Depuis son entrée en application le 25 mai 2018, le Règlement général sur la protection des données (RGPD) s'est imposé comme le texte de référence mondial en matière de protection des données à caractère personnel. Il n'est pourtant pas un texte isolé : il s'inscrit dans une architecture juridique européenne plus large, portée par des institutions, une jurisprudence abondante et un réseau d'autorités nationales qui en assurent l'application quotidienne. Cette cartographie a vocation à servir de point d'entrée durable pour comprendre l'ensemble de cet édifice, avant d'en explorer les aspects les plus techniques dans des analyses dédiées.
1. Un règlement, une philosophie
Le Règlement (UE) 2016/679, dit RGPD, a remplacé la directive 95/46/CE qui encadrait depuis 1995 le traitement des données à caractère personnel dans l'Union européenne. Ce changement de forme juridique n'est pas anodin : une directive devait être transposée par chaque État membre, ce qui produisait des divergences nationales significatives, tandis qu'un règlement s'applique directement et uniformément dans l'ensemble des vingt-sept États membres. Le RGPD poursuit un double objectif que le règlement énonce dès son article 1 : protéger les droits et libertés fondamentaux des personnes physiques, en particulier leur droit à la protection des données à caractère personnel, tout en garantissant la libre circulation de ces données au sein du marché intérieur.
Cette double finalité explique la structure singulière du texte. Le RGPD n'est pas seulement un texte de police administrative imposant des formalités aux entreprises ; il consacre un droit fondamental, reconnu par l'article 8 de la Charte des droits fondamentaux de l'Union européenne, distinct du droit au respect de la vie privée protégé par l'article 7. Cette autonomie du droit à la protection des données a été précisée par la Cour de justice de l'Union européenne dans son arrêt Google Spain (CJUE, 13 mai 2014, C-131/12), qui a reconnu pour la première fois un droit au déréférencement opposable aux moteurs de recherche, en articulant la protection des données personnelles avec la liberté d'expression et le droit à l'information du public.
Le RGPD s'applique à tout traitement de données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, mais également, en vertu de son article 3, à des traitements effectués hors de l'Union dès lors qu'ils visent à offrir des biens ou des services à des personnes situées dans l'Union ou à suivre leur comportement. Cette extraterritorialité assumée explique en grande partie l'influence normative que le texte a exercée bien au-delà des frontières européennes.
2. Les principes fondamentaux : l'architecture de l'article 5
L'ensemble du dispositif RGPD repose sur six principes énoncés à l'article 5, auxquels s'ajoute un principe transversal de responsabilisation.
- Licéité, loyauté et transparence — tout traitement doit reposer sur une base juridique parmi les six de l'article 6 (consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime) et la personne concernée doit être informée de manière claire et accessible.
- Limitation des finalités — une donnée collectée pour un objectif déterminé ne peut être réutilisée à des fins incompatibles avec cet objectif initial.
- Minimisation — seules les données strictement nécessaires à la finalité poursuivie peuvent être collectées.
- Exactitude — les données doivent être tenues à jour et leur rectification doit être possible à tout moment.
- Limitation de la conservation — la durée de conservation doit être proportionnée à la finalité ; au-delà, les données doivent être supprimées ou anonymisées.
- Intégrité et confidentialité — des mesures de sécurité techniques et organisationnelles appropriées doivent être mises en œuvre pour protéger les données.
À ces six principes s'ajoute le principe d'accountability, ou responsabilisation, consacré à l'article 5§2 : le responsable du traitement doit non seulement respecter ces principes, mais être en mesure de démontrer qu'il les respecte. Cette bascule vers une logique de preuve documentée — registre des traitements, analyses d'impact, politiques de confidentialité, contrats avec les sous-traitants — constitue l'une des ruptures majeures du RGPD par rapport au droit antérieur, qui reposait davantage sur des formalités préalables auprès des autorités de contrôle.
3. Les droits reconnus aux personnes concernées
Le chapitre III du RGPD (articles 12 à 23) égrène les droits que toute personne physique peut exercer sur ses données.
