Document unique réunissant le glossaire du vocabulaire fondateur (14 thèmes) et la fiche de révision des concepts clés (15 points) — contexte belge (APD/GBA) & secteur média.
Les notions clés du RGPD, organisées par thème : données, acteurs, principes, droits, autorités et conformité.
Ce que protège le règlement, et les catégories qui appellent une vigilance renforcée.
Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. La notion est large : nom, n° de client, adresse IP, données de localisation, identifiant en ligne.
Données dont le traitement est interdit par principe, sauf exception : origine raciale/ethnique, opinions politiques, convictions religieuses/philosophiques, appartenance syndicale, données de santé, vie/orientation sexuelle, données génétiques et biométriques (à des fins d'identification).
Donnée traitée de façon à ne plus être attribuée à une personne sans information supplémentaire conservée séparément. La personne reste identifiable → cela reste une donnée personnelle (≠ anonymisation).
Donnée rendue irréversiblement non identifiable. Elle sort alors du champ du RGPD. Le seuil est exigeant : la réidentification ne doit pas être possible par des moyens raisonnables.
Ce que l'on fait des données et le cadre qui justifie de le faire.
Toute opération sur des données, automatisée ou non : collecte, enregistrement, organisation, conservation, consultation, utilisation, communication, effacement, destruction… La notion couvre presque tout, y compris le simple stockage.
Tout traitement doit reposer sur l'une des six bases : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime. Sans base, le traitement est illicite.
Manifestation de volonté libre, spécifique, éclairée et univoque par acte positif clair. Doit pouvoir être retiré aussi facilement que donné. Les cases pré-cochées ne valent pas consentement.
Le but déterminé, explicite et légitime pour lequel les données sont collectées. Principe de limitation des finalités : pas de réutilisation incompatible avec le but initial.
Qui décide, qui exécute, qui est protégé, qui contrôle.
Celui qui détermine les finalités et les moyens du traitement. C'est le décideur — et le premier responsable de la conformité.
Celui qui traite des données pour le compte du responsable, sur instruction. Relation encadrée par un contrat de sous-traitance (art. 28). Un hébergeur cloud, un prestataire de paie en sont des exemples.
Deux entités ou plus qui déterminent ensemble finalités et moyens. Elles doivent définir, par accord, la répartition de leurs obligations.
La personne physique à qui se rapportent les données. C'est elle que le règlement protège, et qui exerce les droits (accès, rectification, effacement…).
Chargé d'informer, conseiller et contrôler la conformité ; point de contact de l'autorité et des personnes. Indépendant, sans conflit d'intérêts. Désignation obligatoire dans certains cas (art. 37.1).
Le destinataire est celui à qui les données sont communiquées ; le tiers est une entité distincte du RT, du ST et des personnes autorisées sous leur autorité.
Autorité publique indépendante chargée de surveiller l'application du RGPD. En Belgique : l'APD/GBA (Autorité de protection des données). Pouvoirs d'enquête et de sanction (art. 58).
Les concepts transversaux qui irriguent toute la conformité.
Le cœur du règlement : licéité-loyauté-transparence, limitation des finalités, minimisation, exactitude, limitation de conservation, intégrité-confidentialité, et responsabilité (accountability).
Le RT doit non seulement respecter les principes mais être en mesure de le démontrer (documentation, registres, politiques). Renversement de logique : c'est à l'organisation de prouver sa conformité.
Intégrer la protection des données dès la conception d'un traitement, et garantir par défaut le réglage le plus protecteur (minimisation, accès restreint).
Inventaire documenté des traitements tenu par le RT (et le ST). Pièce maîtresse de l'accountability et premier document demandé en cas de contrôle.
Analyse d'impact obligatoire quand un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés. Centrée sur la personne (≠ analyse de risque sécurité, centrée organisation).
Atteinte à la sécurité entraînant destruction, perte, altération, divulgation ou accès non autorisé. Trois dimensions : confidentialité, intégrité, disponibilité. Notification APD sous 72 h (art. 33) ; information des personnes si risque élevé (art. 34).
Communication de données vers un pays tiers, encadrée par des garanties appropriées : décision d'adéquation, CCT/SCC, BCR… Contexte post-Schrems II et exigence d'une analyse d'impact des transferts (TIA).
Le chapitre III du RGPD (art. 12 à 23) confère aux personnes une série de droits opposables au responsable du traitement. Ils s'exercent gratuitement et le RT doit répondre sans retard, dans un délai d'un mois (prorogeable de deux mois, art. 12.3). Vue d'ensemble, puis détail.
| Droit | Article | En une phrase |
|---|---|---|
| Information | Art. 13-14 | Être informé du traitement (collecte directe ou indirecte). |
| Accès | Art. 15 | Savoir si ses données sont traitées et en obtenir copie. |
| Rectification | Art. 16 | Corriger des données inexactes ou incomplètes. |
| Effacement (« droit à l'oubli ») | Art. 17 | Obtenir la suppression, sous conditions. |
| Limitation | Art. 18 | Geler le traitement sans effacer. |
| Portabilité | Art. 20 | Récupérer/transférer ses données dans un format réutilisable. |
| Opposition | Art. 21 | S'opposer au traitement (dont prospection). |
| Décision automatisée / profilage | Art. 22 | Ne pas être soumis à une décision purement automatisée. |
Le RT doit fournir, de manière transparente, concise et accessible, les informations sur le traitement : identité du RT, finalités, base légale, destinataires, durée de conservation, droits, etc. Art. 13 = données collectées directement auprès de la personne ; art. 14 = données obtenues indirectement (auprès d'un tiers).
La personne peut obtenir confirmation que ses données sont (ou non) traitées, y accéder et en recevoir une copie, ainsi que les informations sur les finalités, catégories, destinataires, durée, origine et l'existence d'une décision automatisée.
