Art. 4 RGPD - données personnelles, traitement, responsable, sous-traitant : les points de vigilance

Qu'est-ce qu'une donnée personnelle selon l'article 4 du RGPD ?

L'article 4 du RGPD définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable. Cette identification peut être directe, par exemple un nom ou un numéro d'identification, ou indirecte, notamment par référence à un identifiant en ligne, des données de localisation ou à un ou plusieurs éléments spécifiques propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale de la personne.

Cette définition est volontairement large. En effet, elle englobe quasi-totalité des données collectées en ligne par les entreprises. Dès lors qu'une information permet, seule ou combinée avec d'autres, d'identifier une personne physique, elle relève du RGPD. Ainsi, une adresse IP, un cookie, un identifiant publicitaire ou même des métadonnées peuvent constituer des données personnelles.

La Cour de justice de l'Union européenne (CJUE) a confirmé en septembre 2025 une approche subjective de cette notion. Selon cette jurisprudence, le caractère personnel d'une donnée dépend également de la capacité de l'entreprise qui la traite à identifier la personne concernée. Cette évolution jurisprudentielle a inspiré la Commission européenne dans sa proposition de réforme du RGPD, le Digital Omnibus, présentée en novembre 2025.

Or, cette approche subjective introduit une part de subjectivité dangereuse pour les PME et TPE. En effet, les mêmes données pourraient être considérées comme personnelles ou non selon l'entreprise qui les traite et ses intentions déclarées. Si une entreprise récupère des données pseudonymisées et affirme ne pas pouvoir les relier à une personne réelle, elle pourrait échapper aux obligations du RGPD, même si une autre entité peut faire le lien. Cette redéfinition créerait une faille béante dans le règlement, selon l'association de défense des droits numériques noyb.

Pour les directeurs juridiques, la vigilance s'impose. Il convient de cartographier l'ensemble des données collectées et de vérifier leur caractère personnel, en tenant compte de la capacité réelle de l'entreprise à identifier les personnes concernées, mais aussi des moyens raisonnablement susceptibles d'être utilisés par des tiers.

SWIM LEGAL accompagne les entreprises dans l'audit de leurs traitements de données personnelles et la mise en conformité RGPD. Accédez rapidement à des avocats spécialisés en protection des données via notre plateforme.

Traitement de données : une notion englobante

L'article 4 du RGPD définit le traitement comme toute opération ou tout ensemble d'opérations effectuées sur des données personnelles. Cette définition couvre la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.

Cette définition est volontairement très large. Elle couvre pratiquement toute opération portant sur des données personnelles, qu'elle soit automatisée ou manuelle. Ainsi, la simple consultation d'un fichier client, l'envoi d'un email commercial ou la mise à jour d'une base de données constituent des traitements au sens du RGPD.

Cette largeur de définition a des conséquences pratiques importantes. Toute entreprise qui manipule des données personnelles, même de manière ponctuelle ou accessoire, doit respecter les principes du RGPD : licéité, loyauté, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité et confidentialité.

En outre, chaque traitement doit reposer sur une base légale parmi les six prévues par l'article 6 du RGPD : consentement, exécution d'un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public ou intérêt légitime. Le choix de la base légale détermine les obligations de l'entreprise et les droits des personnes concernées.

Le projet Digital Omnibus prévoit d'intégrer au RGPD les règles relatives aux cookies et traceurs, actuellement régies par la directive ePrivacy. Certains traitements à faible risque pourraient ainsi se faire sans consentement explicite. Par ailleurs, les entreprises pourraient utiliser des données personnelles pour entraîner des modèles d'intelligence artificielle sur la base de l'intérêt légitime, sans obtenir le consentement des personnes concernées.

Ces évolutions, si elles sont adoptées, modifieront substantiellement le périmètre des traitements soumis à consentement. Les directeurs juridiques doivent donc anticiper ces changements et adapter leurs processus de collecte et de traitement en conséquence.

Responsable de traitement : qui détermine les finalités et les moyens ?

L'article 4 du RGPD définit le responsable de traitement comme la personne physique ou morale qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles. Cette notion est centrale, car elle détermine qui supporte les obligations de conformité et la responsabilité en cas de manquement.

