Règlement (UE) 2016/679

Conformité RGPD : assujettissement, cartographie des traitements et mandat de délégué à la protection des données

La cartographie des traitements RGPD est le document dont tout le reste dépend : sans elle, ni le registre de l'article 30, ni les analyses d'impact, ni la mise en conformité des contrats de sous-traitance ne tiennent. Le règlement (UE) 2016/679, applicable depuis le 25 mai 2018, s'impose aussi à des entreprises non établies dans l'Union dès lors qu'elles visent des personnes qui s'y trouvent. Sila établit d'abord votre assujettissement, conduit la cartographie des traitements, puis exerce le cas échéant le mandat de délégué à la protection des données.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Qui est assujetti

L'article 3.1 soumet au règlement tout traitement effectué dans le cadre des activités d'un établissement d'un responsable de traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union.

L'article 3.2 étend le règlement aux responsables de traitement et sous-traitants non établis dans l'Union, lorsque les activités de traitement sont liées à l'offre de biens ou de services à des personnes concernées qui se trouvent dans l'Union, qu'un paiement soit exigé ou non (point a), ou au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu au sein de l'Union (point b). C'est ce critère, et non le lieu du siège, qui fonde l'assujettissement d'une société établie hors de l'Union.

Deux qualifications sont à distinguer, car elles n'emportent pas les mêmes obligations : le responsable du traitement, qui détermine les finalités et les moyens (article 4.7), et le sous-traitant, qui traite pour le compte du responsable (article 4.8) et dont les obligations propres figurent à l'article 28.

Représentant dans l’Union, article 27

Le responsable de traitement ou le sous-traitant non établi dans l'Union désigne par écrit un représentant établi dans l'un des États membres où se trouvent les personnes concernées. L'article 27.2 écarte cette obligation pour les traitements occasionnels, qui n'impliquent pas un traitement à grande échelle des catégories particulières de données de l'article 9 ou des données relatives aux condamnations pénales de l'article 10, et qui sont peu susceptibles d'engendrer un risque pour les droits et libertés, ainsi que pour les autorités et organismes publics.

Registre des activités de traitement, article 30

Obligation de tenue d'un registre écrit, y compris sous forme électronique. L'article 30.5 en dispense les organisations de moins de 250 salariés, sauf si le traitement est susceptible de comporter un risque pour les droits et libertés, s'il n'est pas occasionnel, ou s'il porte sur les catégories particulières de l'article 9 ou sur les données de l'article 10. En pratique, ces trois réserves rendent la dispense rarement applicable.

Obligations concrètes et échéances

Les obligations du règlement sont d'application immédiate depuis le 25 mai 2018 : il n'existe aucun calendrier de montée en charge, contrairement au règlement (UE) 2024/1689. Les seules échéances opposables sont des délais de réaction.

Notification des violations de données, article 33

La violation de données à caractère personnel est notifiée à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Passé ce délai, la notification est accompagnée des motifs du retard. Le sous-traitant notifie au responsable du traitement dans les meilleurs délais (article 33.2).

Communication à la personne concernée, article 34

Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés, la communication à la personne concernée intervient dans les meilleurs délais, sauf application des exceptions de l'article 34.3 (données rendues incompréhensibles, mesures ultérieures écartant le risque élevé, ou effort disproportionné justifiant une communication publique).

Analyse d’impact, article 35

Une analyse d'impact relative à la protection des données est requise lorsque le traitement est susceptible d'engendrer un risque élevé, notamment dans les trois cas de l'article 35.3 : évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ; traitement à grande échelle de catégories particulières de données ou de données de l'article 10 ; surveillance systématique à grande échelle d'une zone accessible au public.

Droits des personnes, articles 15 à 22

La réponse à une demande d'exercice de droits intervient dans un délai d'un mois à compter de la réception, prorogeable de deux mois compte tenu de la complexité et du nombre de demandes, la personne concernée étant informée de la prorogation et de ses motifs dans le mois suivant la réception (article 12.3).

Transferts hors de l’Union, chapitre V, articles 44 à 49

Un transfert n'est licite que s'il repose sur une décision d'adéquation (article 45), sur des garanties appropriées (article 46, dont les clauses contractuelles types de l'article 46.2 c) ou sur une dérogation de l'article 49. La décision d'adéquation relative au cadre de protection des données UE–États-Unis a été adoptée le 10 juillet 2023.

Sanctions et autorité compétente

L'article 83 distingue deux plafonds, appliqués au montant le plus élevé entre la somme forfaitaire et le pourcentage du chiffre d'affaires annuel mondial total de l'exercice précédent.

