3.1Comprendre le RGPD & les données personnelles
L'essentiel en 30 secondes
- Donnée personnelle = notion très large : toute info sur une personne identifiée ou identifiable (nom, e-mail, IP, photo…) ; les données sensibles sont renforcées.
- Tout traitement exige une BASE LÉGALE et une FINALITÉ précise ; principes : minimisation, conservation limitée, sécurité, transparence.
- Accountability : respecter ET pouvoir le démontrer ; distinguer responsable de traitement (décide) et sous-traitant (exécute).
Mini-cas filé — Yacine découvre que « tout est donnée »
Yacine, gérant d'une petite entreprise de services à Alger, stocke les noms, téléphones et e-mails de ses clients dans un tableur partagé, sans règle. En préparant sa mise en conformité, il recense ses fichiers (clients, prospects, salariés) et découvre que presque tout est donnée personnelle. Il note pour chaque usage une finalité précise et une base légale — et cesse la collecte « au cas où ».
Ce même cas revient dans le cours, le schéma, le script et le défi 48h — et continue en 3.2, 3.3, 3.4 et 3.5.
1. La donnée personnelle
Le RGPD (Règlement Général sur la Protection des Données) est le texte de référence de l'UE, d'influence mondiale : il s'applique dès qu'on traite les données de personnes situées dans l'UE. Beaucoup de pays ont leur propre loi, proche dans l'esprit.
Une donnée personnelle : toute information se rapportant à une personne physique identifiée ou identifiable (nom, e-mail, IP, photo…). Certaines sont sensibles (santé, opinions…) et bénéficient d'une protection renforcée.
2. Les grands principes
À comprendre, plus qu'à mémoriser : licéité (une base légale : consentement, contrat, obligation, intérêt légitime), finalité (but précis), minimisation (le nécessaire), exactitude, conservation limitée, sécurité, transparence.
Plus l'accountability (pouvoir démontrer qu'on respecte). Distinguer le responsable de traitement (décide) et le sous-traitant (exécute).
3. Le réflexe de départ
Partir du principe que la plupart des fichiers contiennent des données personnelles : cartographier, puis pour chaque traitement fixer finalité et base légale.
Vérifier la loi de son pays (et le RGPD si données de l'UE) avant d'agir : c'est le socle des sections 3.2 à 3.5.
🔎 Exemple concret — 🔎 Exemple concret — Une notion très large
« C'est presque tout. »
Clients, prospects, salariés, utilisateurs, contacts fournisseurs…
Nom, e-mail, IP, photo, identifiant client, enregistrement vidéo.
→ dès qu'une info permet d'identifier quelqu'un, c'est une donnée personnelle.Résultat : on comprend l'étendue du champ et les principes.
Réflexe : vérifier la loi de son pays (et le RGPD si données de l'UE).
Vocabulaire de la section
- Donnée personnelle
- Toute information se rapportant à une personne physique identifiée ou identifiable (nom, e-mail, IP, photo, identifiant…).
Exemple simple : Les noms, téléphones et e-mails clients du tableur de Yacine.
Ce que ce n'est pas : les chiffres agrégés et anonymes d'une activité.
Réflexe : demander « permet-elle d'identifier quelqu'un ? ».
- Donnée sensible
- Catégorie particulière (santé, opinions, origine, biométrie…) bénéficiant d'une protection renforcée.
Exemple simple : Une fiche santé d'un salarié conservée par Yacine.
Ce que ce n'est pas : un simple e-mail de contact professionnel.
Réflexe : repérer les données sensibles et les traiter à part.
- Base légale
- Fondement qui autorise un traitement (consentement, contrat, obligation légale, intérêt légitime…) ; sans elle, pas de traitement licite.
Exemple simple : Yacine retient le contrat pour gérer ses clients, le consentement pour la newsletter.
Ce que ce n'est pas : traiter des données « parce qu'on en a envie ».
Réflexe : pour chaque traitement : une finalité + une base.
- Responsable vs sous-traitant
- Le responsable décide des finalités et moyens (l'entreprise) ; le sous-traitant traite pour son compte (prestataire, logiciel).
Exemple simple : Yacine décide ; son hébergeur et son logiciel de paie exécutent.
Ce que ce n'est pas : croire que le prestataire décide à la place de l'entreprise.
Réflexe : qui décide ? qui exécute ? chacun ses obligations.
- Accountability
- Obligation non seulement de respecter les règles mais de pouvoir le DÉMONTRER (documentation, registre).
Exemple simple : Yacine garde la trace de ses finalités, bases et durées.
Ce que ce n'est pas : dire « on est en règle » sans aucun document.
Réflexe : ce qui n'est pas documenté n'est pas démontrable.