Faire corriger sans délai des données inexactes, ou compléter des données incomplètes (déclaration complémentaire). Corollaire direct du principe d'exactitude (art. 5.1.d).
Obtenir l'effacement dans certains cas : données non nécessaires, consentement retiré, opposition exercée, traitement illicite, obligation légale. Non absolu : exceptions pour liberté d'expression, obligation légale, intérêt public, défense de droits en justice.
« Geler » le traitement (conservation seule, sans autre usage) le temps de vérifier l'exactitude contestée, en cas de traitement illicite dont l'effacement n'est pas voulu, ou pendant l'examen d'une opposition.
Le RT doit notifier à chaque destinataire toute rectification, tout effacement ou toute limitation, sauf effort disproportionné, et en informer la personne si elle le demande.
Recevoir ses données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable. Champ restreint : uniquement les données fournies par la personne, traitées sur la base du consentement ou d'un contrat, et par moyens automatisés.
S'opposer, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l'intérêt légitime ou la mission d'intérêt public. Opposition absolue et sans motif pour la prospection / marketing direct (art. 21.2-3).
Droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé (y compris le profilage) produisant des effets juridiques ou significatifs. Exceptions : nécessaire au contrat, autorisée par la loi, ou consentement explicite — avec garanties (intervention humaine, contestation).
Quelques termes qui reviennent régulièrement à l'examen et dans la pratique du DPO.
Ne collecter que les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité. Un des principes les plus opposés en pratique au réflexe « collecter au cas où ».
Conserver les données sous une forme identifiante pas plus longtemps que nécessaire. Implique une politique de durées de conservation et un archivage/effacement organisé.
Base de licéité reposant sur un test de mise en balance (LIA) : l'intérêt du RT (ou d'un tiers) ne doit pas être supplanté par les droits et libertés de la personne. Ne s'applique pas aux autorités publiques dans l'exercice de leurs missions.
Désignation obligatoire pour un RT/ST établi hors de l'UE mais soumis au RGPD (art. 3.2), comme point de contact des autorités et des personnes.
Pour les traitements transfrontaliers, une seule autorité (celle de l'établissement principal) pilote, en coopération avec les autorités concernées. Mécanisme de cohérence du chapitre VII.
Organe de l'UE regroupant les autorités de contrôle. Assure l'application cohérente du RGPD (lignes directrices, avis, décisions contraignantes en cas de litige entre autorités).
Deux plafonds : jusqu'à 10 M€ ou 2 % du CA annuel mondial (obligations « techniques »), ou 20 M€ ou 4 % (principes, droits, transferts). Critères de modulation à l'art. 83.2 (gravité, coopération, mesures prises…).
Le RGPD repose sur une architecture à deux niveaux : des autorités nationales indépendantes dans chaque État membre, coordonnées à l'échelle européenne. En Belgique, l'APD/GBA est structurée en organes distincts qu'il faut savoir nommer pour l'examen.
| Organe | Niveau | Rôle en une phrase |
|---|---|---|
| Autorité de contrôle | National | Surveille et fait appliquer le RGPD dans l'État membre. |
| APD / GBA | Belgique | L'autorité de contrôle belge (ex-Commission vie privée). |
| Autorité chef de file | Transfrontalier | Pilote un traitement transfrontalier (guichet unique). |
| EDPB / CEPD | UE | Assure l'application cohérente du RGPD dans l'Union. |
| CEPD (contrôleur) | Institutions UE | Contrôle les institutions et organes de l'Union (≠ EDPB). |
| Commission européenne | UE | Adopte les décisions d'adéquation et les CCT. |
Autorité publique indépendante instituée par chaque État membre pour surveiller l'application du règlement. Dispose de pouvoirs d'enquête, de pouvoirs correcteurs (avertissement, injonction, amende) et de pouvoirs consultatifs/d'autorisation (art. 58). Elle traite les réclamations et coopère avec ses homologues.
L'autorité de contrôle belge (en néerlandais Gegevensbeschermingsautoriteit), qui a succédé en 2018 à la Commission de la protection de la vie privée. Instituée par la loi du 3 décembre 2017, elle est indépendante et rattachée à la Chambre des représentants.
L'organe juridictionnel administratif de l'APD : elle instruit les dossiers, peut ordonner des mesures correctrices et prononcer des amendes administratives. C'est devant elle qu'une organisation est assignée en cas de manquement.
Le bras d'enquête de l'APD. L'inspecteur général mène les investigations (auditions, saisies, accès aux locaux et systèmes) et transmet ses constats à la Chambre contentieuse. C'est lui qui « contacte le DPO pour un rendez-vous urgent ».
Dans un traitement transfrontalier, l'autorité de l'établissement principal du responsable joue le rôle d'interlocuteur unique (« guichet unique »), en coopération avec les autorités concernées. Mécanisme de cohérence évitant des décisions divergentes.
Organe de l'UE doté de la personnalité juridique, regroupant le chef de chaque autorité de contrôle nationale et le Contrôleur européen. Il garantit l'application cohérente du RGPD : lignes directrices, avis, et décisions contraignantes en cas de litige entre autorités (mécanisme de l'art. 65).
Autorité indépendante qui contrôle le traitement de données par les institutions et organes de l'Union européenne eux-mêmes. Régi par un règlement propre (2018/1725), il siège aussi à l'EDPB.
Hors mécanisme de contrôle, elle joue un rôle clé sur les transferts internationaux : elle adopte les décisions d'adéquation (art. 45) reconnaissant un niveau de protection suffisant dans un pays tiers, et les clauses contractuelles types (CCT/SCC).