La CJUE a précisé que cette notion doit être interprétée de manière large afin d'assurer une protection efficace des personnes concernées. Ainsi, le responsable de traitement peut être désigné implicitement par le droit national. L'absence de personnalité juridique n'empêche pas la qualification, dès lors que l'entité a la capacité à respecter en fait et en droit les obligations qui lui incombent.

Pour déterminer qui est responsable de traitement, deux étapes doivent être suivies. D'abord, il convient de vérifier si le droit national prévoit les finalités et les moyens du traitement. Ensuite, il faut vérifier si le responsable est désigné par la base légale ou si les critères permettant de le désigner sont prévus.

En pratique, le responsable de traitement est souvent l'entreprise qui décide pourquoi et comment les données sont traitées. Par exemple, une entreprise qui collecte des données clients pour gérer ses ventes est responsable de traitement. En revanche, le prestataire technique qui héberge les données pour le compte de cette entreprise est sous-traitant.

Toutefois, il existe des situations de responsabilité conjointe, prévues par l'article 26 du RGPD. Lorsque plusieurs entités déterminent conjointement les finalités et les moyens du traitement, elles sont responsables conjoints. Elles doivent alors définir de manière transparente leurs obligations respectives, notamment en ce qui concerne l'exercice des droits des personnes concernées et les obligations d'information.

La qualification de responsable de traitement emporte des conséquences lourdes. Le responsable doit notamment tenir un registre des traitements, réaliser des analyses d'impact pour les traitements à risque, désigner un délégué à la protection des données (DPD) si nécessaire, et notifier les violations de données à la CNIL dans un délai de 72 heures.

Le projet Digital Omnibus prévoit de relever le seuil d'exemption du registre des traitements de 250 à 750 salariés. Les entreprises concernées n'auraient plus l'obligation de tenir un registre, sauf pour les traitements à risque. Cet allègement reste toutefois marginal, car l'essentiel des obligations RGPD demeure inchangé.

SWIM LEGAL vous aide à qualifier vos rôles et responsabilités en matière de protection des données. Déposez votre besoin sur notre plateforme et recevez des propositions d'avocats spécialisés.

Sous-traitant : traiter pour le compte d'autrui

L'article 4 du RGPD définit le sous-traitant comme la personne physique ou morale qui traite des données personnelles pour le compte du responsable du traitement. Le sous-traitant agit sur instruction du responsable et ne détermine ni les finalités ni les moyens essentiels du traitement.

En pratique, les sous-traitants sont souvent des prestataires techniques : hébergeurs, éditeurs de logiciels, agences marketing, centres d'appels, cabinets comptables ou encore plateformes de paiement. Dès lors qu'ils accèdent à des données personnelles pour le compte d'un client, ils sont qualifiés de sous-traitants au sens du RGPD.

Le sous-traitant a des obligations spécifiques. Il doit notamment traiter les données uniquement sur instruction documentée du responsable, garantir la confidentialité des personnes autorisées à traiter les données, mettre en œuvre des mesures de sécurité appropriées, aider le responsable à répondre aux demandes d'exercice des droits des personnes concernées, et notifier toute violation de données au responsable sans délai injustifié.

La relation entre responsable et sous-traitant doit être formalisée par un contrat ou acte juridique qui définit l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable. Ce contrat doit également prévoir les mesures de sécurité, les conditions de recours à un sous-traitant ultérieur, l'assistance au responsable et le sort des données à l'issue de la prestation.

Le non-respect de ces obligations expose le sous-traitant à des sanctions directes de la CNIL. En effet, le RGPD a renforcé la responsabilité des sous-traitants, qui peuvent être sanctionnés au même titre que les responsables de traitement en cas de manquement.

En 2026, la CNIL a durci sa position. Pour les bases de données de plus de 2 millions de personnes, l'authentification à double facteur est désormais obligatoire pour tous les salariés, prestataires et sous-traitants en connexion distante. La présidente de la CNIL estime que 80 % des grandes violations de 2025 auraient pu être évitées avec cette mesure et une meilleure sensibilisation.

Les directeurs juridiques doivent donc auditer leurs contrats de sous-traitance, vérifier la mise en œuvre des mesures de sécurité et s'assurer que les sous-traitants respectent leurs obligations. En cas de violation de données impliquant un sous-traitant, le responsable de traitement reste redevable de la notification à la CNIL et de l'information des personnes concernées.

