Le Règlement Général sur la Protection des Données (RGPD) impose à tout organisme traitant des données personnelles un cadre strict. C’est le respect des obligations du RGPD qui conditionne la conformité juridique et opérationnelle des organismes. Si cette conformité a toujours été essentielle, l’intensification des contrôles de la CNIL en 2026 (ciblant notamment le recrutement, l’IA et la cybersécurité des PME) fait de la conformité un enjeu stratégique majeur.
Ce qu’il faut retenir
- Toute structure traitant des données de résidents européens est concernée par les obligations du RGPD, sans exemption liée à la taille.
- Parmi les principales obligations, on retrouve la tenue d’un registre des traitements, la garantie de la sécurité des données ou encore l’encadrement des sous-traitants.
- Les plafonds des sanctions peuvent atteindre jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial.
- En 2026, le respect de la protection des données passe par l’articulation du RGPD et de l’AI Act (règlement sur l’Intelligence Artificielle).
Vous avez un doute sur votre niveau de conformité ? Lexagone réalise votre audit RGPD, dresse un état des lieux précis et vous aide à transformer vos obligations légales en avantages stratégiques.
PARLER À UN EXPERTQui est soumis aux obligations du RGPD ?
Tout organisme, qu’importent sa taille et son activité, peut être concerné par les obligations du RGPD
Le RGPD s’applique à tout responsable de traitement ou sous-traitant établi dans l’Union européenne ainsi qu’à tout organisme, même situé hors UE, qui traite les données de résidents européens. Il n’existe pas d’exception liée à la taille de la structure : une TPE, une association ou un cabinet libéral sont, au même titre qu’un grand groupe, tenus de respecter le règlement.
Seule la tenue du registre des traitements bénéficie d’un allègement conditionnel pour les organismes de moins de 250 salariés, à condition que les traitements réalisés ne soient pas à risque, ne portent pas sur des données sensibles et restent occasionnels. Ces conditions sont néanmoins cumulatives. Cela rend cette exemption très rare en pratique puisque quasiment toutes les entreprises traitent des données de façon non-occasionnelle, ne serait-ce que pour la gestion de la paie et/ou des clients.
En 2026, la CNIL a d’ailleurs définit le recrutement comme l’une de ses thématiques prioritaires de contrôle, avec une attention particulière aux systèmes de prise de décision automatisée, à l’information des candidats ou encore aux durées de conservation.
Les obligations du RGPD : la checklist
Une démarche de mise en conformité doit couvrir diverses obligations
Tenir un registre des activités de traitement (article 30)
Ce document recense chaque traitement de données réalisé par l’organisme : finalité, catégories de données, durées de conservation, destinataires. Il s’agit de la pièce maîtresse, généralement demandée en premier par la CNIL lors d’un contrôle.
Identifier une base légale pour chaque traitement (article 6)
Chaque traitement doit reposer sur l’un des six fondements juridiques prévus par le règlement (consentement, exécution d’un contrat, obligation légale, intérêts vitaux, mission d’intérêt public ou intérêt légitime).
Informer les personnes concernées (articles 12-14) et obtenir leur consentement (articles 7-8)
Les personnes doivent savoir précisément comment leurs données sont utilisées. C’est notamment le rôle de la politique de confidentialité, des mentions légales ou encore de l’information diffusée au moment de la collecte.
Le recueil du consentement est par ailleurs obligatoire, sauf si le traitement est justifié par l’exécution d’un contrat (de travail ou de vente, par exemple).
Assurer la sécurité des données (article 32)
Des mesures techniques et organisationnelles proportionnées au risque doivent être mises en œuvre. Cela peut passer par du chiffrement, un contrôle des accès, des sauvegardes régulières ou encore une politique de gestion des habilitations.
Notifier les violations de données (articles 33-34)
En cas de fuite ou de piratage, l’organisme dispose de 72h pour notifier la CNIL. Il doit également informer les personnes concernées si le risque est élevé pour leurs droits et libertés.
Réaliser une Analyse d’impact relative à la protection des données (article 35)
Une AIPD est obligatoire pour les traitements susceptibles d’engendrer un risque élevé, notamment ceux portant sur des données sensibles ou reposant sur une surveillance systématique.
Désigner un Délégué à la protection des données si nécessaire (article 37)
La désignation d’un DPO est obligatoire pour les organismes publics et ceux dont l’activité de base implique un suivi régulier et systématique à grande échelle ou le traitement à grande échelle de données sensibles. De nombreuses structures optent pour un DPO externe, qui offre une expertise mutualisée sans les contraintes d’un recrutement dédié.
Encadrer les sous-traitants par contrat (article 28)
Chaque relation avec un sous-traitant doit être formalisée par un contrat précisant les garanties de protection des données. Cela concerne par exemple les hébergeurs, prestataires informatiques et autres éditeurs de logiciels.
Garantir les droits des personnes concernées
Un organisme doit être en mesure de répondre aux demandes des personnes concernant leurs données personnelles dans un délai d’un mois (trois mois si la demande est complexe). Cela inclut notamment les droits d’accès, de rectification, d’effacement, d’opposition et de portabilité.
Encadrer les transferts de données hors Union Européenne
Des clauses contractuelles types, décisions d’adéquation ou règles internes doivent sécuriser tout transfert de données vers un pays tiers.
Attention, en 2026, les traitements impliquant des modèles d’IA (scraping de données pour entraînement, prises de décision automatisées) sont pleinement soumis au RGPD. L’entrée en application progressive de l’AI Act européen impose une AIPD renforcée par les systèmes qualifiés à « haut risque » afin de prévenir les biais et garantir la surveillance humaine.
Questions fréquentes
Quelles sont les sanctions en cas de non-respect des obligations du RGPD ?
L’article 83 du RGPD prévoit des sanctions plafonnées à 10 millions d’euros (ou 2 % du chiffres d’affaires) ou 20 millions d’euros (ou 4 % du chiffre d’affaires), selon la nature du manquement. La CNIL peut également prononcer des mises en demeure, des injonctions sous astreinte, voire rendre ses décisions publiques.
Quelle différence entre le RGPD et la loi Informatique et Libertés ?
Le RGPD est un règlement européen directement applicable par tous les États membres. La loi Informatique et Libertés est le texte français qui l’a adapté au droit national et qui précise certaines dispositions spécifiques, notamment sur les données de santé et les droits post-mortem.
Comment s’assurer de respecter les obligations du RGPD ?
La mise en conformité suit généralement quatre étapes : la cartographie des traitements existants, l’audit des écarts au règlement, la mise en œuvre d’un plan d’actions priorisé, puis le suivi continu de la conformité, porté par un DPO ou référent interne. Ce dernier point est essentiel : la conformité RGPD n’est pas un projet ponctuel, mais une démarche continue qui doit s’adapter à l’évolution des traitements et de la règlementation.
Vous avez besoin d’un accompagnement sur mesure ? Lexagone met à votre disposition un DPO externe qui vous aide à sécuriser durablement votre conformité.
PARLER À UN EXPERT