Le RGPD impose une approche par les risques : les mesures de conformité doivent être proportionnées au risque que le traitement fait peser. Deux exercices à ne pas confondre — l'analyse de risque sécurité (centrée organisation/SI) et l'analyse d'impact relative à la protection des données (AIPD/DPIA), centrée sur les droits et libertés des personnes.
| Critère | Analyse de risque sécurité | AIPD / DPIA (art. 35) |
|---|---|---|
| Objet protégé | Le système d'information, les actifs de l'organisation | Les droits et libertés des personnes concernées |
| Point de vue | Celui de l'organisation (impact pour elle) | Celui de la personne (impact pour elle) |
| Obligation | Découle de l'art. 32 (sécurité), bonne pratique | Obligatoire si risque élevé (art. 35.1) |
| Méthodes | ISO 27005, EBIOS RM | Méthode CNIL, EBIOS RM adaptée, WP248 |
| Complémentarité | L'analyse sécurité nourrit l'AIPD (volet « mesures »), mais ne la remplace pas. | |
Principe transversal : l'intensité des mesures (techniques, organisationnelles, documentaires) doit être proportionnée au risque pour les droits et libertés, compte tenu de la nature, la portée, le contexte et les finalités du traitement.
Analyse obligatoire avant un traitement « susceptible d'engendrer un risque élevé » pour les droits et libertés. Elle décrit le traitement, évalue la nécessité et la proportionnalité, identifie les risques pour les personnes et les mesures pour les atténuer.
Quatre éléments minimaux : (1) description systématique du traitement et de ses finalités ; (2) évaluation de la nécessité et de la proportionnalité ; (3) évaluation des risques pour les droits et libertés ; (4) mesures envisagées pour traiter ces risques (garanties, sécurité, mécanismes).
Présomption de risque élevé notamment pour : (a) évaluation/scoring systématique fondé sur un traitement automatisé, y compris le profilage, avec effets juridiques ; (b) traitement à grande échelle de données sensibles (art. 9) ou relatives aux condamnations (art. 10) ; (c) surveillance systématique à grande échelle d'une zone accessible au public.
Les lignes directrices WP248 listent 9 critères (évaluation/scoring, décision automatisée à effet juridique, surveillance systématique, données sensibles, grande échelle, croisement de jeux de données, personnes vulnérables, usage innovant, blocage d'un droit/service). Règle pratique : dès que ≥ 2 critères sont réunis, l'AIPD est en principe nécessaire.
L'autorité publie une liste des traitements soumis à AIPD (art. 35.4, obligatoire) et peut publier une liste de ceux qui en sont dispensés (art. 35.5). En Belgique, se référer aux listes de l'APD/GBA.
Le responsable du traitement demande conseil au DPO lorsqu'il réalise une AIPD ; le DPO contrôle son exécution. Il conseille mais ne se substitue pas au RT, qui reste décideur et responsable.
Si, malgré les mesures, l'AIPD révèle un risque résiduel élevé que le RT ne peut atténuer, celui-ci doit consulter l'autorité de contrôle avant de démarrer le traitement. L'autorité peut formuler des recommandations, voire interdire le traitement.
Pas de méthode imposée par le RGPD. En pratique : la méthode AIPD de la CNIL (et son logiciel PIA), EBIOS Risk Manager (ANSSI) pour le volet risque, ISO 27005 pour la gestion du risque sécurité, complétées par les lignes directrices WP248 et les avis de l'ENISA.
La répartition des rôles conditionne qui est responsable de quoi. La qualification ne dépend pas du titre contractuel mais de la réalité : qui décide des finalités et des moyens ? C'est l'une des analyses les plus structurantes — et les plus piégeuses — du RGPD.
| Critère | Responsable de traitement (RT) | Sous-traitant (ST) |
|---|---|---|
| Décide des finalités | Oui — c'est le décideur | Non — agit sur instruction |
| Décide des moyens | Oui (moyens essentiels) | Moyens techniques/organisationnels seulement |
| Pour le compte de qui | Le sien | Celui du RT |
| Cadre de la relation | — | Contrat de sous-traitance (art. 28.3) |
| Exemples | L'entreprise employeuse, l'annonceur | Hébergeur cloud, prestataire de paie, routeur d'e-mails |
Celui qui détermine, seul ou conjointement, les finalités et les moyens du traitement. Il est le premier responsable de la conformité (art. 24) et doit pouvoir la démontrer (accountability). Sa qualification résulte de la réalité factuelle, pas d'une simple désignation contractuelle.
Deux responsables ou plus qui déterminent ensemble finalités et moyens. Ils définissent par accord transparent la répartition de leurs obligations (notamment l'exercice des droits et l'information). La personne peut exercer ses droits auprès de chacun d'eux.
Traite des données pour le compte du RT, uniquement sur instructions documentées. S'il détermine lui-même les finalités, il devient responsable pour ces traitements (art. 28.10). Obligations propres : sécurité (32), registre (30.2), notification des violations au RT (33.2), assistance au RT.
Acte juridique obligatoire et écrit encadrant la relation RT–ST. Mentions imposées : objet, durée, nature et finalité, type de données, obligations du RT, et engagements du ST (agir sur instruction, confidentialité, sécurité, sous-traitance ultérieure encadrée, assistance, sort des données en fin de contrat, audits).
Le ST ne peut recruter un autre sous-traitant qu'avec l'autorisation (spécifique ou générale) du RT, et doit lui imposer les mêmes obligations contractuelles. Le ST reste pleinement responsable envers le RT du respect par le sous-traitant ultérieur.
L'analyse est factuelle et fonctionnelle : peu importe l'intitulé du contrat. Questions clés : qui décide « pourquoi » et « comment » ? Un prestataire qui n'a aucune marge sur les finalités est ST ; dès qu'il poursuit ses propres finalités, il (co-)devient responsable. Lignes directrices EDPB 07/2020.