Profilage et décision automatisée : définition et encadrement

L'article 4 du RGPD définit le profilage comme tout traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des aspects concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne.

Le profilage repose sur des algorithmes qui analysent les données collectées afin de faire des prédictions ou de prendre des décisions concernant les personnes. Par exemple, un site de commerce en ligne qui recommande des produits en fonction de l'historique de navigation pratique du profilage. De même, un employeur qui utilise un logiciel pour trier les candidatures en fonction de critères prédéfinis effectue du profilage.

Le profilage comporte des risques importants. Il peut entraîner des analyses erronées, des prédictions inexactes, voire des décisions défavorables aux individus. Il contribue également à restreindre les choix des personnes en les enfermant dans des catégories prédéfinies.

C'est pourquoi l'article 22 du RGPD encadre strictement les décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, qui produisent des effets juridiques ou affectent de manière significative la personne concernée. En principe, ces décisions sont interdites, sauf si elles sont nécessaires à la conclusion ou à l'exécution d'un contrat, autorisées par le droit de l'Union ou le droit national, ou si la personne a donné son consentement explicite.

Lorsque de telles décisions sont autorisées, le responsable de traitement doit mettre en œuvre des mesures appropriées pour garantir les droits et libertés de la personne concernée. Ces mesures incluent notamment le droit d'obtenir une intervention humaine, le droit d'exprimer son point de vue et le droit de contester la décision.

En outre, le responsable doit fournir à la personne concernée des informations sur l'existence d'une prise de décision automatisée, la logique sous-jacente, l'importance du traitement et les conséquences envisagées pour la personne. Cette obligation d'information est essentielle pour garantir la transparence et permettre à la personne d'exercer ses droits.

Le projet Digital Omnibus prévoit d'autoriser les entreprises à utiliser des données personnelles pour entraîner des modèles d'intelligence artificielle sur la base de l'intérêt légitime, sans obtenir le consentement des personnes concernées. Cette évolution pourrait faciliter le développement de l'IA, mais elle soulève des questions importantes en matière de protection des données et de droits des personnes.

Violation de données : définition et obligations de notification

L'article 4 du RGPD définit la violation de données comme tout incident de sécurité entraînant, de manière intentionnelle ou non, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.

Une violation de données peut résulter d'une cyberattaque, d'une erreur humaine, d'une défaillance technique ou d'un vol de matériel. Par exemple, le piratage d'une base de données clients, l'envoi d'un email à un mauvais destinataire contenant des données personnelles, ou la perte d'un ordinateur portable non chiffré constituent des violations de données.

Le RGPD impose au responsable de traitement de notifier toute violation de données à la CNIL dans un délai de 72 heures à compter du moment où il en a pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Cette notification doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les catégories et le nombre approximatif d'enregistrements de données concernés, les conséquences probables de la violation et les mesures prises ou envisagées pour y remédier.

Si la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, le responsable doit également informer les personnes concernées sans délai injustifié. Cette communication doit décrire en des termes clairs et simples la nature de la violation et les mesures que la personne peut prendre pour en atténuer les effets négatifs potentiels.

Le projet Digital Omnibus prévoit d'allonger le délai de notification à la CNIL de 72 heures à 96 heures. Cet allongement modeste donnerait plus de marge aux entreprises pour analyser la violation et préparer leur notification, mais il reste marginal.

En 2026, la CNIL a durci ses contrôles et ses sanctions. L'amende record de 42 millions d'euros infligée à Free illustre la sévérité de l'autorité de contrôle. Pour les bases de données de plus de 2 millions de personnes, l'authentification à double facteur est désormais obligatoire pour tous les salariés, prestataires et sous-traitants en connexion distante.

Les organisations qui n'ont pas anticipé ces évolutions s'exposent à des sanctions financières lourdes et à une atteinte durable à leur réputation. Les directeurs juridiques doivent donc mettre en place des procédures de détection et de gestion des violations de données, former les équipes et tester régulièrement les dispositifs de sécurité.

SWIM LEGAL vous accompagne dans la gestion des violations de données et la mise en conformité avec les obligations de notification. Accédez rapidement à des avocats spécialisés via notre plateforme.

