Fiche RGPD

22 juin 2026.

Fiche – Règlement général sur la protection des données (RGPD)

Présentation générale

Le Règlement général sur la protection des données (RGPD) est le règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Applicable depuis le 25 mai 2018 dans l’ensemble de l’Union européenne, il constitue aujourd’hui le texte de référence en matière de protection des données personnelles.

Le RGPD poursuit un double objectif :

  • garantir un niveau élevé de protection des personnes physiques ;
  • assurer la libre circulation des données au sein du marché intérieur européen.

Depuis son entrée en vigueur, il est devenu l’un des piliers de la transformation numérique européenne. Son influence dépasse largement le seul domaine de la protection des données puisqu’il irrigue désormais les problématiques liées à l’intelligence artificielle, à la cybersécurité, à la gouvernance numérique, à l’open data, aux plateformes numériques et aux services publics dématérialisés.

L’analyse de la base documentaire Dabo Tibi Ius montre que le RGPD apparaît aujourd’hui comme le socle juridique général de la gouvernance des données, en interaction permanente avec le règlement sur l’intelligence artificielle (AI Act), les réglementations sectorielles et les exigences de cybersécurité.

Définition

Définition du RGPD

Le RGPD établit un cadre harmonisé destiné à encadrer tout traitement de données à caractère personnel réalisé dans l’Union européenne ou visant des personnes se trouvant sur le territoire européen.

Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable.

Un traitement correspond à toute opération réalisée sur des données personnelles, notamment :

  • la collecte ;
  • l’enregistrement ;
  • la conservation ;
  • la consultation ;
  • la transmission ;
  • l’analyse ;
  • l’effacement.

Les objectifs du RGPD

Le règlement poursuit plusieurs objectifs fondamentaux :

  • renforcer les droits des personnes ;
  • responsabiliser les organisations ;
  • harmoniser les règles européennes ;
  • favoriser la confiance numérique ;
  • encadrer les usages innovants des données.

Points essentiels

  • Toute donnée personnelle bénéficie de la protection du RGPD.
  • Tout traitement doit reposer sur une base légale.
  • Les personnes disposent de droits renforcés.
  • Les organisations doivent être capables de démontrer leur conformité.
  • Les traitements les plus risqués doivent faire l’objet d’analyses d’impact.
  • Les violations de données doivent être documentées et parfois notifiées.
  • Le RGPD s’applique également aux systèmes d’intelligence artificielle lorsqu’ils traitent des données personnelles.
  • Le RGPD et l’AI Act sont complémentaires et non concurrents.

Cadre juridique

Le règlement (UE) 2016/679

Le texte central est le règlement (UE) 2016/679 du 27 avril 2016.

Parmi les dispositions les plus importantes figurent :

Article 5

Principes relatifs au traitement :

  • licéité ;
  • loyauté ;
  • transparence ;
  • minimisation ;
  • exactitude ;
  • limitation de la conservation ;
  • intégrité ;
  • confidentialité.

Article 6

Bases légales du traitement.

Article 9

Traitement des données sensibles.

Articles 12 à 22

Droits des personnes concernées.

Article 22

Décisions individuelles automatisées.

Article 25

Protection des données dès la conception (privacy by design) et par défaut (privacy by default).

Article 30

Registre des activités de traitement.

Article 32

Sécurité des traitements.

Articles 33 et 34

Gestion des violations de données.

Article 35

Analyse d’impact relative à la protection des données (AIPD ou DPIA).

Le droit français

En France, le RGPD est complété par la loi n° 78-17 du 6 janvier 1978 dite Loi Informatique et Libertés.

L’autorité chargée du contrôle est la :

CNIL

La CNIL joue un rôle central dans :

  • le contrôle ;
  • le conseil ;
  • l’accompagnement des organisations ;
  • la sanction des manquements.

Les grands principes du RGPD

Licéité du traitement

Tout traitement doit reposer sur une base légale.

Les principales bases légales sont :

  • le consentement ;
  • l’exécution d’un contrat ;
  • l’obligation légale ;
  • la sauvegarde des intérêts vitaux ;
  • la mission d’intérêt public ;
  • l’intérêt légitime.