Le DPO (Data Protection Officer) est la pierre angulaire de la gouvernance des données. Le RGPD encadre précisément sa désignation, ses missions et son statut — autant de points fréquemment testés à l'examen de certification.
Le DPO est obligatoire dans trois cas : (a) traitement par une autorité ou un organisme public ; (b) activités de base consistant en un suivi régulier et systématique à grande échelle des personnes ; (c) activités de base consistant en un traitement à grande échelle de données sensibles (art. 9) ou relatives aux condamnations (art. 10).
Désigné sur la base de ses qualités professionnelles et de ses connaissances spécialisées du droit et des pratiques de la protection des données, ainsi que de sa capacité à accomplir ses missions. Le niveau d'expertise attendu est proportionné à la sensibilité et à la complexité des traitements.
Le DPO est associé en temps utile à toutes les questions de protection des données, dispose des ressources nécessaires, rend compte au plus haut niveau de la direction, ne reçoit aucune instruction dans l'exercice de ses missions et ne peut être sanctionné ni démis pour cet exercice. Il est tenu au secret.
Le DPO peut exercer d'autres missions, à condition qu'elles n'entraînent aucun conflit d'intérêts. Il ne peut donc pas occuper un poste qui le conduit à déterminer les finalités et moyens (ex. DSI, directeur marketing, DRH au sommet de ces fonctions).
Au minimum : informer et conseiller le RT/ST et les employés ; contrôler le respect du RGPD et des politiques internes ; conseiller sur l'AIPD et en vérifier l'exécution (art. 35.2) ; coopérer avec l'autorité de contrôle ; faire office de point de contact de l'autorité. Il exerce ses missions en tenant compte du risque.
Les coordonnées du DPO sont publiées et communiquées à l'autorité de contrôle. Les personnes concernées peuvent le contacter pour toute question relative au traitement de leurs données et à l'exercice de leurs droits.
Le DPO peut être un membre du personnel ou un prestataire externe (contrat de service). Un groupe d'entreprises peut désigner un DPO unique s'il est facilement joignable depuis chaque établissement ; idem pour plusieurs organismes publics, en tenant compte de leur taille.
Le chapitre V (art. 44 à 49) encadre la communication de données vers un pays tiers ou une organisation internationale. Principe : un transfert n'est licite que si le niveau de protection garanti par le RGPD n'est pas compromis. La hiérarchie des outils se lit en cascade.
| Mécanisme | Article | En une phrase |
|---|---|---|
| Principe général | Art. 44 | Tout transfert doit respecter le chapitre V — pas de contournement du niveau de protection. |
| Décision d'adéquation | Art. 45 | Pays tiers reconnu « adéquat » par la Commission → transfert libre. |
| Garanties appropriées | Art. 46 | CCT/SCC, BCR, codes/certifications → à défaut d'adéquation. |
| Règles internes (BCR) | Art. 47 | Règles contraignantes intra-groupe, approuvées par l'autorité. |
| Dérogations | Art. 49 | Cas particuliers et limités (consentement explicite, contrat…). |
La Commission européenne constate qu'un pays tiers (ou un secteur) offre un niveau de protection essentiellement équivalent à celui de l'UE. Le transfert s'effectue alors sans autorisation spécifique. Exemples : Royaume-Uni, Suisse, Japon, Corée du Sud, et le EU-US Data Privacy Framework (entreprises certifiées).
À défaut d'adéquation : clauses contractuelles types (CCT/SCC) adoptées par la Commission, règles d'entreprise contraignantes (BCR), codes de conduite ou mécanismes de certification approuvés, assortis d'engagements contraignants et exécutoires. Pas d'autorisation préalable pour les CCT/BCR.
Politiques internes juridiquement contraignantes applicables au sein d'un groupe d'entreprises pour encadrer les transferts intra-groupe. Approuvées par l'autorité de contrôle compétente via le mécanisme de cohérence (avis de l'EDPB).
La CJUE a invalidé le Privacy Shield et confirmé la validité des CCT sous condition : le responsable doit vérifier, au cas par cas, que le pays de destination offre une protection équivalente, et adopter des mesures supplémentaires si nécessaire.
Évaluation au cas par cas du droit et des pratiques du pays destinataire (accès des autorités, voies de recours), pour déterminer si les garanties (ex. CCT) sont effectives ou s'il faut des mesures supplémentaires (chiffrement, pseudonymisation, garanties contractuelles renforcées). Méthodologie des recommandations EDPB 01/2020.
En l'absence d'adéquation et de garanties, le transfert reste possible dans des cas limités et non répétitifs : consentement explicite et éclairé sur les risques, exécution d'un contrat, motifs d'intérêt public important, constatation/exercice/défense de droits en justice, intérêts vitaux. À interpréter strictement (caractère exceptionnel).
L'article 25 consacre deux exigences complémentaires : intégrer la protection des données dès la conception d'un traitement, et garantir par défaut le réglage le plus protecteur. C'est l'opérationnalisation concrète de l'accountability et de l'approche par les risques.
Le RT doit mettre en œuvre, dès la détermination des moyens et pendant tout le traitement, des mesures techniques et organisationnelles appropriées (ex. pseudonymisation, minimisation) destinées à appliquer les principes de protection des données. La protection est pensée en amont, pas ajoutée après coup.
Par défaut, seules les données nécessaires à chaque finalité sont traitées — quant à la quantité collectée, l'étendue du traitement, la durée de conservation et l'accessibilité. Sans intervention de la personne, le réglage le plus protecteur doit s'appliquer.
L'art. 25 traduit en obligations concrètes les principes de l'art. 5 (notamment minimisation et limitation de conservation). Le RT doit pouvoir démontrer ces choix de conception — d'où le lien avec l'accountability (5.2/24) et, le cas échéant, l'AIPD.
