Protection des données personnelles : vos droits réels, et ce que vous devez faire pour les tenir
Une lectrice m'écrit : « J'ai demandé à un site de me dire tout ce qu'il savait sur moi. Ils m'ont répondu qu'ils ne trouvaient rien. » Sauf qu'elle avait un compte chez eux depuis onze ans. Voilà où on en est en 2026 : les droits existent sur le papier depuis 2018, mais leur mise en œuvre dépend de gens qui, souvent, ne savent pas quoi faire.
Ce n'est pas une question de mauvaise foi. C'est une question de méthode. La protection des données personnelles repose sur des principes clairs et des obligations précises, mais personne ne vous a montré comment on s'y prend concrètement — ni côté particulier, ni côté entreprise. Je vais essayer de combler ce trou.
Points clés à retenir
- Le RGPD s'applique depuis le 25 mai 2018 et complète la loi Informatique et Libertés de 1978.
- Six grands principes structurent tout traitement de données : finalité, minimisation, transparence, exercice des droits, sécurité, responsabilité.
- Un organisme doit répondre à votre demande d'accès sous un mois ; en cas de silence, la CNIL peut être saisie.
- Les sanctions maximales atteignent 20 millions d'euros ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé.
- La conformité n'est pas un dossier qu'on range : c'est une pratique qui se vérifie dans les accès, les sauvegardes et le registre des traitements.
Les six principes qui structurent tout traitement de données
On me demande souvent de résumer le RGPD en dix minutes. C'est impossible. Mais on peut résumer les six principes qui le portent, parce que tout le reste en découle.
Quels sont les 6 principes de protection des données ?
La CNIL les présente ainsi, et je m'appuie sur cette liste parce qu'elle est stable et bien faite :
- Ne collectez que les données vraiment nécessaires. Le principe de finalité limite l'usage futur des données et interdit la collecte « au cas où ». Le principe de minimisation, lui, restreint la collecte au strict nécessaire.
- Soyez transparent. Les personnes doivent être informées de l'usage qui sera fait de leurs données dès la collecte. Aucune collecte à leur insu. On doit aussi leur indiquer leurs droits et comment les exercer.
- Organisez et facilitez l'exercice des droits. Ce n'est pas un service optionnel : c'est une obligation de moyen sérieuse.
- Assurez la sécurité. Un traitement qui fuit n'est pas un traitement conforme, quelle que soit la qualité de la documentation.
- Respectez la durée. Les données ne se conservent pas indéfiniment : la durée doit être justifiée par la finalité initiale.
- Prouvez votre conformité. La responsabilité pèse sur l'organisme, qui doit pouvoir démontrer, registre en main, qu'il respecte les cinq points précédents.
Ce qui est frappant, quand on compare ces six principes à la réalité d'une PME ou d'une association, c'est que trois sur six sont déjà violés à la première heure d'activité — sans qu'aucune mauvaise intention n'intervienne. Le formulaire de contact qui garde tout « au cas où ». Le fichier Excel des adhérents qui traîne dans un dossier partagé. La politique de confidentialité rédigée une fois, jamais mise à jour.
Vos droits concrets, et comment les exercer sans vous épuiser
La liste des droits figure partout. Ce qui manque, c'est le mode d'emploi. Alors voici la version que j'aurais aimé trouver quand j'ai commencé à me pencher sérieusement sur ces sujets.
Quels sont nos droits sur nos données personnelles ?
Vous avez un droit d'accès (savoir ce qui est détenu sur vous), un droit de rectification, un droit à l'effacement, un droit d'opposition, un droit à la portabilité, et un droit de ne pas faire l'objet d'une décision entièrement automatisée dans certains cas. Le point de départ pratique, c'est presque toujours le droit d'accès : c'est lui qui vous apprend ce que les autres savent.
Concrètement, un organisme doit vous répondre sous un mois. Ce délai peut être prolongé si la demande est complexe, mais il doit alors vous en informer. S'il ne répond pas, ou répond de travers, vous pouvez saisir la CNIL.
Deux choses que personne ne vous dit et qui changent tout :
- Votre demande n'a pas besoin d'un formulaire officiel. Un courriel clair avec votre identité, l'objet de la demande (« je souhaite accéder à l'ensemble des données que vous détenez sur moi ») et la date suffit.
- Gardez une trace. Un organisme sur trois, dans mon expérience, ne répond qu'à la deuxième relance. Le silence n'est pas un refus : c'est souvent un dysfonctionnement. Et un dysfonctionnement documenté vaut mieux qu'une plainte vague.
Ce que la loi Informatique et Libertés change pour vous
Le RGPD n'a pas remplacé la loi française de 1978 : il l'a complétée. La loi Informatique et Libertés continue de s'appliquer, et la CNIL reste l'autorité de contrôle en France. Autrement dit, un particulier qui veut agir dispose d'un interlocuteur national, pas seulement d'un texte européen à invoquer dans le vide.
Bonnes pratiques techniques : ce qui tient vraiment dans le temps
J'ai vu passer beaucoup de politiques de confidentialité impeccables adossées à des systèmes à moitié troués. La conformité documentaire sans hygiène technique, c'est un beau château sur pilotis.
Chiffrement, sauvegardes, accès : les trois piliers qu'on néglige
| Pratique | Ce que ça protège | Effort réel |
|---|---|---|
| Chiffrement au repos et en transit | Fuite en cas de vol de support ou d'interception | Faible si activé par défaut |
| Sauvegardes testées | Perte sur rançongiciel ou erreur humaine | Moyen, mais sauve la mise |
| Registre des traitements | Capacité à prouver la conformité | Faible au départ, moyen à tenir |
| Gestion fine des accès | Dispersion involontaire en interne | Élevé au début, faible après |
| Suppression des comptes dormants | Surface d'attaque inutile | Faible, très souvent oublié |
Le registre des traitements est l'élément que je vois le plus souvent manquant, alors qu'il coûte très peu à mettre en place et sert de colonne vertébrale à tout le reste. Sans lui, vous ne pouvez pas répondre proprement à une demande d'accès ni justifier une durée de conservation.
Sanctions et risques : ce qui se passe quand on ne fait rien
Les montants maximaux circulent beaucoup : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon ce qui est le plus élevé. Mais le vrai risque, pour la majorité des structures, n'est pas l'amende. C'est la perte de confiance. Une fuite de données mal gérée coûte plus cher en clients partis qu'en sanctions — je l'ai constaté sur un projet où une base de contacts avait été exposée pendant six jours avant d'être corrigée. Nous avons perdu trois clients importants en un mois. Le montant de la sanction, lui, était nul : personne n'avait porté plainte.
Ce qui compte, en pratique :
- Pouvoir dire, dans les 72 heures suivant une violation, ce qui s'est passé, qui est concerné, et ce que vous avez fait.
- Documenter chaque incident, même mineur.
- Ne pas promettre la conformité parfaite : promettre la capacité à répondre. C'est ce qu'on vous demandera.
Ce que je conseille à quiconque commence
Le point de départ le plus efficace, dans mon expérience, n'est pas de lire le RGPD dans son intégralité. C'est de répondre honnêtement à trois questions : quelles données je collecte, pourquoi, et combien de temps je les garde. Le reste s'organise autour.
Et si vous n'avez qu'une heure : écrivez votre registre des traitements. Rien qu'un tableau. Vous verrez alors apparaître, sans effort, la moitié des problèmes.
La protection des données n'est pas un sujet juridique. C'est un sujet de soin porté à ce qu'on vous confie. Et c'est précisément là que la plupart des organisations échouent — pas dans les textes, dans les gestes.
