Règlement 2016/679 : ce que le RGPD impose aux entreprises

Sommaire

Règlement 2016/679 : de quoi parle ce texte

Quelles entreprises sont concernées par le RGPD

Les données personnelles et traitements visés

Les obligations concrètes du responsable de traitement

Sanctions encourues en cas de non-conformité

Se mettre en conformité : les premières étapes

FAQ

Pour aller plus loin

Règlement 2016/679 : de quoi parle ce texte

Le règlement 2016/679 est le texte législatif européen adopté le 27 avril 2016 par le Parlement européen et le Conseil de l'Union européenne. Il est entré en application le 25 mai 2018 dans l'ensemble des 27 États membres. C'est ce texte que désigne l'acronyme RGPD (Règlement Général sur la Protection des Données), ou GDPR en anglais.

Contrairement à une directive, un règlement européen s'applique directement dans chaque État membre, sans transposition législative nationale préalable. En France, la loi Informatique et Libertés du 6 janvier 1978, modifiée en 2018, complète le dispositif sur certains points spécifiques, mais le socle juridique reste le règlement 2016/679 lui-même.

Son objectif est double : harmoniser les règles de protection des données personnelles au sein de l'Union européenne et renforcer les droits des individus face aux organisations qui collectent et exploitent leurs informations. Pour un dirigeant d'entreprise, ce texte définit un cadre d'obligations précises dont le non-respect engage directement sa responsabilité.

Quelles entreprises sont concernées par le RGPD

Le champ d'application du règlement 2016/679 est volontairement large. Deux critères déterminent si une entreprise est soumise au texte.

Le critère d'établissement : toute organisation disposant d'un établissement dans l'Union européenne est concernée, indépendamment du lieu où le traitement de données est effectué. Une PME française qui utilise un prestataire cloud hébergé aux États-Unis reste pleinement soumise au RGPD.

Le critère de ciblage : une entreprise établie hors de l'UE est également concernée si elle propose des biens ou services à des résidents européens, ou si elle suit leur comportement en ligne (profilage, tracking).

Aucun seuil de taille ou de chiffre d'affaires n'exonère une entreprise. Une TPE de 3 salariés qui gère un fichier clients est soumise aux mêmes principes qu'un groupe du CAC 40.

Les données personnelles et traitements visés

Le RGPD définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable. Cette définition couvre un périmètre bien plus large que le nom ou l'adresse e-mail.

• Données d'identification directe : nom, prénom, photo, numéro de sécurité sociale.
• Données d'identification indirecte : adresse IP, identifiant de cookie, données de géolocalisation, plaque d'immatriculation.
• Données sensibles (article 9) : origine ethnique, opinions politiques, données de santé, données biométriques. Leur traitement est interdit sauf exceptions limitatives.

Un « traitement » au sens du règlement désigne toute opération effectuée sur ces données : collecte, enregistrement, stockage, modification, consultation, transmission ou suppression. En pratique, dès qu'un dirigeant conserve un tableur Excel avec les coordonnées de ses clients, il effectue un traitement de données personnelles au sens du règlement 2016/679.

Les obligations concrètes du responsable de traitement

Le responsable de traitement est la personne ou l'entité qui détermine les finalités et les moyens du traitement. Dans une PME, c'est le plus souvent le dirigeant lui-même. Le règlement lui impose plusieurs obligations structurantes.

Tenir un registre des traitements

L'article 30 du RGPD impose la tenue d'un registre documentant chaque traitement : finalité, catégories de données, destinataires, durées de conservation et mesures de sécurité. La CNIL met à disposition un modèle gratuit téléchargeable sur son site.

Disposer d'une base légale

Chaque traitement doit reposer sur l'une des 6 bases légales prévues à l'article 6 : consentement, exécution d'un contrat, obligation légale, intérêt vital, mission d'intérêt public ou intérêt légitime. Le choix de la base légale conditionne les droits des personnes concernées.

Informer les personnes concernées

Les articles 13 et 14 imposent une information claire, accessible et complète : identité du responsable, finalité, durée de conservation, droits exercables (accès, rectification, effacement, portabilité). Cette information prend généralement la forme d'une politique de confidentialité.

Garantir la sécurité des données

L'article 32 exige des mesures techniques et organisationnelles adaptées au risque : chiffrement, pseudonymisation, contrôle des accès, sauvegardes régulières. En cas de violation de données (fuite, piratage), le responsable doit notifier la CNIL sous 72 heures (article 33).

