La conformité RGPD désigne l’ensemble des mesures qu’une organisation met en place pour respecter le règlement général sur la protection des données personnelles, applicable dans toute l’Union européenne. Mesurer cette conformité suppose de regarder au-delà des déclarations d’intention : ce sont les sanctions, les procédures de contrôle et les obligations documentaires qui révèlent le niveau réel d’application du règlement.
Sanctions RGPD : répartition par type de manquement
Les données du bilan 2025 de la CNIL permettent de comparer les motifs de sanction les plus fréquents. Sur 83 sanctions prononcées en 2025, la procédure simplifiée (visant des structures de taille modeste) en représente 67. La répartition par type de manquement éclaire les priorités réelles du régulateur.
A lire également : Qu'est-ce qui a remplacé PPTP ?
| Type de manquement | Nombre de sanctions (2025) | Part sur le total |
|---|---|---|
| Traceurs et cookies (consentement, refus) | 21 | Environ un quart |
| Défauts de sécurité des données | Deuxième poste | Part significative |
| Autres manquements (information, droits, registre) | Reste des 83 sanctions | Majorité restante |
Ce tableau montre que les traceurs publicitaires constituent le premier motif de sanction, devant les défauts de sécurité. Pour une organisation qui débute sa mise en conformité, la gestion du consentement aux cookies représente un risque de sanction immédiat, souvent sous-estimé par rapport aux obligations plus connues comme le registre des traitements.
A lire aussi : Qui réalise les audits ISO 27001 ?
Conformité RGPD et intelligence artificielle : nouvelles exigences documentaires
La conformité RGPD ne se limite plus aux traitements classiques (fichiers clients, newsletters, formulaires). La CNIL étend ses recommandations aux systèmes d’IA utilisant des données personnelles.
Cinq points documentaires doivent être couverts lorsqu’un système d’IA traite des données à caractère personnel :
- La finalité précise du traitement par le système d’IA, distincte de la finalité générale du projet
- La base légale retenue (consentement, intérêt légitime, exécution contractuelle) et sa justification spécifique au contexte IA
- Les mesures d’information des personnes concernées, adaptées au fonctionnement du modèle
- La minimisation des données collectées pour l’entraînement ou l’inférence
- Les mesures de sécurité techniques appliquées au cycle de vie du modèle
La CNIL précise que le RGPD et le règlement européen sur l’IA peuvent s’appliquer simultanément à un même système. Une organisation qui développe ou déploie un outil d’IA doit donc documenter sa conformité sur deux cadres réglementaires parallèles, ce qui alourdit la charge mais réduit le risque de contrôle non anticipé.
Registre des traitements et responsable de traitement : ce que la CNIL vérifie
Le registre des traitements reste la pièce centrale de toute démarche de conformité RGPD. Il doit lister chaque activité de traitement de données personnelles avec des informations précises : coordonnées du responsable de traitement, finalités, catégories de personnes concernées, durées de conservation et mesures de sécurité.
En revanche, la tenue d’un registre formel ne suffit pas à démontrer la conformité. La CNIL vérifie aussi l’effectivité des droits des personnes concernées (accès, rectification, effacement) et la réalité des procédures internes en cas de violation de données.
Durée de conservation : un point de contrôle fréquent
Chaque catégorie de données doit être associée à une durée de conservation justifiée. Conserver des données personnelles sans limite de durée constitue un manquement que la procédure simplifiée de la CNIL sanctionne régulièrement. La définition de cette durée repose sur la finalité du traitement : une fois l’objectif atteint, les données doivent être supprimées ou anonymisées.
Interaction RGPD et règlement sur les services numériques (DSA)
L’EDPB (Comité européen de la protection des données) a publié les Guidelines 3/2025 consacrées à l’articulation entre le RGPD et le DSA. Cette interaction concerne trois domaines précis : les plateformes en ligne, la publicité ciblée et les mécanismes de recommandation de contenu.
Pour les organisations qui opèrent une plateforme ou qui achètent de la publicité ciblée, la conformité RGPD ne peut plus être évaluée indépendamment du DSA. Les obligations de transparence sur les algorithmes de recommandation imposées par le DSA recoupent les exigences d’information du RGPD vis-à-vis des personnes concernées.
Consentement aux traceurs : un terrain de double obligation
Les cookies publicitaires et les traceurs de profilage se trouvent à l’intersection des deux règlements. Le consentement requis par le RGPD pour le dépôt de traceurs doit être libre, spécifique, éclairé et univoque. Le DSA ajoute des contraintes de transparence sur l’utilisation de ces données à des fins de ciblage publicitaire.
Cette superposition réglementaire explique en partie pourquoi 21 des 83 sanctions CNIL de 2025 concernaient les cookies. Les organisations qui se contentent d’un bandeau de consentement mal configuré s’exposent à des sanctions sur les deux terrains.
PME et conformité RGPD : la procédure simplifiée change la donne
La procédure simplifiée de la CNIL n’est pas un dispositif marginal. Avec 67 sanctions sur 83 prononcées via cette procédure en 2025, elle constitue le mode de sanction dominant. Ce mécanisme vise des manquements de structures plus petites, traités rapidement et avec des montants de sanctions adaptés.
Cela signifie concrètement que la conformité RGPD ne concerne pas uniquement les grandes entreprises disposant d’un service juridique dédié. Les PME, associations et collectivités locales font l’objet de contrôles opérationnels réguliers. Désigner un délégué à la protection des données (DPO), même à temps partiel ou mutualisé, constitue un premier levier pour structurer la démarche.
Le registre des traitements, la politique de conservation des données et la gestion du consentement aux traceurs forment le socle minimal vérifiable. Une organisation qui documente ces trois volets réduit significativement son exposition aux contrôles de la CNIL, que sa taille soit modeste ou non.
