Le dossier juridique contient :

42 Questions essentielles

4 Modèles de lettres

2 Fiches express

4,5/5

Lire les avis

121 292 utilisateurs ont déjà consulté ce dossier

RGPD : quelles sont les obligations de mise en conformité pour les entreprises ?

Rédigé par Luca Benoiton

Mis à jour le 05 mars 2025

Lire les avis

La mise en conformité au RGPD est essentielle pour protéger les données personnelles et éviter des sanctions coûteuses. Ce dossier pratique vous accompagne pas à pas : comprendre les obligations légales, préparer votre mise en conformité et instaurer des pratiques adaptées. Assurez la protection des données dans votre entreprise et gagnez la confiance de vos partenaires et clients.... Lire la suite

18,00€ TTC

Faites votre choix parmi les 2 options suivantes :

Ce dossier seul :

18€ TTC

Ce dossier + tester notre formule CSE sans engagement !

Un juriste répond à vos questions + Accédez en illimité à tous nos documents dont celui-ci

Recommandé

Rédigé par un juriste

Prêt à l'emploi

Téléchargement immédiat

En bref

Définition : qu'est-ce que la mise en conformité au RGPD ?

Le développement de la sphère numérique génère, entre autres conséquences, une collecte et un traitement accrus des données personnelles des individus (internautes, salariés, clients d'un programme de fidélités, abonnés à divers services...).

Ces pratiques, aux multiples avantages notamment commerciaux, comportent de nombreux risques quant à la confidentialité et à la sécurité des données personnelles traitées (nom, adresse, numéro de téléphone, adresse électronique, mots de passe, etc.), et de fait à la préservation de la vie privée des personnes dont les données sont traitées.

À ce titre, depuis plus de 6 ans, elles sont strictement encadrées par le Règlement général sur la protection des données personnelles (RGPD), qui est entré en vigueur dans tous les pays de l'Union européenne le 25 mai 2018, et auquel l'ensemble des entreprises privées françaises (PME comme grandes entreprises) doivent se conformer.

S'ajoute à celui-ci la loi informatique et libertés du 6 janvier 1978, dont le contenu a été entièrement réécrit à la suite de la publication du RGPD.

Notre dossier revient sur les exigences du RGPD auxquelles veiller en entreprise !

CNIL : quel est son rôle dans le respect du RGPD ? Comment évalue-t-elle votre conformité ?

La Commission nationale de l'informatique et des libertés (CNIL) est l'autorité administrative en charge de veiller à la protection des données personnelles, notamment par les entreprises (à l'égard de leurs salariés, de leurs clients, de leurs utilisateurs, etc.).

À cette fin, elle a la possibilité d'effectuer des contrôles, voire de sanctionner les entreprises ne respectant pas le RGPD et ses obligations (mise en demeure, amende administrative, etc.).

Ces contrôles peuvent se faire directement dans votre entreprise, mais également, en ligne, ou par convocation à une audition.

Démarches : comment se mettre en conformité avec le RGPD et respecter les normes obligatoires en vigueur ?

Notre dossier répond à toutes vos questions concernant le respect et la protection des données personnelles au sein de votre entreprise, dans ses rapports internes (gestion du personnel) et externes (clients, concurrents, etc.).

Nous apportons des réponses aux questions suivantes :

Qu'est-ce qu'une donnée personnelle exactement ? De quel type de traitement parle-t-on ? Quelles sont les obligations des entreprises à l'égard du RGPD pour sécuriser le traitement des données personnelles collectées ? Qu'est-ce qu'un registre de traitement de données et dans quels cas sa constitution est-elle obligatoire ? Quand devez-vous réaliser une analyse d'impact ? À qui doivent être communiquées les coordonnées du responsable de traitement ? Quelle est la durée de conservation des données traitées ? Quels documents devez-vous fournir à la CNIL en cas de contrôle ? Que devez-vous faire en cas de violation de données personnelles ? Comment traiter des cas d'incidents ? Quelles sanctions (courrier de mise en demeure, amende, avertissement, etc.) risquez-vous en cas de non-respect des dispositions applicables de la part de la CNIL ?

Dans quels cas utiliser ce dossier ?

Afin d'être en règle en cas de contrôle de la CNIL, et pour éviter toute sanction ou action contre vous, vous devez porter une attention particulière à vos potentielles obligations en matière de données personnelles.

Si votre entreprise traite des données personnelles (notamment de ses clients, de ses salariés, de ses fournisseurs, etc.), sa mise en conformité au RGPD et aux textes nationaux applicables est obligatoire, et doit à ce titre respecter plusieurs démarches.

Celles-ci ont trait à la sécurisation des données personnelles traitées, mais également aux droits et libertés des personnes dont les données sont collectées (recueil de leur consentement explicite, durée de conservation des données, droit d'accès à leurs données, droit à la portabilité et à l'effacement de celles-ci, etc.).

En tant que chef d'entreprise et employeur, vous êtes responsable du traitement des données personnelles effectué par votre entreprise, et il vous appartient (à vous et à vous seul) d'assurer la mise en conformité de celle-ci à la réglementation applicable (avec l'aide éventuelle d'un délégué à la protection des données (DPD ou DPO)).