Minimisation des données

Seules les données strictement nécessaires doivent être collectées.

Limitation des finalités

Les données doivent être collectées pour des finalités déterminées, explicites et légitimes.

Limitation de la conservation

Les données ne peuvent être conservées indéfiniment.

Sécurité

Le responsable de traitement doit mettre en œuvre des mesures techniques et organisationnelles appropriées.

Les acteurs du RGPD

Le responsable de traitement

Il détermine :

  • les finalités ;
  • les moyens du traitement.

Il porte la responsabilité principale de la conformité.

Le sous-traitant

Il agit pour le compte du responsable de traitement.

Le DPO

Le délégué à la protection des données (Data Protection Officer) conseille l’organisation et veille au respect du règlement.

Les autorités de contrôle

Les principales autorités sont :

  • CNIL ;
  • Comité européen de la protection des données ;
  • les autorités nationales des États membres.

Les droits des personnes

Le RGPD reconnaît plusieurs droits fondamentaux :

Droit à l’information

Les personnes doivent être informées de manière claire et compréhensible.

Droit d’accès

Accéder aux données les concernant.

Droit de rectification

Faire corriger des données inexactes.

Droit à l’effacement

Obtenir la suppression de certaines données.

Droit à la limitation

Limiter certains traitements.

Droit d’opposition

S’opposer à certains traitements.

Droit à la portabilité

Recevoir les données dans un format réutilisable.

Protection contre certaines décisions automatisées

Le RGPD encadre les décisions fondées exclusivement sur un traitement automatisé.

RGPD et intelligence artificielle

L’intelligence artificielle soulève plusieurs difficultés spécifiques :

  • détermination de la finalité ;
  • qualité des données ;
  • minimisation ;
  • explicabilité ;
  • biais ;
  • profilage ;
  • décisions automatisées ;
  • conservation des données.

Le RGPD continue de s’appliquer pleinement lorsqu’un système d’IA traite des données personnelles.

L’AI Act ne remplace pas le RGPD ; il ajoute des obligations complémentaires relatives à la conception et au déploiement des systèmes d’IA.

Analyse doctrinale

Intervention humaine, contrôle humain et explicabilité : propos sur l’articulation entre le Règlement sur l’intelligence artificielle et le RGPD

  • Auteur : Liane Huttner
  • Source : RDSS 2024, p. 757

URL :

Intervention humaine, contrôle humain et explicabilité : propos sur l’articulation entre le Règlement sur l’intelligence artificielle et le RGPD

Cette étude met en évidence la complémentarité entre les mécanismes de protection du RGPD et les nouvelles exigences instaurées par l’AI Act.

Jurisprudence majeure

CJUE, 7 décembre 2023, SCHUFA Holding AG, C-634/21

Cette décision constitue l’un des arrêts les plus importants rendus récemment en matière de traitement automatisé.

La Cour de justice considère qu’un score de solvabilité peut relever de l’article 22 du RGPD lorsqu’il joue un rôle déterminant dans la décision prise à l’égard d’une personne.

L’arrêt renforce :

  • le contrôle des systèmes de scoring ;
  • l’encadrement du profilage ;
  • les exigences de transparence ;
  • la protection contre les décisions automatisées.

Débats actuels

L’articulation entre RGPD et AI Act

Comment coordonner deux réglementations poursuivant des objectifs différents mais complémentaires ?

Le RGPD protège les personnes et leurs données.

L’AI Act encadre les systèmes d’IA selon une logique fondée sur les risques.

L’explicabilité

Jusqu’où faut-il expliquer les traitements algorithmiques ?

Le débat oppose :

  • les exigences de transparence ;
  • les limites techniques ;
  • la protection du secret des affaires.

L’anonymisation

L’open data au défi de l’IA : comment assurer une bonne anonymisation des décisions de justice ?

  • Auteur : Camille Girard-Chanudet
  • Source : Semaine Sociale Lamy n° 2112

URL :

L’open data au défi de l’IA : comment assurer une bonne anonymisation des décisions de justice ?

