RGPD

Qu'est-ce que le RGPD ?

Le RGPD (Règlement Général sur la Protection des Données), connu en anglais sous l'acronyme GDPR (General Data Protection Regulation), est un règlement européen qui harmonise et renforce la protection des données personnelles dans l'ensemble des États membres de l'Union européenne.

Adopté en 2016 et applicable depuis le 25 mai 2018, le RGPD a profondément transformé la manière dont les entreprises collectent, traitent et stockent les informations relatives aux personnes physiques.

Qui est concerné par le RGPD ?

Le RGPD s'applique à toute organisation — quelle que soit sa taille, sa forme juridique ou sa localisation — qui :

• Est établie dans l'Union européenne, ou
• Traite des données de résidents européens, même si elle est établie hors UE

En pratique, si votre site web français collecte des emails, des adresses IP ou des cookies de visiteurs européens, vous êtes soumis au RGPD.

Les principes fondamentaux

Licéité, loyauté, transparence

Toute collecte de données doit avoir une base légale :

1. Consentement — L'utilisateur a donné son accord explicite
2. Contrat — Le traitement est nécessaire à l'exécution d'un contrat
3. Obligation légale — Traitement requis par la loi
4. Intérêts vitaux — Protection de la vie d'une personne
5. Mission d'intérêt public
6. Intérêts légitimes — À condition de ne pas primer sur les droits de la personne

Minimisation des données

Ne collectez que les données strictement nécessaires à votre finalité. Si un prénom suffit, ne demandez pas le nom complet.

Durée de conservation limitée

Les données ne peuvent pas être conservées indéfiniment. Définissez une durée de rétention justifiée et supprimez les données à l'échéance.

Sécurité des données

Vous êtes responsable de la protection technique des données : chiffrement, contrôle d'accès, sauvegardes sécurisées, HTTPS obligatoire.

Les droits des personnes concernées

Le RGPD accorde aux individus des droits renforcés sur leurs données personnelles :

• Droit d'accès — Consulter toutes les données que vous détenez sur eux
• Droit de rectification — Corriger des données inexactes
• Droit à l'effacement (droit à l'oubli) — Demander la suppression de leurs données
• Droit à la portabilité — Recevoir leurs données dans un format structuré
• Droit d'opposition — S'opposer à certains traitements (prospection commerciale notamment)
• Droit à la limitation — Suspendre temporairement un traitement
• Droits relatifs à la décision automatisée — S'opposer au profilage

Obligations concrètes pour un site web

Politique de confidentialité

Votre site doit afficher une politique de confidentialité claire et accessible décrivant :

• Quelles données vous collectez
• Pourquoi vous les collectez (finalité)
• Combien de temps vous les conservez
• Qui y a accès (sous-traitants)
• Comment exercer les droits RGPD

Gestion des cookies

Les cookies non essentiels (analytics, publicité, réseaux sociaux) nécessitent un consentement explicite avant d'être déposés. Un bandeau cookie conforme doit permettre de refuser aussi facilement qu'accepter.

Registre des traitements

Les organisations de plus de 250 salariés (et d'autres cas spécifiques) doivent tenir un registre des activités de traitement documentant tous les traitements de données.

Notification des violations

En cas de violation de données susceptible de créer un risque pour les personnes, vous devez notifier la CNIL dans les 72 heures et informer les personnes affectées si le risque est élevé.

Hébergement web et RGPD

Le choix de votre hébergeur a un impact direct sur votre conformité RGPD :

• Localisation des serveurs — Des serveurs en France ou dans l'UE garantissent que vos données ne quittent pas l'espace économique européen.
• Sous-traitance — Votre hébergeur est un sous-traitant de données. Vous devez signer un DPA (Data Processing Agreement) avec lui.
• Sécurité — HTTPS, sauvegardes chiffrées, contrôle d'accès sont des mesures techniques exigées.

Gaprod, hébergeur 100% français, répond à ces exigences. Notre infrastructure est exclusivement localisée en France, et nous proposons un DPA sur demande.

Sanctions

La CNIL peut infliger des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (le montant le plus élevé). En pratique, la CNIL privilégie d'abord les mises en demeure et les correctifs avant de sanctionner.