Droits des personnes concernées : un arsenal complet

L'article 4 du RGPD définit la personne concernée comme la personne physique à laquelle se rapportent les données personnelles qui font l'objet du traitement. Cette personne dispose d'un ensemble de droits destinés à lui permettre de contrôler l'utilisation de ses données.

Le droit d'accès permet à la personne concernée d'interroger le délégué à la protection des données (DPD) ou le responsable de traitement pour obtenir confirmation que des données la concernent ou non, et obtenir communication de ses données personnelles ainsi que des informations sur le traitement.

Le droit de rectification permet d'exiger la mise à jour ou la rectification de données erronées, incomplètes ou obsolètes. Ce droit est essentiel pour garantir l'exactitude des données, principe fondamental du RGPD.

Le droit à l'effacement, également appelé droit à l'oubli, permet d'exiger l'effacement de ses données personnelles dans certaines conditions : les données ne sont plus nécessaires au regard des finalités, la personne retire son consentement, elle s'oppose au traitement, les données ont été traitées illicitement, ou les données doivent être effacées pour respecter une obligation légale.

Le droit d'opposition permet de s'opposer au traitement de ses données pour des motifs liés à sa situation particulière, notamment lorsque le traitement repose sur l'intérêt légitime du responsable. En matière de prospection commerciale, le droit d'opposition est absolu et ne nécessite aucune justification.

Le droit à la limitation du traitement permet d'exiger le gel temporaire du traitement de ses données dans certaines situations : contestation de l'exactitude des données, traitement illicite mais opposition à l'effacement, données nécessaires à la constatation, l'exercice ou la défense de droits en justice, ou opposition au traitement en attente de vérification.

Le droit à la portabilité permet d'exiger la récupération des données fournies au responsable de traitement, dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable.

Enfin, le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou affectant significativement la personne. Ce droit est assorti de garanties : droit à l'intervention humaine, droit d'exprimer son point de vue et droit de contester la décision.

Le responsable de traitement doit répondre aux demandes d'exercice des droits dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois en cas de complexité ou de nombre élevé de demandes, à condition d'en informer la personne concernée.

Le non-respect de ces droits expose le responsable de traitement à des sanctions de la CNIL, ainsi qu'à des actions en justice de la part des personnes concernées. Les directeurs juridiques doivent donc mettre en place des procédures efficaces pour traiter les demandes et former les équipes en contact avec les personnes concernées.

Confusions fréquentes et limites d'interprétation

L'article 4 du RGPD soulève plusieurs difficultés d'interprétation qui peuvent conduire à des erreurs de qualification et de mise en conformité.

Première confusion : donnée anonyme vs donnée pseudonymisée. Une donnée anonyme est une donnée qui ne permet plus, par aucun moyen, d'identifier une personne. Elle ne relève pas du RGPD. En revanche, une donnée pseudonymisée est une donnée qui ne permet plus d'identifier directement une personne, mais qui peut l'être par recoupement avec d'autres informations. Elle reste une donnée personnelle et relève du RGPD. Le projet Digital Omnibus menace d'introduire une subjectivité dangereuse en considérant qu'une donnée n'est plus personnelle si l'entreprise n'est pas en mesure de l'identifier, compte tenu des moyens raisonnablement susceptibles d'être utilisés. Cette approche pourrait permettre à certaines entreprises d'échapper aux obligations du RGPD.

Deuxième confusion : responsable de traitement vs sous-traitant. La qualification dépend de qui détermine les finalités et les moyens du traitement. Un prestataire qui se contente d'exécuter les instructions du client est sous-traitant. En revanche, un prestataire qui décide des finalités ou des moyens essentiels du traitement est responsable de traitement. En cas de doute, il convient d'analyser le contrat et les pratiques réelles pour qualifier correctement les rôles.

Troisième confusion : traitement à risque vs traitement à risque élevé. Tous les traitements ne présentent pas le même niveau de risque. L'article 35 du RGPD impose une analyse d'impact pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes. Ces traitements incluent notamment l'évaluation systématique et approfondie d'aspects personnels, le traitement à grande échelle de données sensibles, ou la surveillance systématique à grande échelle d'une zone accessible au public. Les directeurs juridiques doivent identifier ces traitements et réaliser les analyses d'impact requises.