Structurer la conformité RGPD de votre entreprise nécessite souvent un accompagnement juridique adapté à votre activité.
Consultez un avocat spécialisé pour les dirigeants et PME

Sanctions encourues en cas de non-conformité

Le règlement 2016/679 a instauré un régime de sanctions dissuasif, appliqué par les autorités de contrôle nationales. En France, c'est la CNIL qui prononce les amendes.

Le texte prévoit 2 paliers de sanctions administratives :

• Palier 1 (article 83§4) : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, pour les manquements aux obligations du responsable de traitement (registre, sécurité, privacy by design).
• Palier 2 (article 83§5) : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, pour les violations des principes fondamentaux (base légale, droits des personnes, transferts hors UE).

En France, la CNIL a prononcé 42 sanctions en 2023, pour un montant cumulé de plus de 89 millions d'euros. Les PME ne sont pas épargnées : plusieurs entreprises de moins de 50 salariés ont été sanctionnées pour des manquements à l'obligation de sécurité ou l'absence de registre des traitements.

Au-delà de l'amende, une mise en demeure publique de la CNIL expose l'entreprise à un risque réputationnel direct auprès de ses clients et partenaires.

Se mettre en conformité : les premières étapes

La mise en conformité au RGPD n'exige pas de tout faire simultanément. La CNIL recommande une approche par étapes, pragmatique et documentée.

1. Cartographier les traitements existants : recenser tous les fichiers, bases de données et flux de données personnelles dans l'entreprise (clients, salariés, prospects, fournisseurs).
2. Désigner un référent : nommer un interlocuteur interne chargé du sujet. La désignation d'un DPO (Data Protection Officer) est obligatoire pour les organismes publics et les entreprises dont l'activité principale implique un suivi régulier et systématique de personnes à grande échelle.
3. Prioriser les actions : traiter en premier les écarts les plus risqués (absence de base légale, données sensibles non sécurisées, absence d'information des personnes).
4. Documenter la conformité : constituer un dossier de preuve (registre, politiques internes, contrats sous-traitants, analyses d'impact si nécessaire). Le principe d'accountability (article 5§2) impose au responsable de traitement de pouvoir démontrer sa conformité à tout moment.

Un avocat d'affaires peut vous aider à structurer cette démarche et sécuriser vos pratiques face aux exigences du règlement 2016/679.
Trouvez un avocat pour dirigeants et PME sur Swim Legal

FAQ

Le RGPD s'applique-t-il aux très petites entreprises ?

Oui. Le règlement 2016/679 ne prévoit aucun seuil d'effectif ou de chiffre d'affaires. Dès qu'une entreprise traite des données personnelles de résidents européens, elle est soumise au texte. Seule l'obligation de désigner un DPO est conditionnée à la nature et à l'échelle des traitements.

Quelle différence entre le RGPD et la loi Informatique et Libertés ?

Le RGPD est un règlement européen directement applicable dans tous les États membres. La loi Informatique et Libertés est la loi française qui complète le RGPD sur certains points spécifiques, comme l'âge du consentement des mineurs (fixé à 15 ans en France) ou les traitements liés à la sécurité nationale.

Faut-il obligatoirement nommer un DPO ?

La désignation d'un Data Protection Officer est obligatoire dans 3 cas : organismes publics, entreprises dont l'activité principale implique un suivi régulier et systématique de personnes à grande échelle, ou traitement à grande échelle de données sensibles. En dehors de ces cas, la nomination reste recommandée mais facultative.

Que faire en cas de violation de données personnelles ?

Le responsable de traitement doit notifier la CNIL dans un délai de 72 heures après en avoir pris connaissance (article 33). Si la violation présente un risque élevé pour les personnes concernées, celles-ci doivent également être informées directement (article 34).

Combien coûte une mise en conformité RGPD pour une PME ?

Le coût varie selon la complexité des traitements et le niveau de maturité existant. Pour une PME, les premières étapes (registre, politique de confidentialité, revue des contrats sous-traitants) peuvent être réalisées en interne avec les outils gratuits de la CNIL. Le recours à un avocat spécialisé permet de sécuriser les points juridiques sensibles et de prioriser les actions.

Pour aller plus loin

Le règlement général sur la protection des données (RGPD) - CNIL

Obligations en matière de protection des données personnelles (RGPD) - Service-Public Entreprendre

Le règlement général sur la protection des données (RGPD), mode d'emploi - economie.gouv.fr

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.