RGPD : c'est quoi ? Définition simple et données personnelles

Vous avez sûrement déjà croisé le sigle RGPD : dans un bandeau de site web, en bas d'un e-mail, dans un formulaire. Voici ce qu'il recouvre, sans jargon.

Le RGPD en une phrase

RGPD signifie « Règlement Général sur la Protection des Données ». En anglais, on parle de GDPR. C'est un règlement européen qui encadre la façon dont les données personnelles sont traitées sur le territoire de l'Union européenne.

Selon la CNIL, il s'inscrit dans la continuité de la loi française Informatique et Libertés de 1978. Il poursuit deux objectifs :

• renforcer le contrôle des citoyens sur l'usage qui peut être fait des données qui les concernent ;
• offrir un cadre juridique unique aux professionnels, en harmonisant les règles en Europe.

Le second point a une raison d'être : permettre aux organisations de développer leurs activités numériques dans l'Union européenne en s'appuyant sur la confiance des utilisateurs.

Qu'est-ce qu'une donnée personnelle ?

Pour comprendre le RGPD, il faut d'abord comprendre ce mot. Une donnée personnelle est « toute information se rapportant à une personne physique identifiée ou identifiable ». Autrement dit, toute information qui permet de savoir de qui l'on parle, directement ou non.

Une personne peut être identifiée de deux façons.

• Directement : par son nom et son prénom.
• Indirectement : par un numéro client, un numéro de téléphone, une donnée biométrique, la voix ou l'image, ou encore plusieurs éléments propres à son identité physique, économique, culturelle ou sociale.

Une seule information peut suffire, comme un numéro de sécurité sociale ou l'ADN. Mais un simple croisement suffit aussi. La CNIL donne cet exemple : une femme vivant à telle adresse, née tel jour, abonnée à tel magazine et membre de telle association. Aucun nom n'apparaît, et pourtant la personne est identifiable.

La CNIL précise qu'une base marketing détaillant la localisation, l'âge, les goûts et les achats de consommateurs reste un traitement de données personnelles, même sans les noms. Il suffit qu'on puisse remonter à une personne précise.

Qu'est-ce qu'un « traitement » de données ?

Le mot paraît technique. Il désigne en réalité presque tout ce qu'on peut faire avec une donnée : la collecter, l'enregistrer, la conserver, la modifier, la consulter, l'utiliser, la transmettre ou la rapprocher d'autres données.

Un exemple du quotidien : vous commandez un article en ligne. Le vendeur enregistre votre adresse pour livrer, édite une facture, puis vous propose peut-être une carte de fidélité. Chacune de ces opérations fait partie d'un traitement de données personnelles, dont le but est la gestion de la clientèle.

Ce but a un nom : la finalité. D'après la CNIL, on ne peut pas collecter des données personnelles simplement au cas où elles serviraient un jour. Chaque traitement doit avoir un objectif, légal et légitime.

Deux précisions utiles :

• un traitement n'est pas forcément informatisé : un classeur papier est concerné, et doit être protégé dans les mêmes conditions ;
• un fichier qui ne contient que des coordonnées d'entreprises (une adresse postale, un standard, une adresse e-mail générique) n'est pas un traitement de données personnelles.

À qui s'applique le RGPD ?

La réponse de la CNIL est large : tout organisme, quels que soient sa taille, son pays d'implantation et son activité, peut être concerné. Le règlement s'applique à toute organisation, publique ou privée, qui traite des données personnelles, pour son compte ou non, dans l'un de ces deux cas :

• elle est établie sur le territoire de l'Union européenne ;
• ou son activité cible directement des résidents européens.

Concrètement, une société établie en France doit respecter le RGPD, même si elle vend ses produits à l'étranger. Une société établie en Chine doit le respecter aussi si elle propose un site de e-commerce en français et livre en France.

Les sous-traitants sont également concernés. Si une entité traite ou collecte des données pour le compte d'une entreprise, d'une collectivité ou d'une association, elle a des obligations spécifiques pour protéger ces données.

Ce que cela change pour vous, particulier

Le RGPD pèse d'abord sur les organisations : ce sont elles qui ont des obligations. Pour vous, la conséquence principale, telle que la CNIL la décrit, est un contrôle renforcé sur l'utilisation des données qui vous concernent.

Dans la vie courante, cela veut dire qu'une organisation ne peut pas collecter vos informations sans but précis et légitime. Cela s'applique qu'elle soit à côté de chez vous ou de l'autre côté du monde, dès lors qu'elle s'adresse à des résidents européens.

La page de la CNIL sur laquelle s'appuie cet article ne détaille pas les droits des particuliers un par un. Nous ne les listons donc pas ici. Elle renvoie vers une page suivante, intitulée « Les grands principes », que vous pouvez consulter sur le site de la CNIL.

Ce que le RGPD ne dit pas sur votre situation

Un règlement fixe des règles. Il ne vous dit pas ce qui est visible sur vous aujourd'hui, ni où cela se trouve.

Connaître les règles ne suffit donc pas. Il est utile de savoir ce qui est visible.

Ce que vous pouvez faire dès maintenant

Commencez par regarder. L'analyse gratuite de Remove Me ne demande pas de compte : vous saisissez vos informations, et le service cherche dans les résultats web publiquement visibles, dans les fuites de données publiques connues (via Have I Been Pwned) et dans un registre de courtiers en données. Il affiche ensuite un bilan, que vous débloquez avec un code de vérification à 6 chiffres reçu par e-mail.

Deux limites à garder en tête :

• Un bilan vide ne prouve pas que rien n'existe. Il indique seulement ce que l'analyse a trouvé.
• Remove Me n'envoie pas encore de demandes d'effacement à votre place. L'analyse vous montre ce qui est visible. Elle ne supprime rien.

Pour aller plus loin sur le cadre juridique, la page de la CNIL « RGPD : de quoi parle-t-on ? » reste la référence de cet article. Elle propose aussi des guides, surtout destinés aux petites entreprises, si vous gérez vous-même des données dans un cadre professionnel.

À retenir

• Le RGPD est un règlement européen qui encadre le traitement des données personnelles.
• Une donnée personnelle, c'est toute information qui permet d'identifier une personne, seule ou croisée avec d'autres.
• Il s'applique aux organisations établies dans l'Union européenne et à celles qui ciblent des résidents européens.
• Pour un particulier, il renforce le contrôle sur l'usage de ses données.
• Connaître le règlement ne dit pas ce qui est visible sur vous. C'est ce que l'analyse permet de voir.

L'équipe Remove Me.