4.1Comprendre le RGPD & les données personnelles
L'essentiel en 30 secondes
- Tout ce qui identifie est une donnée : nom, e-mail, téléphone, adresse IP, photo — directement ou par recoupement.
- Chaque fichier est un traitement : même le petit Excel local de clients est soumis aux règles.
- 5 principes + 1 réflexe : finalité, minimisation, durée limitée, sécurité, information — et repérer son DPO avant d'en avoir besoin.
Mini-cas filé — Karim inventorie ses fichiers
Karim, employé de bureau à Alger, pensait que la protection des données concernait le service informatique. En listant ses 5 outils quotidiens, il découvre trois fichiers pleins de données personnelles : son Excel de clients, un dossier de candidatures et un tableau de suivi RH. Il note pour chacun la finalité, l'ancienneté et qui y accède, puis demande le contact du référent données de son entreprise. Il vient d'inventorier ses premiers « traitements » sans le savoir.
Ce même cas revient dans le cours, le schéma, le script et le défi 48h — et continue en 4.2, 4.3 et 4.4.
1. Un règlement qui s'applique à tous
Le RGPD (en vigueur depuis 2018) encadre toute collecte et tout traitement de données personnelles. Il s'applique à toute organisation, même petite, dès qu'elle gère des données de clients, de salariés ou de prospects — le fichier de Karim comme la base d'une multinationale.
En cas de manquement, les sanctions peuvent atteindre des montants très élevés (jusqu'à 4 % du chiffre d'affaires mondial dans le cadre européen) : la conformité n'est pas une option décorative.
2. Donnée, traitement, données sensibles
Une donnée personnelle = tout ce qui identifie quelqu'un (nom, e-mail, adresse IP, photo, voix…). Un traitement = toute opération dessus : collecter, stocker, consulter, transmettre, supprimer. Le fichier Excel de clients de Karim EST un traitement.
Les données sensibles (santé, opinions, religion, syndicalisme, biométrie…) obéissent à des règles renforcées : leur traitement est par principe interdit sauf exceptions strictes. Un tableau RH contenant des arrêts maladie mérite donc une vigilance particulière.
3. Les principes cardinaux et le DPO
Finalité définie (pourquoi ces données ?), minimisation (en faut-il autant ?), durée de conservation limitée (depuis quand ?), sécurité (qui y accède ?), information des personnes : cinq questions que Karim pose désormais à chacun de ses fichiers.
Le DPO (délégué à la protection des données) ou référent conseille et contrôle : c'est votre interlocuteur pour toute question. À repérer avant d'en avoir besoin, pas le jour d'un incident.
🔎 Exemple concret — 🔎 Exemple concret — Repérer les données autour de soi
L'inventaire de Karim, fait en vingt minutes sur ses outils réels :
Excel clients (noms, téléphones) → traitement commercial, qui y accède ?
Dossier candidatures (CV, e-mails) → depuis quand ? à purger quand ?
Tableau suivi RH (absences, motifs santé ?) → donnée sensible : vigilance renforcée
Questions posées : pourquoi ? combien ? depuis quand ? qui ?
→ contact du référent données noté dans ses favorisLecture : trois fichiers ordinaires, trois traitements à encadrer.
Leçon : chaque fichier de données personnelles est un « traitement ».
Vocabulaire de la section
- RGPD
- Le règlement européen (2018) qui encadre tout traitement de données personnelles, avec des sanctions pouvant atteindre un pourcentage élevé du chiffre d'affaires mondial.
Exemple simple : L'Excel de clients de Karim, comme toute base, doit respecter finalité, minimisation et durée limitée.
Ce que ce n'est pas : une règle réservée aux grandes entreprises ou au seul service juridique.
Réflexe : demander à chaque fichier : quelle finalité, et mon référent est-il identifié ?
- Donnée personnelle
- Toute information se rapportant à une personne identifiable : nom, e-mail, téléphone, adresse IP, photo, plaque, voix…
Exemple simple : Dans le fichier de Karim, « prenom.nom@entreprise.fr » identifie quelqu'un ; une adresse générique de service, non.
Ce que ce n'est pas : uniquement le mot de passe ou les données bancaires.
Réflexe : tester l'identifiabilité : puis-je rattacher ceci à quelqu'un ?
- Donnée sensible
- Catégories renforcées (santé, opinions, religion, syndicalisme, biométrie…) dont le traitement est par principe interdit sauf exceptions strictes.
Exemple simple : Karim repère des motifs de santé dans son tableau RH : accès à restreindre en priorité.
Ce que ce n'est pas : une donnée ordinaire comme un nom ou un e-mail professionnel.
