RGPD
Règlement général sur la protection des données et loi Informatique et Libertés
Règlement (UE) 2016/679 du 27 avril 2016 ; loi n° 78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés)
En deux mots
Le RGPD encadre toute utilisation de données concernant des personnes physiques : clients, prospects, salariés, candidats, fournisseurs. Il impose de savoir quelles données vous utilisez et pourquoi, d'en informer les personnes, de les protéger et de pouvoir le prouver à tout moment. La loi Informatique et Libertés complète le règlement en France et fixe les pouvoirs de la CNIL.
Qui est concerné
Toute entreprise, association ou administration, quelle que soit sa taille, qui traite des données personnelles dans le cadre d'un établissement situé dans l'Union européenne, ou qui cible des personnes situées dans l'Union, en tant que responsable de traitement ou sous-traitant.
Sanctions
Amende administrative prononcée par la CNIL jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 83 RGPD et art. 20 loi Informatique et Libertés). Pour les dossiers simples, la procédure simplifiée permet des amendes jusqu'à 20 000 euros et des astreintes. La CNIL peut aussi ordonner la mise en conformité, limiter ou interdire un traitement, et rendre la sanction publique ; les personnes concernées peuvent demander réparation de leur préjudice.
Autorité de contrôle
CNIL
État au 14 octobre 2026 : le RGPD et la loi Informatique et Libertés s'appliquent dans leur version actuelle, sans modification de fond depuis 2018. En vigueur mais pas encore applicable : le règlement (UE) 2025/2518 sur les règles de procédure pour l'application transfrontière du RGPD (publié au JOUE le 12 décembre 2025, applicable à partir du 2 avril 2027), qui concerne surtout le traitement des plaintes entre autorités. Proposé, non adopté : le « Digital Omnibus » présenté par la Commission le 19 novembre 2025 (procédure 2025/0360(COD)) prévoit notamment de préciser la définition de la donnée personnelle, d'élargir l'intérêt légitime pour l'entraînement de l'IA, de limiter la notification des violations à la CNIL aux seuls cas à risque élevé avec un délai porté à 96 heures via un guichet unique, et d'intégrer les règles sur les cookies dans le RGPD. Début octobre 2026, le Conseil finalisait son mandat de négociation (texte de compromis du 2 octobre 2026) et le Parlement européen n'avait pas encore voté sa position ; les trilogues n'ont donc pas abouti. Tant que le texte n'est pas publié au Journal officiel de l'UE, les obligations actuelles (dont la notification sous 72 heures) restent seules applicables.
Ce que couvre le questionnaire
| Questions de périmètre | 4 |
| Gouvernance et documentation | 3 |
| Licéité, information et durée de conservation | 4 |
| Droits des personnes, sous-traitants et transferts | 3 |
| Sécurité des données | 3 |
| Violations de données et maîtrise des risques | 4 |
Version 1 du questionnaire.