pour le compte d’une organisation, la relation doit être correctement encadrée.
Externaliser un service ne signifie donc pas externaliser toute responsabilité.
L’organisation doit notamment savoir :
- quelles données sont confiées ;
- pour quelle finalité ;
- où elles sont traitées ;
- quelles mesures de sécurité sont prévues ;
- ce qui se passe à la fin du contrat.
17. Cartographier les données permet de reprendre le contrôle
Une organisation qui ne sait pas où se trouvent ses données ne peut pas correctement les protéger.
Une cartographie peut notamment identifier :
Traitement
→ Données
→ Finalité
→ Base légale
→ Responsable
→ Destinataires
→ Prestataires
→ Durée
→ Mesures de sécurité
Cette cartographie facilite ensuite :
- la tenue du registre ;
- l’exercice des droits ;
- la gestion des incidents ;
- les audits ;
- les migrations informatiques ;
- la suppression des données devenues inutiles.
18. Le registre des traitements constitue un outil de gouvernance
Le registre ne doit pas être vu comme un document administratif réalisé une fois puis oublié.
Lorsqu’il est correctement tenu, il permet de comprendre :
- quelles données l’organisation traite ;
- dans quel objectif ;
- avec quels acteurs ;
- pendant combien de temps ;
- avec quels risques.
Il devient ainsi un véritable outil de pilotage.
19. Certaines données nécessitent une vigilance renforcée
Toutes les données personnelles ne présentent pas le même niveau de risque.
Certaines catégories sont particulièrement sensibles.
Cela peut notamment concerner, dans les conditions définies par le RGPD :
- données de santé ;
- données biométriques utilisées à certaines fins d’identification ;
- informations révélant certaines convictions ;
- données relatives à la vie sexuelle ou à l’orientation sexuelle ;
- certaines données révélant l’origine raciale ou ethnique.
Le traitement de ces informations fait l’objet de conditions particulières.
Une organisation doit donc éviter de collecter ce type de données simplement parce qu’un formulaire permet techniquement de le faire.
20. Une fuite de données est aussi une crise de sécurité
Une violation de données peut prendre plusieurs formes :
- perte ;
- destruction ;
- modification ;
- divulgation ;
- accès non autorisé.
Elle ne correspond donc pas uniquement au vol d’une base par un cybercriminel.
Un courriel envoyé au mauvais destinataire ou un fichier public par erreur peuvent également constituer des incidents.
La gestion d’une violation doit être préparée avant l’incident.
L’organisation doit notamment savoir :
- qui alerter en interne ;
- comment qualifier l’incident ;
- quelles données sont concernées ;
- quelles personnes peuvent être affectées ;
- quelles mesures immédiates prendre ;
- quelles obligations de notification s’appliquent.
21. RGPD et cybersécurité sont étroitement liés, mais différents
Une organisation peut avoir de bonnes pratiques RGPD sans disposer d’une sécurité informatique suffisante.
Inversement, une infrastructure très sécurisée peut traiter des données sans finalité légitime ou en collecter beaucoup trop.
Les deux approches sont donc complémentaires.
RGPD
Il s’intéresse notamment à :
- la légitimité ;
- la finalité ;
- les droits ;
- la minimisation ;
- la conservation ;
- la responsabilité.
Cybersécurité
Elle vise notamment :
- confidentialité ;
- intégrité ;
- disponibilité ;
- résilience des systèmes ;
- prévention des intrusions ;
- continuité d’activité.
La conformité juridique et la sécurité technique doivent fonctionner ensemble.
22. Le RGPD impose une démarche continue
La conformité ne peut pas être considérée comme terminée après la rédaction d’une politique de confidentialité.
Une organisation évolue :
- nouveaux collaborateurs ;
- nouvelles plateformes ;
- nouvelles finalités ;
- nouveaux prestataires ;
- nouvelles applications ;
- migration de serveurs ;
- évolutions réglementaires.
La CNIL décrit elle-même la conformité comme une démarche continue devant être réévaluée régulièrement.
23. L’arrivée de l’intelligence artificielle renforce les questions de gouvernance
L’intégration d’outils d’intelligence artificielle dans les organisations soulève de nouvelles questions.
Avant de transmettre des données à un outil d’IA, il convient notamment de savoir :
- quelles données sont envoyées ;
- si elles contiennent des informations personnelles ;
- pour quelle finalité elles sont utilisées ;
- si elles sont conservées ;
- où elles sont traitées ;
- si elles sont réutilisées ;
- quels prestataires interviennent.
Une organisation ne doit donc pas copier automatiquement des données personnelles ou confidentielles dans n’importe quel outil numérique.
24. Le principe d’accountability change profondément la logique
L’une des évolutions importantes introduites par le RGPD est la logique de responsabilisation, souvent appelée accountability.
Il ne suffit pas de déclarer :
« Nous respectons le RGPD. »
L’organisation doit pouvoir démontrer qu’elle a réellement organisé sa conformité.
