Droit du numérique et RGPD

Questions fréquentes

C'est quoi le RGPD, en résumé ?

Le RGPD (règlement général sur la protection des données, règlement européen 2016/679) encadre l'utilisation des données personnelles dans toute l'Union européenne depuis le 25 mai 2018. Il impose à toute organisation, quelle que soit sa taille, de traiter les données pour une finalité précise, sur une base légale, avec le minimum de données, une durée de conservation limitée et une sécurité adaptée, et de pouvoir le prouver. Il donne aux personnes des droits (accès, rectification, effacement, opposition, portabilité) et la CNIL peut sanctionner jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial (chapitre 2).

Qu'est-ce qu'une donnée personnelle ? Un exemple ?

C'est toute information qui se rapporte à une personne physique identifiée ou identifiable, directement ou indirectement. Un nom, une photo ou une adresse électronique nominative l'identifient directement ; un numéro de client, une adresse IP, un identifiant de cookie ou une plaque d'immatriculation l'identifient indirectement. Une donnée pseudonymisée reste personnelle ; seule une donnée réellement anonymisée, dont on ne peut plus retrouver la personne, sort du RGPD.

Quelles sont les 6 bases légales du RGPD ?

L'article 6 du RGPD en prévoit six : le consentement de la personne, l'exécution d'un contrat avec elle, le respect d'une obligation légale, la sauvegarde de ses intérêts vitaux, l'exécution d'une mission d'intérêt public et l'intérêt légitime du responsable, à condition de ne pas méconnaître les droits des personnes. Le consentement n'est donc qu'une base parmi six : la paie repose sur l'obligation légale, la gestion d'un client sur le contrat (chapitre 3).

Quel est le délai pour notifier une violation de données à la CNIL ?

72 heures après en avoir pris connaissance, week-end compris, sauf si la violation ne présente pas de risque pour les personnes (article 33 du RGPD). Si tout n'est pas connu, on notifie ce qu'on sait et on complète ensuite. Si le risque est élevé, il faut aussi informer les personnes concernées dans les meilleurs délais, et toute violation, notifiée ou non, est inscrite au registre des violations (chapitre 6).

Quelles sont les sanctions en cas de non-respect du RGPD ?

La CNIL peut prononcer un rappel à l'ordre, une injonction sous astreinte, une limitation du traitement et des amendes allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements aux obligations (sécurité, registre, notification), et jusqu'à 20 millions ou 4 % pour les manquements aux principes et aux droits des personnes. Pour les cas simples, une procédure simplifiée plafonne l'amende à 20 000 €. Certains manquements sont aussi des délits, punis de 5 ans d'emprisonnement et 300 000 € d'amende.

Que dit l'article 323-1 du Code pénal ?

Il punit de 3 ans d'emprisonnement et de 100 000 € d'amende le fait d'accéder ou de se maintenir frauduleusement dans tout ou partie d'un système de traitement automatisé de données, et de 5 ans et 150 000 € quand il en résulte la suppression ou la modification de données ou une altération du fonctionnement. Ces peines datent de la loi du 24 janvier 2023. L'accès est frauduleux dès que la personne sait qu'elle n'y est pas autorisée, même si le système n'était pas protégé (chapitre 8).

Une charte informatique a-t-elle une valeur juridique ?

Oui, si elle est annexée au règlement intérieur et adoptée selon sa procédure : avis du CSE, communication à l'inspection du travail, dépôt au greffe du conseil de prud'hommes et publicité. Elle est alors opposable à tous les salariés, et son non-respect peut être sanctionné. Simplement diffusée sur l'intranet, elle informe les salariés mais ne suffit pas à fonder une sanction disciplinaire (chapitre 11).

C'est quoi la directive NIS 2 ?

La directive européenne NIS 2 (2022/2555) impose des obligations de cybersécurité à des milliers d'organisations de dix-huit secteurs, les entités essentielles et importantes : mesures de gestion des risques, responsabilité des dirigeants, notification des incidents importants à l'autorité (alerte sous 24 heures, notification sous 72 heures, rapport final sous un mois). Les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. En France, la loi de transposition n'était pas encore promulguée début novembre 2026 (chapitre 6).

Les cookies nécessitent-ils toujours un consentement ?

Non. Les traceurs strictement nécessaires au service demandé (session de connexion, panier, mémorisation du choix de l'utilisateur, préférences d'affichage) et certaines mesures d'audience configurées selon les règles de la CNIL en sont exemptés. Les traceurs publicitaires, ceux des réseaux sociaux et la plupart des outils de statistiques exigent un consentement préalable, et refuser doit être aussi simple qu'accepter (chapitre 7).

Quelle est la différence entre un éditeur et un hébergeur ?

L'éditeur choisit ce qu'il publie : il est pleinement responsable de ses contenus. L'hébergeur stocke des contenus fournis par des tiers sans les choisir : il n'est responsable d'un contenu illicite que s'il en a eu connaissance, par exemple par une notification, et ne l'a pas retiré promptement (article 6 du DSA). Un même site peut être éditeur de ses propres pages et hébergeur des messages de ses utilisateurs (chapitre 10).