Données personnelles et RGPD : de quoi s’agit-il ?

Toute information se rapportant à une personne physique, identifiée ou identifiable, est une donnée personnelle. Une personne peut être identifiée :

• directement, par exemple par son nom et son prénom ;

• indirectement, par un identifiant (n° de client, n° de téléphone, n° de Sécurité sociale), une donnée biométrique, des éléments spécifiques à son identité physique, génétique… ou le croisement de plusieurs données (adresse postale, date de naissance, etc.)⁽¹⁾.

Les données personnelles peuvent avoir un caractère sensible, comme c’est le cas lorsqu’il s’agit de données relatives à la santé d’une personne par exemple. Les données personnelles traitées par les entreprises peuvent être celles de clients et prospects, mais aussi celles de salariés et fournisseurs.

Un traitement de données personnelles est une opération, ou un ensemble d’opérations, portant sur des données personnelles, quel que soit le procédé utilisé : collecte, enregistrement, organisation, conservation, modification, extraction, consultation, utilisation, communication par transmission, diffusion, effacement...

Afin de garantir le respect de la vie privée des personnes, les données personnelles font l'objet d'une protection particulière par la loi.

Ce que dit le RGPD

L’entrée en application du Règlement Général sur la Protection des Données (RGPD) le 25 mai 2018 a renforcé les obligations en matière de protection des données personnelles. Tous les organismes (privés et publics) doivent mettre en place une organisation adaptée à leur taille et aux risques liés aux traitements des données personnelles qu’ils mettent en œuvre. Ces risques sont évalués en fonction des traitements réalisés, du volume des données personnelles traitées ou encore de leur sensibilité.

Le RGPD, qui harmonise au niveau européen la réglementation sur la protection des données personnelles, a pour objectif de protéger les personnes physiques du traitement excessif de leurs données personnelles, en particulier contre la collecte de leurs données à leur insu.

Chef d’entreprise, le RGPD s’applique ainsi dès lors que⁽¹⁾ :

• votre entreprise, établie sur le territoire de l’Union Européenne, met en œuvre un traitement de données personnelles pour son propre compte et en définit les objectifs et les moyens ;

• votre entreprise, établie sur le territoire de l’Union Européenne, réalise un traitement de données à caractère personnel pour le compte d’un autre organisme, en qualité de sous-traitant au sens du RGPD ;

• votre entreprise fait appel à un sous-traitant établi sur le territoire de l’UE pour traiter des données personnelles ;

• les activités de traitement sont liées à une offre de biens ou de services à destination de personnes situées sur le territoire de l’UE ou au suivi du comportement de personnes situées sur le territoire de l’UE, si votre responsable du traitement de données ou votre sous-traitant ne sont pas établis sur le territoire de l’UE.

Conformité : quelles sont vos obligations au titre du RGPD ?

Qu’elle agisse en qualité de responsable de traitement ou de sous-traitant, votre entreprise est soumise à une obligation de protection des données personnelles qu’elle traite.

Pour vous mettre en conformité avec le RGPD, vous devez mettre en œuvre une organisation adaptée à la taille de votre entreprise et à la sensibilité des données personnelles traitées. Il vous incombe notamment de :

• Mettre en place une gouvernance et désigner un Délégué à la Protection des données (DPO), si vous traitez des données sensibles ou si votre activité vous amène à réaliser un suivi régulier et systématique des personnes à grande échelle. Quand bien même ce ne serait pas le cas de votre entreprise, la Commission Nationale de l’Informatique et des Libertés (CNIL) recommande fortement la désignation d'un DPO.

• Identifier précisément les objectifs à atteindre et ne collecter que les données strictement nécessaires à l’atteinte de ces objectifs.

• Tenir un registre listant les traitements de données et permettant de démontrer votre conformité au RGPD. Ce registre doit recenser, entre autres : les objectifs poursuivis par chaque traitement ; les catégories de personnes concernées et de données utilisées ainsi que les destinataires des données (à qui les données sont communiquées) ; les durées de conservation de ces données ; les mesures de sécurité nécessaires et, le cas échéant, les transferts de données à caractère personnel en dehors de l’UE ou à une organisation internationale.

• Faire régulièrement le tri dans les données que vous traitez selon leur pertinence, leur nature, les personnes y ayant accès, la nécessité de les conserver…

• Toujours respecter les droits des personnes concernées par le traitement de données personnelles, en les informant notamment des modalités de traitement de leurs données (mentions d’informations) et en leur permettant d’exercer le plus simplement possible leurs droits (d’accès, de rectification, d’opposition, d’effacement, à la portabilité et à la limitation, en prévoyant notamment une adresse de contact permettant de recueillir ces demandes).