Cet article analyse les risques de réidentification dans un contexte de réutilisation massive des données par les systèmes d’intelligence artificielle.

Actualité récente

DPO et EU AI Act : cinq questions que les PME vont vous poser avant août 2026

URL :

DPO et EU AI Act : cinq questions que les PME vont vous poser avant août 2026.

Cet article montre que les DPO seront au cœur de l’articulation entre conformité RGPD et conformité AI Act.

DPO, DSI, directions juridiques : voici ce que la CNIL va vous demander en 2026 sur l’IA, la cyber et le RGPD

Source : L’Usine Digitale

URL :

DPO, DSI, directions juridiques : voici ce que la Cnil va vous demander en 2026 sur l’IA, la cyber et le RGPD

L’article met en évidence la montée en puissance des contrôles portant simultanément sur l’intelligence artificielle, la cybersécurité et la protection des données.

Ressources essentielles

Sources Dabo Tibi Ius

Intervention humaine, contrôle humain et explicabilité : propos sur l’articulation entre le Règlement sur l’intelligence artificielle et le RGPD

DPO, DSI, directions juridiques : voici ce que la CNIL va vous demander en 2026 sur l’IA, la cyber et le RGPD

Transformation numérique, RGPD, IA : pourquoi le droit doit intervenir avant que le projet ne se bloque

DPO et EU AI Act : cinq questions que les PME vont vous poser avant août 2026

L’open data au défi de l’IA : comment assurer une bonne anonymisation des décisions de justice ?

La start-up d’IA « Friend » suspend son lancement le temps de répondre aux exigences européennes sur les données personnelles

Textes officiels essentiels

Règlement (UE) 2016/679 (RGPD)

https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679

Règlement (UE) 2024/1689 (AI Act)

https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689

Loi Informatique et Libertés

https://www.legifrance.gouv.fr

CNIL

https://www.cnil.fr

FAQ

Le RGPD interdit-il de traiter des données personnelles ?

Non. Il impose simplement que le traitement repose sur une base légale et respecte les droits des personnes.

Le consentement est-il toujours obligatoire ?

Non. Il constitue une base légale parmi plusieurs autres prévues par l’article 6.

Une donnée anonymisée est-elle soumise au RGPD ?

Non, à condition que l’anonymisation soit effectivement irréversible.

Le RGPD s’applique-t-il aux systèmes d’IA ?

Oui, dès lors qu’ils traitent des données personnelles.

L’AI Act remplace-t-il le RGPD ?

Non. Les deux textes sont complémentaires.

Une entreprise doit-elle toujours désigner un DPO ?

Non. La désignation n’est obligatoire que dans certaines hypothèses prévues par le règlement.

Pour aller plus loin

  • Intelligence artificielle
  • AI Act
  • Données personnelles
  • DPO
  • Décisions automatisées
  • Profilage
  • Open data
  • Cybersécurité
  • Gouvernance des données

Méthodologie : Cette fiche a été générée avec l’assistance de l’intelligence artificielle à partir de la base documentaire et de sources juridiques complémentaires lorsque cela était nécessaire. Elle constitue une synthèse documentaire et ne remplace pas un avis juridique.

Résumé pédagogique

Définition

Le RGPD est le principal texte européen encadrant le traitement des données personnelles. Il garantit la protection des personnes physiques tout en permettant la circulation des données au sein de l’Union européenne.

Exemple

Une entreprise qui collecte les données de ses clients doit les informer, sécuriser les informations collectées et permettre l’exercice de leurs droits (accès, rectification, effacement, opposition).

Problématique juridique

Comment concilier l’innovation numérique, notamment le développement de l’intelligence artificielle, avec la protection effective des données personnelles et des libertés individuelles ?

Cadre légal

Le cadre juridique repose principalement sur le règlement (UE) 2016/679 (RGPD), la loi Informatique et Libertés, la jurisprudence de la Cour de justice de l’Union européenne et, lorsque des systèmes d’IA sont utilisés, sur l’articulation avec le règlement (UE) 2024/1689 (AI Act).

Fiches Dabo Tibi Ius associées :

Articles connexes

Fiches connexes