Un mécanisme de certification approuvé (art. 42) peut servir d'élément pour démontrer le respect des exigences de l'art. 25. La certification ne transfère toutefois pas la responsabilité : le RT en reste comptable.
Les mesures sont appréciées au regard de l'état des connaissances, des coûts, de la nature/portée/contexte/finalités du traitement et des risques. Les lignes directrices EDPB 4/2019 détaillent les critères d'efficacité (concret, mesurable, intégré au traitement).
Le RGPD est neutre technologiquement : il fixe des objectifs (sécurité « appropriée », art. 32) sans imposer de méthode. Les normes ISO/IEC 27xxx et la directive NIS2 ne remplacent pas le RGPD — elles fournissent un cadre de moyens qui aide à le mettre en œuvre et à le démontrer. Mais leur logique diffère : le RGPD protège la personne, NIS2 et l'ISO 27001 protègent avant tout les systèmes et la continuité d'activité.
| Cadre | Nature / objet | Lien avec le RGPD |
|---|---|---|
| RGPD | Règlement UE — protection des personnes | Référence : sécurité « appropriée » (art. 32) |
| ISO/IEC 27001 | Norme certifiable — SMSI | Outil de conformité & de preuve (art. 32, 24) |
| ISO/IEC 27701 | Extension « vie privée » (PIMS) | La plus proche du RGPD ; mapping direct |
| NIS2 | Directive UE — cybersécurité des entités | Cadre parallèle, peut se cumuler avec le RGPD |
Socle du lien avec les normes : le RT et le ST mettent en œuvre des mesures techniques et organisationnelles appropriées (pseudonymisation, chiffrement, confidentialité-intégrité-disponibilité-résilience, restauration, tests réguliers). Le RGPD ne nomme aucun standard : les normes ISO viennent combler ce « comment ».
Norme certifiable définissant un système de management de la sécurité de l'information (SMSI) fondé sur l'analyse de risque et l'amélioration continue (PDCA). Une certification ISO 27001 est un élément de preuve fort de l'art. 32, mais ne vaut pas conformité RGPD : son périmètre est la sécurité de l'information, pas les droits des personnes.
27002 = catalogue de mesures de sécurité (bonnes pratiques, non certifiable seule) ; 27005 = méthode de gestion du risque de sécurité de l'information. Toutes deux nourrissent le volet « mesures » d'une analyse de risque ou d'une AIPD, sans en couvrir la dimension « droits des personnes ».
Extension de l'ISO 27001/27002 dédiée à la protection de la vie privée (Privacy Information Management System). C'est la norme la plus alignée sur le RGPD : elle introduit les rôles RT/ST et propose un mapping vers les articles du règlement. Utile pour structurer et démontrer la conformité, sans la garantir juridiquement.
Cadre européen de cybersécurité imposant aux entités « essentielles » et « importantes » des mesures de gestion des risques et une notification des incidents significatifs. En Belgique, transposée par la loi du 26 avril 2024 (en vigueur le 18 octobre 2024), avec le CCB (Centre pour la Cybersécurité Belgique) comme autorité nationale.
Deux régimes distincts et cumulables. NIS2 vise la résilience des systèmes (autorité : CCB) ; le RGPD vise la protection des personnes (autorité : APD). Un même incident peut déclencher les deux obligations : notification d'incident au CCB (NIS2) et notification de violation à l'APD sous 72 h (art. 33) si des données personnelles sont touchées.
Spécificité de NIS2 : les organes de direction doivent approuver et superviser les mesures de cybersécurité, suivre une formation, et peuvent voir leur responsabilité personnelle engagée. Une logique de gouvernance qui renforce, en pratique, la culture de sécurité utile aussi au RGPD.
Certaines données appellent une protection renforcée en raison du risque de discrimination ou d'atteinte aux libertés. L'article 9 pose un principe d'interdiction de leur traitement, assorti d'exceptions limitées. Les données relatives aux condamnations et infractions (art. 10) relèvent d'un régime voisin mais distinct.
| Régime | Article | Principe |
|---|---|---|
| Catégories particulières | Art. 9 | Traitement interdit, sauf l'une des 10 exceptions (9.2). |
| Condamnations & infractions | Art. 10 | Sous contrôle de l'autorité publique ou autorisation. |
| Double base requise | Art. 6 + 9 | Une base de l'art. 6 ET une exception de l'art. 9.2. |
Sept familles dont le traitement est interdit par principe : origine raciale ou ethnique ; opinions politiques ; convictions religieuses ou philosophiques ; appartenance syndicale ; données de santé ; vie ou orientation sexuelle ; données génétiques et biométriques aux fins d'identifier une personne de façon unique.
Données relatives à la santé physique ou mentale, passée, présente ou future, y compris les informations sur la prestation de soins qui révèlent un état de santé. Notion large : un arrêt de travail, une mesure d'accessibilité, voire des données déduites peuvent en relever.
Génétiques : issues de l'analyse d'un échantillon biologique, révélant des informations héréditaires. Biométriques : résultant d'un traitement technique des caractéristiques physiques/physiologiques/comportementales (empreinte, visage, iris). Elles ne sont « sensibles » que lorsqu'elles servent à identifier de manière unique.
Dix exceptions limitatives, dont : consentement explicite (a) ; obligations en droit du travail/sécurité sociale (b) ; intérêts vitaux (c) ; activités d'un organisme à but politique/religieux/syndical (d) ; données manifestement rendues publiques par la personne (e) ; justice (f) ; intérêt public important (g) ; médecine/santé publique (h-i) ; archivage/recherche (j).
Traiter une donnée sensible suppose deux conditions cumulatives : une base de licéité de l'art. 6 (consentement, contrat, obligation légale…) ET une exception de l'art. 9.2. L'une ne suffit jamais seule — erreur classique à éviter.