Réflexe : isoler et signaler toute donnée sensible croisée par hasard.
- Traitement
- Toute opération sur des données : collecter, stocker, consulter, transmettre, supprimer.
Exemple simple : Le fichier Excel de clients de Karim EST un traitement, au même titre qu'une grande base.
Ce que ce n'est pas : un document interne libre de toute règle parce qu'il est petit ou local.
Réflexe : compter ses traitements : un fichier de données perso = un traitement.
- Responsable de traitement / DPO
- L'organisation décide des traitements (responsable) ; le délégué à la protection des données conseille et contrôle — votre interlocuteur pour toute question.
Exemple simple : Karim note le nom et le contact de son référent avant d'en avoir besoin.
Ce que ce n'est pas : un collègue à qui on improvise des réponses juridiques à la place.
Réflexe : avoir le contact du DPO dans ses favoris, comme celui de l'IT.
En pratique — En pratique — Repérer les données personnelles autour de vous
- Listez 5 fichiers/outils que vous utilisez : lesquels contiennent des données personnelles (clients, collègues, candidats) ? Vous venez d'inventorier des « traitements ».
- Pour l'un d'eux, posez les questions de base : pourquoi ces données (finalité) ? en faut-il autant (minimisation) ? depuis quand (durée) ? qui y accède ?
- Repérez une donnée sensible éventuelle (santé dans un fichier RH ?) : son traitement obéit à des règles renforcées.
- Identifiez votre DPO ou référent : nom et contact — c'est lui qui tranche les questions.
Script prêt à dire — se présenter au référent données (30 s)
« Bonjour, c'est Karim : je manipule un fichier clients et un tableau RH au quotidien. Je voulais connaître les règles à respecter (finalité, durée, partages) et savoir vers qui me tourner en cas de doute. Pouvez-vous me confirmer la marche à suivre ? »
À dire avant tout problème ; noter la réponse et garder le contact sous la main.
Modèle copier-coller — fiche inventaire d'un traitement
FICHIER / OUTIL : _______________
DONNÉES CONTENUES (perso ? sensibles ?) : _______________
FINALITÉ (pourquoi ?) : _______________
MINIMISATION (tout est-il utile ?) : _______________
ANCIENNETÉ / DURÉE : _______________
QUI Y ACCÈDE : _______________
RÉFÉRENT CONTACTÉ LE : _______________Petite équipe sans DPO
Identifier quand même un référent (dirigeant, responsable) : l'absence de DPO ne suspend pas les principes.
Fichier RH sensible
Restreindre l'accès en priorité et signaler au référent : la santé et les motifs d'absence sont des données renforcées.
Télétravail
Vérifier où sont stockées les copies locales (téléchargements, bureau) : un traitement ne s'arrête pas aux murs du bureau.
Nouvel arrivant
Refaire l'inventaire des 5 outils dès la première semaine : on hérite souvent de fichiers dont on ignore le contenu.
✓ Bonnes pratiques
- Chaque fichier de données perso = un traitement.
- Finalité, minimisation, durée, sécurité.
- DPO repéré avant d'en avoir besoin.
✗ Pièges fréquents
- Réservé aux grandes structures.
- Le fichier RH oublié des règles.
- Collecter « au cas où » sans finalité.
Points clés à retenir
- Une donnée personnelle = tout ce qui permet d'identifier quelqu'un, directement ou par recoupement.
- Chaque fichier contenant de telles données est un traitement soumis aux règles — y compris le petit Excel local.
- Principes cardinaux : finalité définie, minimisation, durée limitée, sécurité, information des personnes.
- Le DPO/référent est votre interlocuteur : le repérer avant d'en avoir besoin.
Défi 48h — appliquez demain
Remplissez la fiche inventaire pour 1 fichier réel (clients, RH ou candidatures) et notez le contact de votre référent dans vos favoris.
- Je peux définir donnée personnelle, traitement et donnée sensible.
- Je sais citer les 5 principes cardinaux.
- J'ai inventorié 1 fichier réel et noté mon référent.
Questions fréquentes
Le règlement concerne-t-il les données de mes collègues ou seulement des clients ?
Les deux : salariés, candidats, prestataires, clients, prospects — toute personne physique. Le fichier RH est même l'un des traitements les plus sensibles de l'entreprise.
Une adresse e-mail professionnelle générique est-elle une donnée personnelle ?
Une adresse de service non nominative, non ; une adresse prénom.nom, oui (personne identifiable). Le critère est toujours l'identifiabilité de la personne.
Le fichier Excel de clients de Karim, au regard des règles, c'est…