• Sécuriser les données par la mise en œuvre de mesures techniques et organisationnelles : charte informatique ; protection de votre site Internet, de vos comptes et profils utilisateurs ; mise en place et gestion des habilitations ; procédures de sauvegardes régulières et de récupération des données, sécurisation physique des données contenues dans des documents papier…

• Prendre en compte les enjeux liés à la protection des données, via notamment l’application de ces principes, dès la phase de conception du produit ou du service et par défaut, assurer un niveau de protection des données personnelles.

Les risques encourus

En cas de non-conformité au RGPD

En cas de manquement aux obligations du RGPD dans le cadre de votre activité, la CNIL peut prononcer l’une ou plusieurs des mesures suivantes :

• Un rappel à l'ordre ;

• Une injonction de se mettre en conformité. Cette injonction peut être assortie d'une astreinte dont le montant est plafonné à 100 000 € par jour de retard⁽²⁾ ;

• Une amende administrative pouvant s’élever jusqu’à 20 millions d’euros ou 4% de votre chiffre d’affaires annuel mondial ;

• Une limitation temporaire ou définitive du traitement des données, son interdiction ou le retrait d'une autorisation ;

• Le retrait d'une certification ;

• La suspension des flux de données adressées à un destinataire situé dans un pays tiers ou à une organisation internationale ;

• Une suspension partielle ou totale de la décision d'approbation des règles d'entreprise contraignantes (BCR).

Au-delà, votre entreprise risque également :

• Une sanction pénale pouvant atteindre 300 000 € (pour les personnes physiques) ou 1,5 million d’euros (pour les personnes morales) et 5 ans d’emprisonnement⁽³⁾.

• Le mécontentement des personnes concernées (clients, salariés, fournisseurs…) : de manière générale, elles sont de plus en plus sensibilisées sur les traitements de leurs données personnelles et les risques qu’ils peuvent engendrer pour leurs droits et libertés. Elles n’hésitent plus à interroger les organismes sur la manière dont sont traitées leurs données personnelles et à exprimer publiquement leur mécontentement, voire à saisir la CNIL.

• Un préjudice d’atteinte à l’image et à la réputation : l’image d’une entreprise ne respectant pas ses obligations en matière de protection des données personnelles peut être fortement entachée dans l’espace public (médias, réseaux sociaux…).

En cas de violation des données personnelles suite à une cyberattaque

Votre entreprise est victime d’une cyberattaque et des données personnelles ont été détruites, perdues, altérées, volées ou divulguées ? Cet incident constitue une « violation de données ».

Si cette violation est susceptible de présenter un risque pour les droits et libertés des personnes concernées, vous devez la signaler à la CNIL dans les 72 h. En cas de risques élevés pour ces personnes, vous devez également les en informer.

L’impact d'une attaque cyber peut s’avérer extrêmement préjudiciable. La Responsabilité Civile de votre entreprise peut être engagée en cas de « faille de sécurité » entraînant la destruction, la perte, la modification indue ou falsification, la divulgation ou l’accès non-autorisé à des données à caractère personnel lors de leur traitement. Toute personne ayant subi un dommage matériel, une perte financière et/ou un préjudice moral du fait d’une atteinte à ses données personnelles peut vous demander un dédommagement au titre de la Responsabilité Civile de votre entreprise.

Outre cette mise en cause, une cyberattaque avec violation de données personnelles peut fortement impacter l’image et la réputation de votre entreprise, occasionner une perte de chiffre d’affaires conséquente et de forts préjudices économiques pouvant aller jusqu'à l'arrêt total de votre activité. Une perte de la valeur patrimoniale et un risque accru de défaillance sont également à craindre.

Le RGPD, un investissement stratégique pour votre entreprise

Souvent perçu comme une contrainte réglementaire ou un investissement supplémentaire, le RGPD constitue un levier économique pour les entreprises. En effet, se mettre en conformité avec le RGPD ne se résume pas à éviter une sanction administrative et financière : l’enjeu est de protéger vos actifs, de gagner en compétitivité et de renforcer durablement la confiance de vos parties prenantes (clients, partenaires, salariés, fournisseurs).