Données relatives aux condamnations pénales et aux infractions : traitement uniquement sous le contrôle de l'autorité publique ou si autorisé par le droit de l'UE/national prévoyant des garanties. Le registre complet des condamnations ne peut être tenu que sous contrôle de l'autorité publique. Régime distinct de l'art. 9.
Le caractère sensible déclenche en cascade d'autres obligations : présomption d'AIPD en cas de traitement à grande échelle (art. 35.3.b), critère de désignation obligatoire du DPO (art. 37.1.c), exigences de sécurité renforcées (art. 32) et vigilance accrue sur la minimisation et les durées de conservation.
Aucun traitement n'est licite sans fondement. Les six bases de l'art. 6, et les conditions strictes du consentement — pierre angulaire de l'adtech.
Tout traitement doit reposer sur au moins une des six bases : (a) consentement ; (b) exécution d'un contrat ; (c) obligation légale ; (d) sauvegarde des intérêts vitaux ; (e) mission d'intérêt public ; (f) intérêt légitime.
Base mobilisable si l'intérêt du responsable (ou d'un tiers) ne porte pas atteinte aux droits et libertés de la personne. Exige un test de mise en balance en trois temps (LIA) : (1) finalité légitime ; (2) nécessité ; (3) balance des intérêts vs. attentes raisonnables de la personne.
Manifestation de volonté libre, spécifique, éclairée et univoque par un acte positif clair. Pas de cases pré-cochées, pas de consentement « groupé ». Le responsable doit pouvoir prouver le consentement (art. 7.1) et le retrait doit être aussi simple que le recueil (art. 7.3).
Libre : pas de déséquilibre ni de conditionnement abusif d'un service au consentement. Spécifique : par finalité. Éclairé : identité du responsable et finalités connues. Univoque : action affirmative.
L'accountability se prouve par des artefacts concrets : registre, information, gestion des violations. Le cœur opérationnel du DPO.
Document obligatoire recensant chaque traitement : finalités, catégories de personnes et de données, destinataires, transferts hors UE, durées de conservation, mesures de sécurité. Tenu par le responsable (art. 30.1) et par le sous-traitant pour son périmètre (art. 30.2).
Obligation de transparence : informer de manière concise, claire et accessible. Art. 13 : collecte directe auprès de la personne. Art. 14 : collecte indirecte (données obtenues d'un tiers) — délai max d'un mois, avec exceptions (effort disproportionné).
Violation de la sécurité entraînant destruction, perte, altération, divulgation ou accès non autorisé. Notification à l'APD sous 72 h (art. 33) sauf risque improbable ; communication aux personnes (art. 34) si risque élevé. Toute violation doit être documentée dans un registre interne (art. 33.5), même non notifiée.
Les données ne sont conservées que le temps nécessaire aux finalités (principe de limitation de la conservation). Au-delà : suppression ou anonymisation. Une politique de purge documentée et des durées par catégorie sont attendues.
Le cadre spécifique des traceurs et du profilage — l'environnement réglementaire quotidien du secteur média et publicitaire.
La directive « vie privée et communications électroniques » impose le consentement préalable avant tout dépôt ou lecture de traceur non strictement nécessaire (cookies publicitaires, pixels, fingerprinting). Elle s'applique en complément du RGPD (lex specialis) : ePrivacy pour le dépôt du traceur, RGPD pour le traitement des données qui en résulte.
Proposé en 2017 pour remplacer la directive de 2002 et s'aligner sur le RGPD, le règlement ePrivacy a été retiré par la Commission européenne via son programme de travail 2025 (motif : « aucun accord prévisible » entre colégislateurs, et texte devenu obsolète). C'est donc la directive ePrivacy de 2002 (transposée nationalement) qui reste pleinement applicable.
Profilage (art. 4.4) : traitement automatisé évaluant des aspects personnels (préférences, comportement, localisation). L'art. 22 interdit en principe une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs, sauf consentement explicite, contrat ou loi — avec garanties (intervention humaine, contestation).
Mécanisme volontaire attestant la conformité d'un traitement. Délivrée par un organisme agréé ou l'autorité de contrôle, valable 3 ans renouvelables. Élément de preuve d'accountability (art. 24.3), au même titre que l'adhésion à un code de conduite (art. 40-41).
Continuité d'activité, approche par risque, gouvernance, AIPD, AI Act, adtech, missions du DPO, normes ISO, situations particulières, recours & sanctions, codes de conduite.
Deux indicateurs clés du Plan de Continuité d'Activité (PCA/BCP), mobilisés après un incident (ex. ransomware). Ils traduisent l'exigence RGPD de disponibilité et résilience Art. 32.1
Durée maximale pendant laquelle un service peut rester indisponible après un sinistre avant que les conséquences ne deviennent inacceptables.
Répond à : « En combien de temps doit-on être à nouveau opérationnel ? » — Ex. RTO de 4h = système rétabli dans les 4 heures.
Quantité maximale de données qu'on accepte de perdre, exprimée en temps. Détermine la fréquence des sauvegardes.
Répond à : « Jusqu'à quel moment dans le passé doit-on pouvoir restaurer ? » — Ex. RPO de 1h = sauvegardes au moins toutes les heures ; on perd au pire 1h de données.
Principe structurant du RGPD : les obligations ne sont pas uniformes mais modulées selon le risque que le traitement fait peser sur les droits et libertés des personnes (et non sur l'organisation — distinction clé).
Le responsable calibre ses mesures selon la nature, la portée, le contexte, les finalités du traitement, ainsi que la probabilité et la gravité du risque. Plus le risque est élevé, plus les obligations se renforcent.