Cela suppose notamment :
- documents ;
- procédures ;
- analyses ;
- décisions ;
- contrats ;
- mesures de sécurité ;
- suivi des demandes ;
- traçabilité.
La conformité devient ainsi une composante de la gouvernance.
25. Une démarche simple pour commencer
1 — Identifier
Quelles données personnelles possédons-nous ?
2 — Justifier
Pourquoi les utilisons-nous ?
3 — Réduire
Avons-nous réellement besoin de toutes ces informations ?
4 — Protéger
Qui peut y accéder et comment sont-elles sécurisées ?
5 — Limiter
Combien de temps devons-nous les conserver ?
6 — Informer
Les personnes comprennent-elles ce que nous faisons de leurs données ?
7 — Organiser
Sommes-nous capables de répondre à une demande d’accès ou d’effacement ?
8 — Vérifier
Nos pratiques correspondent-elles encore à nos documents et procédures ?
Points de vigilance
« Le RGPD ne concerne que les entreprises »
Non.
Les associations, administrations, collectivités et de nombreux autres organismes sont également concernés lorsqu’ils traitent des données personnelles.
« Il faut toujours demander le consentement »
Non.
Le consentement est l’une des six bases légales prévues par l’article 6 du RGPD.
« Une adresse IP n’est pas une donnée personnelle »
Faux dans de nombreuses situations.
Les identifiants en ligne, dont les adresses IP, peuvent constituer des données personnelles.
« Une demande d’effacement oblige toujours à tout supprimer immédiatement »
Non.
Le droit à l’effacement doit être analysé au regard du traitement et des éventuelles obligations ou motifs de conservation applicables.
« Une bonne cybersécurité suffit pour être conforme au RGPD »
Non.
La sécurité est une composante essentielle, mais elle ne remplace pas les exigences relatives à la finalité, à la base légale, aux droits, à la transparence ou à la minimisation.
« Une fois la politique de confidentialité publiée, le travail est terminé »
Non.
La conformité doit être maintenue et réévaluée dans le temps.
Ce qu’il faut retenir
Le RGPD concerne l’ensemble du cycle de vie des données personnelles.
Une collecte doit répondre à une finalité précise et à une base juridique adaptée.
Collecter moins de données contribue également à réduire le risque de sécurité.
Les personnes doivent être informées et pouvoir exercer leurs droits.
Les données ne peuvent pas être conservées indéfiniment.
Les accès doivent être limités aux personnes qui en ont réellement besoin.
Prestataires, outils cloud et plateformes collaboratives doivent être intégrés à la gouvernance.
RGPD et cybersécurité sont complémentaires.
La conformité est une démarche continue, pas un document réalisé une seule fois.
Perspectives
La protection des données devient progressivement un élément central de la sécurité numérique des organisations.
Cloud, intelligence artificielle, objets connectés, plateformes collaboratives et automatisation multiplient les flux d’informations et les dépendances technologiques.
Dans ce contexte, l’enjeu ne sera plus uniquement de savoir :
« Sommes-nous conformes au RGPD ? »
mais également :
« Maîtrisons-nous réellement le cycle de vie de nos données ? »
Une organisation résiliente doit pouvoir savoir :
- ce qu’elle collecte ;
- pourquoi elle le collecte ;
- où l’information est stockée ;
- qui peut y accéder ;
- avec qui elle est partagée ;
- comment elle est protégée ;
- quand elle sera supprimée.
Cette maîtrise constitue simultanément un enjeu juridique, cyber et stratégique.
Comprendre pour mieux agir
Le RGPD peut parfois être perçu comme une accumulation d’obligations.
Mais sa logique générale peut être résumée simplement :
connaître — justifier — minimiser — protéger — informer — supprimer lorsque cela devient inutile.
Appliqués correctement, ces principes permettent non seulement de respecter les droits des personnes, mais également d’améliorer la qualité des systèmes d’information et de réduire certains risques.
Une bonne gouvernance des données est aussi une politique de sécurité.
Dans un environnement numérique où l’information constitue une ressource stratégique, savoir quelles données une organisation possède et pourquoi elle les conserve devient une condition essentielle de confiance et de résilience.
Sources et références institutionnelles
- Règlement (UE) 2016/679 – Règlement général sur la protection des données
- CNIL – Comprendre le RGPD
- CNIL – Les six grands principes du RGPD
- CNIL – Bases légales des traitements
- CNIL – Durées de conservation des données
- CNIL – Guide du recrutement
- CNIL – Sécurité des données personnelles
- Commission européenne – protection des données personnelles
Publication ADESS – Analyse stratégique
ADESS – Association des Experts en Sécurité et Sûreté
Cette publication présente une analyse générale des principes de protection des données personnelles et de leurs liens avec la gouvernance et la sécurité numérique. Elle ne constitue pas un avis juridique adapté à une organisation ou à un traitement particulier. La conformité doit être évaluée au regard des traitements réellement mis en œuvre et de la réglementation applicable.
Anonyme – ID :