- Droit d'accès (art. 15) — obtenir la confirmation qu'une donnée est traitée et en recevoir une copie.
- Droit de rectification (art. 16) — corriger toute donnée inexacte ou incomplète.
- Droit à l'effacement (art. 17) — dit « droit à l'oubli », obtenir la suppression dans des cas déterminés par le règlement.
- Droit à la limitation (art. 18) — geler temporairement l'utilisation d'une donnée contestée.
- Droit à la portabilité (art. 20) — récupérer ses données dans un format structuré pour les transmettre à un autre responsable de traitement ; innovation propre au RGPD.
- Droit d'opposition (art. 21) — s'opposer à un traitement fondé sur l'intérêt légitime ou réalisé à des fins de prospection.
- Protection contre les décisions automatisées (art. 22) — encadrement strict du profilage et des décisions individuelles automatisées, assorti d'exceptions limitativement énumérées.
Ces droits ne sont pas absolus : ils s'exercent dans les conditions et limites prévues par le règlement, et leur mise en œuvre pratique soulève des difficultés récurrentes que l'Observatoire examine dans des analyses dédiées, notamment s'agissant des recours ouverts lorsque ces droits sont méconnus à la suite d'une violation de données.
4. Les obligations des responsables de traitement et des sous-traitants
Le RGPD distingue le responsable du traitement, qui détermine les finalités et les moyens du traitement, du sous-traitant, qui traite des données pour le compte du premier. Cette distinction, apparemment simple, structure l'ensemble des obligations contractuelles imposées par l'article 28, qui exige la conclusion d'un contrat de sous-traitance encadrant précisément les conditions du traitement délégué.
Parmi les obligations les plus structurantes figurent la tenue d'un registre des activités de traitement (article 30), l'obligation de procéder à une analyse d'impact relative à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes (article 35), et l'obligation de notifier les violations de données à l'autorité de contrôle compétente dans un délai de soixante-douze heures, ainsi qu'aux personnes concernées lorsque le risque est élevé (articles 33 et 34). Cette dernière obligation, particulièrement sensible pour les personnes concernées, fait l'objet d'une analyse dédiée dans la présente collection, tant les enjeux pratiques et contentieux qu'elle soulève sont importants.
Le principe de privacy by design et by default (article 25) impose enfin d'intégrer la protection des données dès la conception des produits et services, et de configurer par défaut les paramètres les plus protecteurs pour les personnes concernées.
5. Les acteurs qui font vivre le RGPD
Le RGPD ne se comprend pas sans les institutions qui en assurent l'interprétation et l'application. Le tableau suivant en propose une cartographie synthétique.
| Acteur | Rôle | Niveau |
|---|---|---|
| Commission européenne | Propose et fait évoluer la législation ; adopte les décisions d'adéquation pour les transferts internationaux | Européen |
| Comité européen de la protection des données (CEPD/EDPB) | Assure la cohérence d'application entre autorités nationales, adopte des lignes directrices interprétatives | Européen |
| Cour de justice de l'Union européenne (CJUE) | Interprète le règlement à titre préjudiciel et fixe la jurisprudence de référence | Européen |
| Autorités nationales de contrôle (CNIL en France) | Contrôlent, sanctionnent, instruisent les plaintes des personnes concernées | National |
| Délégué à la protection des données (DPO) | Conseille, contrôle en interne la conformité, point de contact avec l'autorité de contrôle | Organisationnel |
| Juridictions nationales | Statuent sur les actions en réparation et les litiges entre particuliers et organisations | National |
Le mécanisme dit de « guichet unique » (one-stop-shop), prévu à l'article 56, permet à une autorité de contrôle « chef de file » de coordonner l'instruction d'un dossier transfrontalier, sous le contrôle de cohérence du CEPD. Ce mécanisme, souvent méconnu du grand public, explique pourquoi certaines sanctions prononcées contre de grandes plateformes numériques relèvent d'autorités de contrôle d'autres États membres que la France, en fonction du lieu de leur établissement principal dans l'Union.
