Le règlement général sur la protection des données
11 min de lectureAu programme du concours d’agent administratif, du concours de contrôleur et du concours d’inspecteur des Finances publiques
Testez-vous · sans compte
Vrai ou faux ?
Le RGPD est applicable depuis le 25 mai 2018.
Applicable depuis le 25 mai 2018 dans toute l'Union européenne, le RGPD encadre tout traitement de données personnelles, qu'il soit le fait d'une entreprise, d'une association ou d'une administration. Il repose sur des principes, des bases légales, des droits et une logique de responsabilité : l'organisme doit pouvoir démontrer sa conformité. La DGFiP, qui traite les données de tous les contribuables, y est pleinement soumise.
À retenir
- Règlement (UE) 2016/679 du 27 avril 2016, applicable depuis le 25 mai 2018, directement dans tous les États membres ; en France, la loi Informatique et libertés de 1978 a été adaptée.
- Six principes : licéité, loyauté et transparence ; limitation des finalités ; minimisation ; exactitude ; limitation de la conservation ; intégrité et confidentialité, plus la responsabilité (accountability).
- Six bases légales : consentement, exécution d'un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public, intérêt légitime.
- Droits selon les conditions du règlement : information, accès, rectification, effacement, limitation, portabilité, opposition ; protection contre les décisions exclusivement automatisées produisant des effets juridiques ou similaires significatifs, sous les réserves de l'article 22.
- Obligations : registre des traitements, analyse d'impact en cas de risque élevé, délégué obligatoire dans les cas de l'article 37 ; notification à la CNIL des violations susceptibles d'engendrer un risque, dans les meilleurs délais et si possible sous 72 heures après en avoir pris connaissance.
- Sanctions : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial ; prononcées par la CNIL, coordonnée avec ses homologues par le Comité européen de la protection des données.
- Champ territorial : traitements liés aux activités d'un établissement dans l'Union ; hors Union, offre de biens ou services à des personnes s'y trouvant ou suivi de leur comportement dans l'Union. La résidence et la nationalité ne sont pas les critères de l'article 3.
Principes et bases légales
| Principe | Ce qu'il impose |
|---|---|
| Licéité, loyauté, transparence | Un fondement juridique et une information claire de la personne |
| Limitation des finalités | Des données collectées pour un objectif déterminé, non réutilisées à d'autres fins incompatibles |
| Minimisation | Seulement les données nécessaires à la finalité |
| Exactitude | Des données à jour, rectifiées en cas d'erreur |
| Limitation de la conservation | Une durée fixée à l'avance, puis suppression ou archivage |
| Intégrité et confidentialité | Des mesures de sécurité adaptées |
| Responsabilité | L'organisme doit pouvoir démontrer sa conformité |
Tout traitement doit reposer sur l'une des six bases légales de l'article 6 : le consentement de la personne, l'exécution d'un contrat, le respect d'une obligation légale, la sauvegarde des intérêts vitaux, l'exécution d'une mission d'intérêt public ou relevant de l'autorité publique, ou l'intérêt légitime du responsable. Une administration fiscale traite les données sur le fondement de l'obligation légale et de la mission d'intérêt public, non du consentement, que le contribuable ne pourrait retirer.
Un site qui demande la date de naissance pour envoyer une lettre d'information viole le principe de minimisation : cette donnée n'est pas nécessaire à la finalité.
Les obligations des organismes
Le responsable du traitement tient un registre de ses traitements, réalise une analyse d'impact pour ceux présentant un risque élevé, applique la protection des données dès la conception et par défaut, encadre ses sous-traitants par contrat et notifie à la CNIL les violations susceptibles d'engendrer un risque pour les droits et libertés, dans les meilleurs délais et si possible sous 72 heures après en avoir pris connaissance, en informant les personnes lorsque le risque est élevé. Le délégué est obligatoire pour les autorités et organismes publics, sauf les juridictions dans leur fonction juridictionnelle ; il l'est aussi quand les activités de base exigent un suivi régulier et systématique à grande échelle, ou un traitement à grande échelle de données sensibles ou pénales.
