Le RGPD est le règlement (UE) 2016/679, adopté le 27 avril 2016 et applicable depuis le 25 mai 2018 dans toute l’Union européenne. Il protège les données personnelles, c’est-à-dire toute information qui permet d’identifier une personne : nom, adresse e-mail, adresse IP, identifiant publicitaire, localisation. Il s’applique à toute organisation qui traite les données de personnes situées dans l’UE, même si elle est établie hors d’Europe.
Le texte repose sur quelques principes : traiter les données de façon licite et transparente, pour une finalité précise, en n’en collectant que le strict nécessaire (minimisation), en les conservant le temps utile et en les sécurisant. Chaque traitement doit reposer sur l’une des six bases légales prévues, dont le consentement, le contrat, l’obligation légale ou l’intérêt légitime. Le consentement doit être libre, éclairé, spécifique et univoque.
Les personnes disposent de droits : accès à leurs données, rectification, effacement (« droit à l’oubli »), limitation, opposition, portabilité, et protection contre les décisions entièrement automatisées. En cas de fuite de données, l’organisation doit notifier l’autorité de contrôle dans un délai de 72 heures. En France, cette autorité est la CNIL ; les organismes concernés peuvent devoir désigner un délégué à la protection des données (DPO).
Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Les grosses amendes ont ciblé les géants du web : Facebook condamné à 1,2 milliard d’euros en 2023, LinkedIn à 310 millions d’euros en 2024, tandis que OpenAI a été accusé de non-conformité pour ChatGPT. Le RGPD s’était imposé dès son entrée en vigueur, comme nous l’avions raconté en mai 2018. Il se complète aujourd’hui du DSALe DSA (Digital Services Act, ou règlement sur les services numériques) est la loi européenne qui oblige les plateformes en ligne à lutter contre les contenus illicites, à être transparentes sur leurs algorithmes et leur publicité, et à protéger les utilisateurs. Lire la fiche et du DMALe DMA (Digital Markets Act, ou règlement sur les marchés numériques) est la loi européenne qui impose des obligations aux « gardiens » du numérique (Apple, Google, Meta, Microsoft, Amazon, ByteDance, Booking) : boutiques d'applications alternatives, pas de favoritisme, interopérabilité. Lire la fiche.