Modèle d'amélioration continue issu des normes ISO (notamment ISO 27001), au cœur de l'accountability Art. 5.2 & 24. La conformité n'est pas un état figé mais un processus itératif.
| Étape | Signification | En contexte RGPD |
|---|---|---|
| Plan | Définir objectifs, politique, analyse de risque | Cartographier les traitements, registre (art. 30), AIPD, politiques |
| Do | Mettre en œuvre les mesures | Mesures techniques/organisationnelles, former, contractualiser (art. 28) |
| Check | Mesurer, auditer, surveiller | Audits, contrôles du DPO, suivi des incidents, indicateurs |
| Act | Corriger, améliorer | Plans d'action correctifs, mise à jour des mesures, retour au « Plan » |
Le WP248 (rév. 01, 2017, G29, endossé par le CEPD) précise quand une AIPD est obligatoire. Il établit 9 critères ; dès que 2 critères sont réunis, une AIPD est en principe requise (1 seul peut suffire selon le risque).
Premier cadre juridique mondial sur l'IA, en vigueur depuis le 1er août 2024, complémentaire (non substitutif) du RGPD. Il classe les systèmes d'IA selon une approche par les risques.
| Niveau | Traitement | Exemples |
|---|---|---|
| Inacceptable | Interdit | Notation sociale, manipulation, reconnaissance émotionnelle au travail |
| Haut risque | Obligations strictes : gestion des risques, documentation, traçabilité, contrôle humain | RH/recrutement, scoring crédit, biométrie, éducation, justice (Annexe III) |
| Limité | Transparence | Chatbots, deepfakes (information de l'utilisateur) |
| Minimal | Libre | Filtres anti-spam, jeux |
Sanctions : jusqu'à 35 M€ ou 7 % du CA mondial annuel (pratiques interdites).
Standard technique de l'IAB Europe destiné à recueillir et transmettre le consentement dans la chaîne publicitaire programmatique (RTB — Real-Time Bidding). C'est le mécanisme derrière les bandeaux / CMP de cookies.
La CMP (Consent Management Platform) recueille les choix de l'utilisateur, les encode dans une TC String (chaîne de consentement) diffusée à tous les acteurs publicitaires (annonceurs, ad-exchanges, vendors).
Le TCF jugé non conforme au RGPD. Motifs principaux :
Deux Conventions Collectives de Travail du CNT, antérieures au RGPD mais toujours applicables, qui encadrent la surveillance des travailleurs : équilibre entre pouvoir de contrôle de l'employeur et vie privée du salarié.
Encadre la surveillance par caméras. Principes : finalité légitime (sécurité, contrôle du processus de production…), proportionnalité, transparence (information préalable des travailleurs et de leurs représentants). Pas de surveillance permanente injustifiée.
Encadre le contrôle des e-mails et de l'usage d'Internet. Principes de finalité, proportionnalité et transparence, avec une procédure d'individualisation graduée : contrôle global et anonyme d'abord, individualisation des données seulement si une anomalie est constatée.
Convention Collective de Travail du 16 juin 1998 relative à la protection de la vie privée des travailleurs à l'égard de la surveillance par caméras sur le lieu de travail. Rendue obligatoire par AR du 20 septembre 1998. S'applique à la surveillance visant les travailleurs, qu'elle soit permanente ou temporaire.
La caméra n'est licite que si elle poursuit l'une de ces finalités :
Une finalité non prévue rend la surveillance illicite.
Convention Collective de Travail du 26 avril 2002 relative à la protection de la vie privée des travailleurs à l'égard du contrôle des données de communication électroniques en réseau (e-mails professionnels, navigation Internet). Rendue obligatoire par AR du 12 juin 2002.
Mécanisme en deux temps pour passer de données globales à des données nominatives :
Lignes directrices du G29 (endossées par le CEPD) consacrées au Délégué à la Protection des Données. Document de référence interprétant les articles 37-38-39 RGPD.
Mémo de structure : Art. 37 = désignation, Art. 38 = statut / conditions, Art. 39 = missions. Le WP243 chapeaute l'interprétation des trois.
Le DPO exerce ses missions en tenant compte du risque (retour de l'approche par risque, point 2).
Modèle méthodologique des autorités allemandes (DSK) conçu pour opérationnaliser les exigences du RGPD — notamment pour concrétiser le Privacy by Design Art. 25. Il traduit les principes abstraits en mesures techniques et organisationnelles vérifiables.
Référentiels internationaux qui opérationnalisent la sécurité de l'information et la protection de la vie privée. Ils ne sont pas obligatoires au titre du RGPD, mais constituent des moyens privilégiés de démontrer l'accountability et la sécurité « appropriée » Art. 24 · 32. Logique commune : le cycle PDCA (point 3).
| Norme | Objet | Certifiable ? | Lien RGPD |
|---|---|---|---|
| 27001 | Exigences du SMSI (Système de Management de la Sécurité de l'Information) | Oui — organisme certifiable | Cadre de gouvernance sécurité (art. 32) |
| 27002 | Guide de mise en œuvre des mesures de sécurité (contrôles) | Non — code de bonnes pratiques | Catalogue de mesures techniques/organisationnelles |
| 27005 | Gestion des risques de sécurité de l'information | Non — guide méthodologique | Outil pour l'analyse de risque (≠ AIPD) |
| 27701 | Extension vie privée : management de la protection des données (PIMS) | Oui — extension certifiable | La plus proche du RGPD (RT & ST) |
Norme certifiable de référence : elle définit les exigences pour établir, mettre en œuvre, maintenir et améliorer un système de management de la sécurité de l'information.
Code de bonnes pratiques non certifiable : il explique comment implémenter les mesures de l'Annexe A de l'ISO 27001 (le « comment » des contrôles).
Guide méthodologique non certifiable dédié à l'appréciation et au traitement des risques de sécurité de l'information. Il accompagne la mise en œuvre du SMSI (27001).