Quatrième confusion : consentement vs intérêt légitime. Le consentement est une manifestation de volonté libre, spécifique, éclairée et univoque. Il doit être donné par un acte positif clair. L'intérêt légitime est une base légale qui permet de traiter des données sans consentement, à condition de réaliser un test de proportionnalité et de respecter les droits des personnes. Le choix entre ces deux bases légales dépend de la nature du traitement et du contexte. En matière de prospection commerciale, l'intérêt légitime peut être invoqué pour les clients existants, mais le consentement est requis pour les prospects.

Cinquième limite : territorialité du RGPD. Le RGPD s'applique aux traitements effectués dans le cadre des activités d'un établissement d'un responsable ou d'un sous-traitant sur le territoire de l'Union européenne, mais aussi aux traitements de données de personnes se trouvant sur le territoire de l'Union par un responsable ou un sous-traitant non établi dans l'Union, lorsque les activités de traitement sont liées à l'offre de biens ou de services à ces personnes ou au suivi de leur comportement. Ainsi, une entreprise américaine qui cible des clients européens doit respecter le RGPD.

Le moment de bascule : quand faire appel à un avocat spécialisé ?

Certains signaux doivent alerter les directeurs juridiques et justifier le recours à un avocat spécialisé en protection des données.

Premier signal : mise en demeure de la CNIL. Une mise en demeure indique que l'autorité de contrôle a identifié des manquements et exige leur régularisation dans un délai déterminé. À ce stade, l'accompagnement d'un avocat est indispensable pour analyser les griefs, préparer la réponse et négocier avec la CNIL.

Deuxième signal : violation de données impliquant un risque élevé. Une violation de données de grande ampleur ou concernant des données sensibles nécessite une gestion juridique rigoureuse : notification à la CNIL, information des personnes concernées, analyse des causes et mise en œuvre de mesures correctives. Un avocat spécialisé peut sécuriser cette gestion et limiter les risques de sanction.

Troisième signal : contentieux avec une personne concernée. Une personne concernée peut saisir la CNIL ou les tribunaux pour faire valoir ses droits. Un avocat spécialisé peut défendre l'entreprise et négocier une solution amiable.

Quatrième signal : projet de traitement à risque élevé. Le lancement d'un nouveau traitement impliquant du profilage, de l'intelligence artificielle ou des données sensibles nécessite une analyse d'impact et un accompagnement juridique pour sécuriser le projet.

Cinquième signal : évolution réglementaire majeure. Le projet Digital Omnibus, s'il est adopté, modifiera substantiellement le cadre juridique. Les entreprises doivent anticiper ces changements et adapter leur conformité. Un avocat spécialisé peut accompagner cette transition.

SWIM LEGAL vous met en relation avec des avocats spécialisés en protection des données pour sécuriser vos traitements et anticiper les évolutions réglementaires. Déposez votre besoin sur notre plateforme.

FAQ

Quelle est la différence entre donnée personnelle et donnée anonyme ?
Une donnée personnelle permet d'identifier directement ou indirectement une personne physique. Une donnée anonyme ne permet plus, par aucun moyen, d'identifier une personne. Seule la donnée anonyme échappe au RGPD. La pseudonymisation ne suffit pas à rendre une donnée anonyme.

Qui est responsable de traitement dans une relation client-prestataire ?
Le responsable de traitement est celui qui détermine les finalités et les moyens du traitement. En général, le client est responsable et le prestataire est sous-traitant. Toutefois, si le prestataire décide des finalités ou des moyens essentiels, il peut être qualifié de responsable de traitement.

Quelles sont les obligations en cas de violation de données ?
Le responsable de traitement doit notifier la violation à la CNIL dans un délai de 72 heures si elle présente un risque pour les droits et libertés des personnes. Si le risque est élevé, il doit également informer les personnes concernées sans délai injustifié.

Quels sont les droits des personnes concernées ?
Les personnes concernées disposent d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition et de ne pas faire l'objet d'une décision automatisée. Le responsable de traitement doit répondre aux demandes dans un délai d'un mois.

Quelles sont les évolutions prévues par le Digital Omnibus ?
Le projet prévoit de redéfinir la notion de donnée personnelle selon une approche subjective, de relever le seuil d'exemption du registre des traitements de 250 à 750 salariés, d'allonger le délai de notification des violations de 72 à 96 heures, et d'autoriser l'utilisation de données pour entraîner des modèles d'IA sur la base de l'intérêt légitime.