En pratique — En pratique — Poser les bases de la conformité « données »
- Recensez les données personnelles que vous traitez (clients, prospects, salariés, utilisateurs) et repérez les données sensibles.
- Pour chaque traitement, identifiez sa FINALITÉ précise et sa BASE LÉGALE (consentement, contrat, obligation, intérêt légitime).
- Appliquez la minimisation (ne collecter que le nécessaire) et fixez des durées de conservation ; sécurisez les données.
- Informez clairement les personnes et vérifiez la législation applicable dans votre pays (et le RGPD si vous traitez des données de l'UE).
Script prêt à dire — cadrer la collecte avec l'équipe (1 min)
« À partir d'aujourd'hui, on ne collecte une donnée que si on sait pourquoi et sur quelle base : finalité, base légale, durée. On arrête le “au cas où”. On fait la liste ensemble cette semaine. »
À dire à l'équipe : poser la règle finalité + base avant toute nouvelle collecte.
Modèle copier-coller — fiche traitement de départ
TRAITEMENT : _______________ (ex. fichier clients)
DONNÉES : _______________ | PERSONNES : _______________
FINALITÉ PRÉCISE : _______________
BASE LÉGALE : _______________ (consentement / contrat / obligation / intérêt légitime)
DURÉE : _______________ | SÉCURITÉ : _______________TPE / petit budget
Un tableur suffit : une ligne par traitement (données, finalité, base, durée) relue chaque trimestre — pas besoin d'outil coûteux pour démarrer.
PME Algérie
Yacine recense ses fichiers à Alger : clients, prospects, paie — et vérifie avec son référent local la loi 18-07 applicable à chaque traitement.
Site vitrine + prospects
Formulaire de contact : ne demander que le strict nécessaire (nom, e-mail, message) et annoncer la finalité sous le formulaire.
Prestataires multiples
Lister qui traite pour vous (hébergeur, logiciel, comptable) : le responsable reste vous, même quand le sous-traitant exécute.
✓ Bonnes pratiques
- Partez du principe que la plupart de vos fichiers contiennent des données personnelles.
- Pour chaque traitement : une finalité précise et une base légale.
- Minimisez, sécurisez, informez, et vérifiez la loi de votre pays.
✗ Pièges fréquents
- Traiter des données « parce qu'on en a envie » (sans base légale).
- Collecter « au cas où » (contraire à la minimisation).
- Croire qu'être loin de l'Europe dispense de toute obligation.
Points clés à retenir
- Donnée personnelle = toute info sur une personne identifiable (très large : nom, e-mail, IP, photo…) ; les données sensibles sont renforcées.
- Tout traitement exige une BASE LÉGALE et une FINALITÉ précise ; principes : minimisation, exactitude, conservation limitée, sécurité, transparence.
- Accountability : respecter ET pouvoir démontrer (documentation). Distinguer responsable de traitement (décide) et sous-traitant (exécute).
- Le RGPD a une portée mondiale (données de l'UE) ; beaucoup de pays ont leur propre loi proche — vérifier le régime et l'autorité de votre pays.
Défi 48h — appliquez demain
Listez 3 traitements réels (clients, prospects, salariés) avec pour chacun finalité + base légale, et supprimez 1 donnée collectée « au cas où ».
- Je peux définir une donnée personnelle sans hésiter.
- Je sais citer base légale + finalité pour 3 traitements.
- J'ai supprimé 1 collecte inutile cette semaine.
Questions fréquentes
Le RGPD me concerne-t-il si mon entreprise n'est pas en Europe ?
Peut-être : le RGPD a une portée extraterritoriale — ce qui compte, c'est le fait de traiter des données de personnes situées dans l'UE (biens/services, suivi), pas votre siège. Mais au-delà du RGPD, la plupart des pays ont leur propre législation, souvent inspirée des mêmes principes : vous êtes très probablement soumis à la loi de votre pays. Raisonnez à deux niveaux : (1) la loi de mon pays en priorité ; (2) le RGPD si vous traitez des données de l'UE. En cas d'activité internationale, faites-vous conseiller.
Concrètement, quelles données de mon entreprise sont concernées ?
Votre impression est juste : la notion est volontairement très large — clients, prospects, salariés et candidats, contacts fournisseurs, utilisateurs (comptes, IP, cookies). Les données vraiment anonymes sortent du champ (mais la vraie anonymisation est difficile) et les données sur les personnes morales ne sont pas personnelles (mais leurs contacts, si). La première étape est de cartographier : quelles données, pourquoi, où, qui y accède, combien de temps, à qui — cela prépare le registre de la section 3.2.
Qu'exige tout traitement de données personnelles ?