Qu'est-ce que le RGPD ? Guide d'introduction 2026

En une phrase. Le RGPD est le règlement (UE) 2016/679, adopté le 27 avril 2016 et applicable depuis le 25 mai 2018 : il s’impose à tout organisme qui traite des données personnelles depuis un établissement dans l’Union, ou qui cible des personnes situées dans l’Union, et il repose sur 7 principes (Art. 5), 6 bases légales (Art. 6) et une série de droits opposables, sous peine d’amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Cet article est le point d’entrée : il explique ce que le RGPD exige réellement, sans jargon inutile, et renvoie vers les guides détaillés pour chaque obligation. Si vous découvrez le sujet — dirigeant, responsable informatique, association, futur DPO — commencez ici.

Points clés

• Le RGPD est un règlement, donc d’application directe : il n’a pas eu besoin d’être transposé, contrairement à une directive.
• En France, il se combine avec la loi Informatique et Libertés n° 78-17 du 6 janvier 1978, modifiée par la loi n° 2018-493 du 20 juin 2018.
• Il s’applique à toute organisation, quelle que soit sa taille : il n’existe pas de seuil d’exemption général pour les PME ou les associations.
• Deux paliers de sanctions (Art. 83) : 10 M€ ou 2 % du CA mondial, 20 M€ ou 4 % du CA mondial.
• La CNIL est l’autorité française de contrôle : 83 sanctions prononcées en 2025 pour 486,8 millions d’euros.

Qu’est-ce que le RGPD, concrètement ?

Le règlement général sur la protection des données remplace la directive 95/46/CE. Son objet est double : protéger les personnes physiques à l’égard du traitement de leurs données et permettre la libre circulation de ces données dans le marché intérieur — ce second objectif est souvent oublié, le RGPD n’ayant jamais eu pour but d’interdire le traitement mais de l’encadrer.

Trois notions suffisent à saisir sa logique. Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable (Art. 4(1)) : nom, adresse e-mail, adresse IP, identifiant client, photo, enregistrement vocal. Un traitement est toute opération portant sur ces données, y compris la simple consultation ou la conservation (Art. 4(2)). Le responsable de traitement détermine les finalités et les moyens ; le sous-traitant agit pour son compte et sur ses instructions (Art. 4(7) et (8)).

À qui s’applique le RGPD ? (Art. 3)

Le champ territorial défini par l’Art. 3 RGPD est plus large qu’on ne le suppose. Art. 3(1) — critère de l’établissement : le RGPD s’applique dès lors que le traitement est effectué dans le cadre des activités d’un établissement situé dans l’Union, que le traitement ait lieu ou non dans l’Union ; une entreprise française qui héberge ses données au Brésil y reste soumise. Art. 3(2) — critère du ciblage : un organisme établi hors de l’Union y est également soumis s’il offre des biens ou services à des personnes situées dans l’Union, ou s’il suit leur comportement — c’est ce qui fonde la compétence des autorités européennes sur les grandes plateformes américaines et asiatiques.

Le champ matériel (Art. 2) exclut les traitements strictement personnels ou domestiques, ainsi que ceux relevant de la sécurité nationale ou de la directive « police-justice » 2016/680.

Les 7 principes de l’Art. 5

L’Art. 5 énonce les principes que tout traitement doit respecter, détaillés dans notre guide des 7 principes du RGPD.

Principe	Article	Exigence pratique
Licéité, loyauté, transparence	Art. 5(1)(a)	Une base légale identifiée et une information claire
Limitation des finalités	Art. 5(1)(b)	Finalités déterminées, explicites, légitimes — pas de réutilisation incompatible
Minimisation	Art. 5(1)©	Collecter ce qui est nécessaire, rien de plus
Exactitude	Art. 5(1)(d)	Mettre à jour, rectifier, effacer les données inexactes
Limitation de la conservation	Art. 5(1)(e)	Une durée définie par finalité, puis purge ou anonymisation
Intégrité et confidentialité	Art. 5(1)(f)	Sécurité technique et organisationnelle appropriée
Responsabilité (accountability)	Art. 5(2)	Être en mesure de démontrer la conformité

Le dernier principe change tout : la conformité ne se déclare pas, elle se prouve. C’est la raison d’être du registre, des analyses d’impact et des procédures documentées.

Les 6 bases légales de l’Art. 6

Aucun traitement n’est licite s’il ne repose sur l’une des six bases de l’Art. 6(1) : consentement (a), exécution d’un contrat (b), obligation légale ©, sauvegarde des intérêts vitaux (d), mission d’intérêt public (e), intérêt légitime (f). La base doit être choisie avant le début du traitement et ne peut pas changer en cours de route ; notre guide sur le choix de la base légale fournit l’arbre de décision.

Les données sensibles obéissent à un régime distinct : l’Art. 9 interdit par principe le traitement des données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l’appartenance syndicale, ainsi que des données génétiques, biométriques, de santé ou relatives à la vie sexuelle. Il n’est possible que dans les dix cas limitatifs de l’Art. 9(2) — voir les catégories particulières de données.

Quels sont les droits des personnes ?

Le chapitre III (Art. 12 à 23) confère des droits opposables, gratuits, auxquels il faut répondre dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes (Art. 12(3)).