Pour cela, il convient de réaliser un réel état des lieux de la situation, de manière à mettre en place les mesures de sécurité qui s'imposent (processus interne, tenue des registres imposés par la réglementation, définition des modalités d'obtention du consentement explicite des internautes dont les données sont collectées si celui-ci s'impose, sécurisation des activités de traitement, verrouillage des données recueillies par le biais de votre site internet, cryptage des documents à risque, détermination de la durée de conservation des données traitées, réalisation d'analyses d'impact, etc.).

Au-delà de simples mesures ponctuelles, vous devez assurer la conformité dans le temps de votre entreprise aux textes et lois applicables, ce qui nécessite une actualisation de vos connaissances.

Contenu du dossier :

Ce dossier vous permet de déterminer les démarches à accomplir pour assurer la conformité de votre entreprise au RGPD et à la loi informatique et libertés. Il vous renseigne sur les obligations posées par la réglementation à l'égard des entreprises, et sur les mesures à prendre pour les respecter afin d'éviter une sanction de la part de la CNIL.

Vous trouverez dans ce dossier, une vue d'ensemble sur :

le RGPD ;
les données personnelles ;
les entreprises concernées par le respect de la réglementation ;
le registre de traitement de données ;
la sécurisation des données personnelles traitées ;
les sanctions ;
votre obligation d'information à l'égard de vos clients et de vos salariés dans le cas d'un traitement de leurs données personnelles ;
le délégué à la protection des données (DPD ou DPO), notamment les situations dans lesquelles il doit être désigné, les conditions de sa nomination et ses missions ;
les droits des personnes dont les données sont collectées (notamment le droit d'accès, de rectification et d'effacement des données).

Des modèles de lettres à télécharger et à compléter ainsi que des fiches explicatives vous accompagne dans vos démarches.

Ce dossier juridique dédié contient :

42 Questions essentielles

I- Être en conformité avec le Règlement Général sur la Protection des Données (RGPD)
À quelle date est entré en application le RGPD ?
Qu'est-ce que le règlement général sur la protection des données (RGPD) ?
Que signifie l'expression "données personnelles" ?
Qu'est-ce que le "traitement" de données personnelles ? De quoi s'agit-il par exemple ?
Qui est concerné par la mise en place du RGPD ?
Quels sont les grands principes du RGPD que votre entreprise doit respecter ?
Qui est responsable de la mise en conformité au RGPD dans une entreprise ?
Est il toujours nécessaire de faire une déclaration préalable à la CNIL ?
Est-il obligatoire de constituer un registre de traitement de données en entreprise ?
Quels sont les fichiers qui sont soumis à la législation relative à la protection des données personnelles ?
La collecte de données auprès de personnes mineures est-elle possible ?
Faut-il informer la personne de ses droits en matière de données personnelles (clients, salariés, etc.) ?
Dois-je toujours signaler les violations de données personnelles à la CNIL ?
Quels sont les risques en cas de non-conformité au RGPD (sanctions, etc.) ?
En plus des données de nos clients, doit-on sécuriser les données personnelles de nos salariés ?
Pendant combien de temps puis-je conserver les données personnelles ?
Est-il obligatoire de nommer un Délégué à la Protection des Données (DPD ou DPO) ?
Comment désigner le délégué à la protection des données (DPD ou DPO) au sein de mon entreprise ?
Quelles sont les missions du Délégué à la protection des données (DPD ou DPO) ?
Le délégué à la protection des données (DPD) est-il un salarié protégé ?
Comment se passe un contrôle de la CNIL ?
II- Comment assurer une bonne protection des données personnelles ?
Un client me demande l’accès à ses données personnelles, sous quel délai dois-je lui répondre ?
Je sous-traite une partie de mon activité : qu’en est-il des obligations du sous-traitant pour le RGPD ?
Comment sécuriser les données au sein de mon entreprise ?
Comment former les salariés à la protection des données personnelles ?
Qu’est-ce que le profilage en termes de données personnelles ? Ai-je le droit de recourir au profilage dans le cadre de mon activité ?
Comment est-il possible d'obtenir le consentement explicite des personnes sur le recueil de leurs données personnelles ?
Dois-je avoir une autorisation de la CNIL avant de mettre en place des vidéos de surveillance dans mon entreprise ?
Il m'est demandé l’application du droit à l’oubli. Dois-je faire droit à cette demande ?
Dois-je adapter mes pratiques en effectuant une étude d’impact ?
La situation de mon entreprise a changé. Quand et comment modifier ma déclaration à la CNIL ?
Suis-je tenu de mettre à jour les données dont je dispose ?
Puis-je conserver les numéros de carte de crédit de mes cyberclients ?
Puis je céder, louer ou encore mettre à disposition les données personnelles collectées grâce à mon site marchand ?
J'ai une boutique sur internet, quels sont les risques en cas d'un piratage des données personnelles de mes clients ?
À la suite d'un problème technique, toutes les données confidentielles de mes clients ont été rendues publiques. Que faire pour me protéger des réclamations ?
J'ai une boutique sur Internet, que dois-je faire pour la sécurisation des paiements de mes clients ?
Un de mes clients a été victime d’une usurpation d’identité numérique, suis-je responsable ?
Puis-je être tenu responsable en cas de violation de données personnelles suite à une cyber-attaque ?
Puis-je exercer une action en concurrence déloyale contre un concurrent violant le RGPD ?