6. Contrôle et sanctions : une architecture graduée
L'article 83 du RGPD confère aux autorités de contrôle un pouvoir de sanction pouvant atteindre, selon la nature du manquement, 10 ou 20 millions d'euros, ou 2 % à 4 % du chiffre d'affaires annuel mondial de l'entreprise concernée si ce montant est plus élevé. Ce pouvoir s'accompagne de mesures correctrices moins spectaculaires mais tout aussi structurantes : rappel à l'ordre, mise en demeure, limitation temporaire ou définitive du traitement.
7. Les voies de recours pour les personnes concernées
Le RGPD ouvre aux personnes concernées trois voies de recours qui peuvent se cumuler : la réclamation auprès d'une autorité de contrôle (article 77), le recours juridictionnel contre l'autorité de contrôle elle-même en cas d'inaction (article 78), et l'action en justice directement dirigée contre le responsable de traitement ou le sous-traitant (article 79), à laquelle s'ajoute le droit à réparation du préjudice matériel ou moral subi, consacré à l'article 82.
L'article 80 permet en outre à une personne concernée de mandater une association pour introduire une réclamation ou une action en son nom, ouvrant la voie à des formes d'action collective dont le régime demeure, en France comme dans plusieurs États membres, en construction.
8. Le RGPD face aux nouveaux défis
Le RGPD n'a pas été conçu dans un vide normatif figé : il s'articule désormais avec d'autres textes européens majeurs, notamment le règlement sur l'intelligence artificielle (règlement (UE) 2024/1689) et les textes relatifs aux services et marchés numériques (DSA et DMA). Ces articulations, complexes, soulèvent des questions inédites sur l'application de l'article 22 du RGPD aux systèmes de décision automatisée fondés sur l'intelligence artificielle, ou sur la computation entre régimes de sanction distincts. Ces sujets, en évolution rapide, feront l'objet d'analyses spécifiques actualisées au fil de leur clarification par les autorités et les juridictions.
Repères chronologiques
| Date | Évènement |
|---|---|
| 1995 | Directive 95/46/CE, premier cadre européen harmonisé de protection des données |
| 27 avril 2016 | Adoption du règlement (UE) 2016/679 |
| 25 mai 2018 | Entrée en application du RGPD dans l'ensemble de l'Union européenne |
| 13 mai 2014 | Arrêt Google Spain (C-131/12) — reconnaissance du droit au déréférencement |
| 6 octobre 2015 | Arrêt Schrems I (C-362/14) — invalidation du Safe Harbor |
| 16 juillet 2020 | Arrêt Schrems II (C-311/18) — invalidation du Privacy Shield |
| 4 mai 2023 | Arrêt Österreichische Post (C-300/21) — cadre du droit à réparation |
| 5 décembre 2023 | Arrêt Deutsche Wohnen (C-807/21) — responsabilité de l'entreprise au sens économique |
| 7 décembre 2023 | Arrêt SCHUFA Holding (C-634/21) — décision automatisée et scoring de solvabilité |
| 2024 | Adoption du règlement européen sur l'intelligence artificielle (AI Act) |
Pour aller plus loin
Cette cartographie constitue le point d'entrée d'une série d'analyses que l'Observatoire européen des droits numériques publiera progressivement : la qualification juridique des violations de données et les obligations de notification, le régime du préjudice moral tel que précisé par la Cour de justice, les voies de recours individuelles et collectives ouvertes aux personnes concernées, le rôle et l'indépendance du délégué à la protection des données, ainsi que l'articulation du RGPD avec le règlement sur l'intelligence artificielle. Chacune de ces analyses approfondira l'un des mécanismes ici présentés dans ses grandes lignes.
Sources primaires : Règlement (UE) 2016/679 du 27 avril 2016 ; Directive 95/46/CE ; Charte des droits fondamentaux de l'Union européenne, articles 7 et 8.