Confusions fréquentes
- Le consentement n'est qu'une base légale parmi six
- Beaucoup de traitements n'en ont pas besoin : une administration s'appuie sur ses missions, un employeur sur le contrat de travail. Demander un consentement là où la loi impose le traitement serait même trompeur, puisqu'un refus ne changerait rien.
- Le RGPD s'applique aux administrations
- Les organismes publics ne sont pas exemptés : ils doivent tenir un registre, nommer un délégué et s'exposent aux mesures correctrices de la CNIL (rappel à l'ordre, injonction). Seule l'amende est exclue lorsque le traitement est mis en œuvre par l'État, comme à la DGFiP (article 20 de la loi Informatique et libertés) ; une collectivité territoriale peut, elle, être condamnée à une amende.
Contrôle et sanctions
En France, la CNIL contrôle l'application du règlement : elle reçoit les plaintes, mène des contrôles sur place ou en ligne, adresse des mises en demeure et prononce des sanctions pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le Comité européen de la protection des données réunit les autorités nationales pour assurer une application cohérente ; le mécanisme du guichet unique désigne une autorité chef de file pour les traitements transfrontaliers.
Les transferts hors de l'Union sont encadrés : décision d'adéquation ou garanties appropriées (clauses contractuelles types, règles d'entreprise contraignantes), ainsi que, dans des situations particulières, les dérogations strictes de l'article 49. Ces dérogations ne remplacent pas le cadre ordinaire des transferts. Le cadre de transfert avec les États-Unis a été invalidé deux fois par la Cour de justice avant l'adoption d'un nouveau dispositif en 2023.
Trois chiffres à retenir : 25 mai 2018 (application), 72 heures (notification d'une violation), 4 % du chiffre d'affaires ou 20 millions d'euros (sanction maximale).
Se tester : vrai ou faux ?
Décidez si l’affirmation est vraie ou fausse, puis ouvrez le corrigé.
1.Le RGPD est applicable depuis le 25 mai 2018.Voir le corrigé
Vrai
Adopté le 27 avril 2016, il est entré en application deux ans plus tard, directement dans tous les États membres.
2.Le consentement de la personne est obligatoire pour tout traitement de données personnelles.Voir le corrigé
Faux
Le consentement est l'une des six bases légales ; une obligation légale, un contrat ou une mission d'intérêt public suffisent selon les cas.
3.Une violation susceptible d'engendrer un risque pour les droits et libertés doit être notifiée à la CNIL dans les meilleurs délais, si possible sous 72 heures après sa connaissance.Voir le corrigé
Vrai
L'article 33 dispense de notification les violations sans risque pour les personnes, mais impose de documenter toute violation. Un retard au-delà de 72 heures doit être motivé ; l'information des personnes dépend notamment d'un risque élevé (article 34).
4.Une administration fiscale est dispensée de désigner un délégué à la protection des données.Voir le corrigé
Faux
Une administration fiscale relève de l'obligation de l'article 37. L'exception concerne les juridictions agissant dans leur fonction juridictionnelle, pas les administrations fiscales.
5.La sanction maximale prévue par le RGPD est de 4 % du chiffre d'affaires mondial ou 20 millions d'euros.Voir le corrigé
Vrai
Le montant le plus élevé des deux est retenu ; un palier inférieur de 2 % ou 10 millions s'applique à certains manquements.
6.Le principe d'exactitude impose de ne conserver les données que le temps nécessaire.Voir le corrigé
Faux
Cette exigence relève de la limitation de la conservation ; le principe d'exactitude impose des données exactes. Les six principes du RGPD sont distincts.
Textes de référence
- Le règlement général sur la protection des données (RGPD) — présentation par la CNIL — CNIL (nouvel onglet)
- Décret n° 2019-919 du 30 août 2019 relatif au développement des compétences numériques (cadre de référence des compétences numériques) — Légifrance (nouvel onglet)
- Règlement (UE) 2016/679 — texte français — Union européenne, Office des publications (nouvel onglet)
Accès DGFiP est un service indépendant : il n’est ni affilié ni validé par la Direction générale des Finances publiques. En cas de doute, le texte officiel fait foi.