• Information (Art. 13 et 14) : la seule obligation qui s’impose sans demande préalable.
• Accès (Art. 15) : confirmation du traitement et copie des données.
• Rectification (Art. 16) et effacement (Art. 17), le « droit à l’oubli ».
• Limitation (Art. 18) : geler le traitement le temps d’une contestation.
• Portabilité (Art. 20) : récupérer ses données dans un format structuré et lisible par machine.
• Opposition (Art. 21) : absolu en matière de prospection commerciale.
• Décision automatisée (Art. 22) : ne pas subir une décision à effets juridiques fondée exclusivement sur un traitement automatisé.

La difficulté n’est pas juridique mais opérationnelle : il faut savoir où sont les données pour pouvoir répondre — d’où la nécessité d’une procédure d’exercice des droits formalisée.

Quelles obligations pour l’organisme ?

Cinq obligations structurent la conformité au quotidien.

Le registre des traitements (Art. 30) recense chaque traitement, ses finalités, ses catégories de données, ses durées et ses destinataires. L’exemption prévue pour les organismes de moins de 250 salariés est quasi inopérante : elle tombe dès que le traitement n’est pas occasionnel. Un modèle de registre permet de démarrer sans logiciel.

La désignation d’un DPO (Art. 37) est obligatoire pour les autorités publiques, pour le suivi régulier et systématique à grande échelle, et pour le traitement à grande échelle de données sensibles ; les missions du délégué à la protection des données figurent à l’Art. 39.

L’analyse d’impact (Art. 35) est requise lorsque le traitement est susceptible d’engendrer un risque élevé — biométrie, profilage, surveillance systématique. La méthode figure dans notre guide de l’AIPD.

La sécurité (Art. 32) impose des mesures appropriées au risque. En cas de violation, la notification à la CNIL sous 72 heures est exigée (Art. 33), et la communication aux personnes s’ajoute si le risque est élevé (Art. 34).

L’encadrement des flux hors UE (chapitre V) suppose une décision d’adéquation ou des garanties appropriées, le plus souvent des clauses contractuelles types.

Sanctions et rôle de la CNIL

L’Art. 83 prévoit deux paliers. Le premier — 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu — vise les manquements aux obligations du responsable et du sous-traitant : registre, sécurité, AIPD, notification. Le second — 20 millions d’euros ou 4 % — vise les manquements aux principes, aux bases légales, aux droits des personnes et aux règles de transfert.

Au-delà des amendes, la CNIL — autorité administrative indépendante créée en 1978 — dispose de l’arsenal de l’Art. 58 : mise en demeure, injonction sous astreinte, limitation d’un traitement, suspension des flux. Une injonction de cesser un traitement est souvent plus lourde qu’une amende. Sur les dossiers transfrontaliers, elle coopère avec ses homologues via le guichet unique et le Comité européen de la protection des données.

Ordre de grandeur des sanctions européennes les plus lourdes : 1,2 milliard d’euros contre Meta (DPC irlandaise, mai 2023) pour transferts vers les États-Unis, 746 millions contre Amazon (CNPD luxembourgeoise, juillet 2021), 150 millions contre Google par la CNIL (délibération n° SAN-2021-023, 31 décembre 2021). La majorité des décisions françaises portent toutefois sur quelques dizaines de milliers d’euros et visent des PME.

La suite logique : notre guide de mise en conformité RGPD, qui déroule la démarche étape par étape. Pour un organisme de taille moyenne, l’essentiel du travail tient en trois pièces — un registre à jour, des durées de conservation défendables, une procédure de réponse aux droits — que les plateformes de conformité comme Legiscope automatisent.

FAQ

Le RGPD s’applique-t-il aux petites entreprises et aux associations ?

Oui, sans seuil. Le RGPD ne prévoit aucune exemption liée à la taille ou au statut. La seule modulation est le principe de proportionnalité : les mesures attendues d’une association de dix bénévoles ne sont pas celles d’un groupe bancaire. L’exemption de registre pour les organismes de moins de 250 salariés (Art. 30(5)) est très étroite et ne s’applique quasiment jamais en pratique.

Quelle différence entre RGPD et loi Informatique et Libertés ?

Le RGPD est le socle européen d’application directe. La loi n° 78-17 du 6 janvier 1978, réécrite en 2018, l’articule avec le droit français et exerce les marges de manœuvre laissées aux États membres : âge du consentement numérique fixé à 15 ans, traitements de santé, données d’infraction, pouvoirs de la CNIL. Les deux textes se lisent ensemble.

Le consentement est-il toujours nécessaire ?

Non, et c’est le contresens le plus répandu. Le consentement n’est que l’une des six bases légales. La gestion d’un contrat client repose sur l’Art. 6(1)(b), la paie sur l’obligation légale, la prévention de la fraude sur l’intérêt légitime. Le consentement s’impose en revanche pour les cookies non essentiels et la prospection commerciale par voie électronique auprès de particuliers.

Par où commencer une mise en conformité ?

Par la cartographie : lister les traitements, les données, les outils et les sous-traitants. Sans cet inventaire, rien n’est réalisable — ni le registre, ni les durées de conservation, ni la réponse aux demandes d’accès.