4 Modèles de lettres

Demander le droit d'accès à ses salariés pour la collecte de données
Modèle pour informer les clients de la fuite de leurs données
Lettre de réponse à une demande d’accès aux données personnelles
Lettre informant du report d’accès aux données personnelles

2 Fiches express

Désigner un délégué à la protection des données (DPD)
Cyber commerçants : quelles obligations avez-vous lorsque vous traitez les données personnelles de vos clients ?

Les notions clés abordées dans ce dossier juridique :

RGPD

Règlement général sur la protection des données

Loi Informatique et Libertés

Données personnelles

Traitement de données

Droit à l'oubli (à l'effacement)

Délégué à la Protection des Données (DPD)

Data Protection Officer (DPO)

CNIL

Risques et sanctions

Contrôle

Données sensibles

Droit d'accès

Principe de minimisation

Collecte

Droit de rectification

E-commerce

Sécurité

La question du moment

J'ai une boutique sur internet, quels sont les risques en cas d'un piratage des données personnelles de mes clients ?

Dès lors qu'un site internet permet de réaliser des achats en ligne, il requiert en principe du client que celui-ci renseigne ses coordonnées bancaires.

S'agissant de données relatives à une personne physique et permettant son identification, celles-ci sont classées parmi les données à caractère personnel, et bénéficient en tant que telles d'une protection légale. Celle-ci a été renforcée par l'entrée en application, le 25 mai 2018, du RGPD.

À ce titre, le responsable de traitement (soit l'entreprise qui collecte et traite ces données) est soumis à plusieurs obligations en vue de garantir (1) :

la parfaite information des personnes concernées par le traitement de leurs données personnelles ;
le respect de la confidentialité et de la sécurité de ces données.

Toutefois, des cyberattaques restent possibles : celles-ci peuvent avoir pour but soit d'utiliser les coordonnées bancaires ainsi recueillies, soit de désorganiser le site et de nuire à l'image de son titulaire.

Dans le cas d'une cyberattaque des données personnelles que votre entreprise a traitées, votre responsabilité professionnelle est susceptible d'être engagée.

Vous vous exposez à des sanctions pénales et administratives, notamment dans l'hypothèse où :

il est établi que les mesures de sécurité des données requises n'ont pas été respectées, ou se sont révélées insuffisantes pour éviter la fraude bancaire (2) ;
vous n'avez pas respecté votre obligation d'informer l'intéressé et la CNIL de la violation de donnée à caractère personnel que vous déteniez (3).

Cependant, s'il apparaît avec certitude que les données bancaires piratées ne l'ont pas été depuis votre site internet ou si celui-ci n'a reçu aucune visite de la victime, aucun manquement à l'obligation de sécurisation des données personnelles ne peut en principe vous être reproché. Le cas échéant, la banque de la personne victime du paiement non autorisé pourra être amené à la rembourser, voire à se retourner contre l'auteur de cette infraction si celui-ci a été identifié.

Dans l'hypothèse où votre fichier client a été piraté, vous avez aussi la possibilité d'engager un recours pénal à l'égard de l'auteur de l'attaque, par le biais d'un dépôt de plainte (4). L'engagement de cette action peut vous permettre, dans un second temps, de demander une indemnisation au pirate en dédommagement du préjudice subi, notamment si vous a fait l'objet de poursuites de la part de vos clients ou de la CNIL.

Si vous avez sollicité un hébergeur (sous-traitant) pour conserver ces données, vous disposez également d'un recours à son encontre si un manquement contractuel peut lui être reproché.

En somme, il n'existe pas de risque zéro en cybersécurité. Vous avez donc une obligation de moyens renforcée (à distinguer de l'obligation de résultat) pour sécuriser les données personnelles en votre possession et devez mettre en œuvre toutes les mesures nécessaires pour les protéger. À défaut, votre responsabilité pourrait être engagée.

Le mot de l'auteur

La mise à jour du 05 mars 2025 concerne :

En 2024, la CNIL a prononcé 87 sanctions (à hauteur de 55 millions d'euros), 180 mises en demeure et 64 rappels aux obligations légales dans le cadre de la mise en œuvre de son action répressive. Pour en savoir plus à ce sujet, téléchargez notre dossier !

La mise à jour du 29 novembre 2024 concerne :

La Cour de Justice de l'Union européenne (CJUE) a récemment précisé qu'un concurrent pouvait former un recours pour concurrence déloyale envers une entreprise qui ne respectait pas les dispositions du RGPD (CJUE, 4 octobre 2024, aff. C-21/23). Plus de détails au sein de ce dossier !

La mise à jour du 13 mars 2024 concerne :

Le RGPD vous apparaît comme une machine complexe ? Notre dossier détaille point par point ce mastodonte de réglementation. Faites le point sur votre conformité facilement.

Luca Benoiton Juriste