Extension certifiable des normes 27001/27002 vers la protection de la vie privée. C'est la norme la plus directement reliée au RGPD.
Le chapitre IX permet aux États membres d'adapter ou de prévoir des règles spécifiques pour concilier le RGPD avec d'autres droits et libertés ou des contextes sectoriels. C'est l'espace de la marge nationale de manœuvre : ces articles renvoient au droit belge pour leur mise en œuvre concrète.
Les États doivent concilier le droit à la protection des données avec la liberté d'expression, y compris le traitement à des fins journalistiques, universitaires, artistiques ou littéraires. Des dérogations (chapitres II à VII, etc.) sont possibles si nécessaires à cet équilibre — l'« exception journalistique ».
Les données personnelles figurant dans des documents officiels détenus par une autorité publique peuvent être divulguées conformément au droit (national ou de l'Union) régissant l'accès du public, afin de concilier accès aux documents et protection des données.
Les États peuvent encadrer le traitement d'un identifiant national (en Belgique : le numéro de Registre national), sous garanties appropriées. Usage historiquement très réglementé en droit belge (autorisations, finalités limitées).
Permet des règles plus spécifiques (loi ou convention collective) pour protéger les données des travailleurs : recrutement, exécution du contrat, gestion, santé/sécurité, exercice des droits, fin de la relation. Garanties : dignité, intérêts légitimes, transparence, contrôle.
Traitements à des fins archivistiques (intérêt public), de recherche scientifique ou historique, ou statistiques. Encadrés par des garanties appropriées, notamment la minimisation et, lorsque possible, la pseudonymisation. Des dérogations à certains droits (accès, rectification, limitation, opposition) sont possibles si elles risquent de rendre impossible/d'entraver la réalisation de ces finalités.
Les États peuvent adopter des règles spécifiques sur les pouvoirs des autorités de contrôle vis-à-vis des responsables/sous-traitants soumis à un secret professionnel (médecins, avocats…), pour concilier contrôle et confidentialité.
Les églises et associations religieuses qui appliquaient déjà des règles complètes de protection des données peuvent continuer à les appliquer, à condition de les mettre en conformité avec le RGPD, sous le contrôle d'une autorité indépendante spécifique le cas échéant.
Le chapitre VIII organise l'effectivité du RGPD : comment la personne concernée fait valoir ses droits, contre qui, et quelles sanctions encourt celui qui manque à ses obligations.
Toute personne ayant subi un dommage matériel ou moral du fait d'une violation a droit à réparation. Le RT est responsable du dommage causé par le traitement ; le ST uniquement s'il a manqué à ses obligations propres ou agi hors instructions. Exonération possible s'il prouve que le fait dommageable ne lui est aucunement imputable. Responsabilité solidaire en cas de pluralité d'acteurs (pour garantir la réparation intégrale).
Les amendes doivent être effectives, proportionnées et dissuasives, modulées selon des critères (gravité, durée, intentionnalité, mesures prises, coopération, antécédents…). Deux niveaux :
| Plafond | Montant maximal | Manquements visés (exemples) |
|---|---|---|
| Niveau 1 | 10 M€ ou 2 % du CA mondial annuel | Obligations du RT/ST : registre (art. 30), sécurité (art. 32), AIPD (art. 35), DPO (art. 37-39), notification de violation (art. 33-34) |
| Niveau 2 | 20 M€ ou 4 % du CA mondial annuel | Principes (art. 5-6-9), conditions du consentement (art. 7), droits des personnes (art. 12-22), transferts internationaux (chap. V) |
Le montant retenu est le plus élevé des deux (montant fixe ou pourcentage du CA).
Les États déterminent les sanctions complémentaires (notamment pénales) pour les violations non couvertes par l'art. 83 — elles doivent aussi être effectives, proportionnées et dissuasives.
Outils de co-régulation du chapitre IV : ils permettent à un secteur d'activité de préciser l'application du RGPD à ses spécificités et constituent un moyen de démontrer la conformité (accountability). Adhésion volontaire.
Complément du point 5 (classification & calendrier). L'AI Act est une réglementation « produit » qui s'ajoute au RGPD (il ne le remplace pas) : dès qu'un système d'IA traite des données personnelles, les deux régimes se cumulent. Maîtriser « qui fait quoi » est central pour le DPO.
| Rôle AI Act | Définition | Correspondance fréquente RGPD |
|---|---|---|
| Fournisseur (provider) | Développe / met sur le marché ou en service un système d'IA sous son nom | Souvent sous-traitant (ST) de l'outil |
| Déployeur (deployer) | Utilise un système d'IA sous sa propre autorité (l'organisation utilisatrice) | Le plus souvent responsable de traitement (RT) |
| Importateur / Distributeur | Met à disposition sur le marché de l'UE un système conçu hors UE / dans la chaîne | Variable selon le cas |
Les obligations varient fortement selon le rôle : c'est la première question à trancher dans tout projet IA.
Obligation pour certains déployeurs de réaliser, avant la première utilisation, une analyse d'impact sur les droits fondamentaux. Concerne notamment :
La FRIA est distincte de l'AIPD (RGPD art. 35) mais peut s'appuyer sur elle pour éviter les redondances.
| Axe | RGPD | AI Act |
|---|---|---|
| Objet | Les données personnelles | Les systèmes d'IA (qu'il y ait ou non des données perso) |
| Logique | Protection des droits & libertés des personnes | Conformité « produit » + sécurité, transparence, qualité |
| Analyse | AIPD (art. 35) | FRIA (art. 27) + documentation technique |
| Cumul | Un système d'IA RH/scoring traitant des données perso peut imposer AIPD + FRIA + documentation AI Act simultanément | |
Les décisions automatisées de l'AI Act renforcent l'art. 22 RGPD (droit à l'explication et à l'intervention humaine).