En imposant des obligations de transparence lors d’une violation de données, le RGPD incite les entreprises à investir dans des dispositifs de protection plus robustes et à adopter des pratiques de cybersécurité plus rigoureuses. Cette logique de prévention cyber a un effet immédiat : les risques d’usurpation d’identité et les coûts liés à la gestion des incidents cyber baissent significativement. Selon une étude publiée par la CNIL en juin 2025⁽⁵⁾, les notifications obligatoires imposées par le RGPD auraient ainsi permis d’éviter en France entre 90 et 219 millions d’euros de pertes liées à l’usurpation d’identité. Et ce sont les entreprises elles-mêmes (82 %)⁽⁵⁾ qui bénéficient de ces économies.

Le simple fait de limiter la collecte de données, de chiffrer les informations sensibles ou d’investir dans des systèmes informatiques sécurisés contribue à protéger votre écosystème d’éventuelles cyberattaques et des conséquences associées (indemnisations des préjudices cyber, enquêtes, pertes d’exploitation, réparation des atteintes à l’image…). Se mettre en conformité avec le RGPD envoie donc un signal fort à vos parties prenantes, de plus en plus attentives à la façon dont leurs données sont sécurisées : celui d’une entreprise responsable, fiable et digne de confiance.

Dans un contexte où la protection des données est devenue un critère de choix et un enjeu de réputation, le RGPD constitue ainsi un investissement stratégique, y compris pour les TPE/PME. En l’intégrant à votre politique de gestion des risques ou de RSE (Responsabilité Sociétale des Entreprises), vous faites plus que respecter la loi : vous valorisez votre image, sécurisez votre croissance et préparez votre entreprise aux exigences de l’économie numérique.

Comment assurer la sécurité du traitement des données personnelles ?

Pour renforcer la sécurité des données personnelles que vous traitez, il vous incombe de :

• Recenser l’ensemble des traitements de données à caractère personnel au sein de votre entreprise ;

• Apprécier les risques engendrés pour chaque traitement (accès illégitime, modification non désirée ou disparition des données) ;

• Identifier les sources ou menaces de risques (sources humaines interne ou externe, source accidentelle ou malveillante, sources non humaines) ;

• Mettre en œuvre les mesures de sécurité appropriées pour garantir la disponibilité, la confidentialité et l’intégrité des données personnelles ;

• Minimiser les risques de pertes ou de piratage grâce à l’adoption de mesures de prévention adaptées ;

• Supprimer les données personnelles qu’il n’est plus nécessaire de traiter (expiration des durées de conservation, données devenues obsolètes ou non nécessaires au traitement…).

Pour chaque traitement de données personnelles, il convient ainsi de répondre aux questions⁽⁶⁾ :

• Qui ? Identifiez les responsables des services opérationnels traitant les données et établissez la liste de vos sous-traitants ;

• Quoi ? Identifiez les opérations de traitement réalisées ainsi que les catégories de données traitées, en particulier les données susceptibles de soulever des risques en raison de leur sensibilité (par exemple, des données relatives à la santé) ;

• Pourquoi ? Indiquez la ou les finalités pour lesquelles vous collectez ces données (par exemple, une relation commerciale) ;

• Où ? Déterminez les lieux où sont stockées les données et indiquez le pays vers lesquels elles sont éventuellement transférées ;

• Combien de temps ? Indiquez le temps de conservation des données et prévoyez de purger les données une fois ces durées de conservation arrivées à échéance ;

• Comment ? Précisez les mesures de sécurité mises en œuvre pour minimiser les risques ;

• Quelles personnes concernées ? Vérifiez que les personnes concernées ont bien été informées des traitements effectués sur leurs données personnelles et des droits dont elles disposent.

Mise en cause de votre Responsabilité Civile suite à une violation de données personnelles : l’accompagnement de Groupama

Dirigeant, si vous exploitez des données à caractère personnel et que vous êtes victime d’une cyberattaque, vous pourriez être contraint d’indemniser vos clients et/ou fournisseurs en cas de violation de ces données.

Face à ce risque, notre assurance Cyber Up vous protège. La garantie « Cyber Responsabilité », incluse dans notre contrat d’assurance, couvre notamment les frais de défense et conséquences pécuniaires de la Responsabilité Civile en cas de réclamation d’un tiers pour soustraction frauduleuse des données à caractère personnel placées sous votre garde.

En cas d’attaque informatique, avec la garantie « Gestion de crise » prévue au contrat, vous êtes également accompagné par une équipe de consultants juridiques (qui vous aident à répondre à vos obligations réglementaires) et d’experts en cybersécurité (qui établissent avec vous un diagnostic afin de prendre les mesures d’urgence nécessaires).