L'autorité compétente en France est la Commission nationale de l'informatique et des libertés, créée par la loi n° 78-17 du 6 janvier 1978 modifiée. Pour les traitements transfrontaliers, l'article 56 désigne comme autorité chef de file celle de l'établissement principal du responsable de traitement, dans le cadre du mécanisme de coopération des articles 60 et suivants.

Article 83.4 : 10 000 000 EUR ou 2 %

Amende administrative pouvant s'élever jusqu'à 10 000 000 EUR ou, dans le cas d'une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Ce plafond vise notamment les manquements aux obligations des responsables et sous-traitants (articles 8, 11, 25 à 39, 42 et 43).

Article 83.5 : 20 000 000 EUR ou 4 %

Amende pouvant s'élever jusqu'à 20 000 000 EUR ou, dans le cas d'une entreprise, jusqu'à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Ce plafond vise notamment les manquements aux principes de base des articles 5, 6, 7 et 9, aux droits des personnes des articles 12 à 22, et aux règles de transfert des articles 44 à 49.

Réparation du préjudice, article 82

Indépendamment de l'amende administrative, toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.

Intervention de Sila : audit RGPD et cartographie des traitements

L'intervention commence par la qualification : établissement au sens de l'article 3.1, ciblage au sens de l'article 3.2, rôle de responsable ou de sous-traitant. Cette qualification détermine seule l'étendue des obligations, et elle conditionne la suite de la mission.

Suivent la cartographie et la rédaction du registre de l'article 30, la revue des bases légales de l'article 6, la mise en conformité contractuelle avec les sous-traitants au titre de l'article 28.3, l'encadrement des transferts du chapitre V, la conduite des analyses d'impact de l'article 35 lorsqu'elles sont requises, et la mise en place des procédures de réponse aux demandes d'exercice de droits et de notification sous 72 heures.

Sila exerce le mandat de délégué à la protection des données sur la base d'un contrat de service, possibilité expressément ouverte par l'article 37.6. Le délégué est associé à toutes les questions relatives à la protection des données (article 38.1), ne reçoit aucune instruction en ce qui concerne l'exercice de ses missions (article 38.3), et ses coordonnées sont publiées et communiquées à l'autorité de contrôle (article 37.7). Ce mandat est proposé sous la forme d'un abonnement annuel.

La méthode, en quatre étapes

  1. 01Diagnostic d'écart

    Détermination du champ d'application du texte à l'activité réelle, puis comparaison entre ce que le texte impose et ce qui existe déjà dans l'organisation. Le diagnostic conclut sur une liste d'écarts hiérarchisés par exposition, non sur une note globale. Une organisation hors champ le sait à l'issue de cette étape, et la mission s'arrête là.

  2. 02Cartographie

    Recensement de ce sur quoi porteront les mesures : traitements et flux de données, systèmes, prestataires, contrats en cours, rôles et responsabilités. La cartographie est le document de travail commun à toute la suite de la mission, et c'est elle qui est opposable en cas de contrôle.

  3. 03Mesures techniques et organisationnelles

    Mise en œuvre des mesures que la cartographie a rendues nécessaires : procédures internes, politiques, clauses contractuelles à renégocier avec les prestataires, arbitrages de gouvernance, et formation des personnes concernées. Les mesures techniques relevant du système d'information sont spécifiées par Sila et mises en œuvre par vos équipes ou votre prestataire.

  4. 04Dossier de preuves

    Constitution du dossier opposable à l'autorité de contrôle : registres, analyses d'impact, politiques datées et versionnées, traces de décision, preuves de formation. La conformité ne se démontre pas par l'absence d'incident mais par la production de ce dossier, ce qui suppose qu'il soit tenu à jour après la fin de la mission.

Devis personnalisé sous 48 h

Le périmètre d'une mission ne se devine pas : il dépend de votre assujettissement, du nombre de traitements, de systèmes et de contrats concernés, et de ce qui existe déjà dans votre organisation. Aucun montant n'est donc affiché sur ce site.

La démarche commence par un échange de cadrage, sans frais et sans engagement, destiné à délimiter ce sur quoi la mission portera. Un devis personnalisé vous est adressé sous 48 h, détaillant le périmètre, les livrables et le montant.

Questions fréquentes

Une société établie hors de l'Union européenne doit-elle appliquer le RGPD ?

Oui lorsque l'article 3.2 du règlement (UE) 2016/679 est satisfait, c'est-à-dire lorsque les traitements sont liés à l'offre de biens ou de services à des personnes se trouvant dans l'Union, qu'un paiement soit exigé ou non, ou au suivi de leur comportement au sein de l'Union. Le lieu du siège social est indifférent. L'article 27 impose alors de désigner par écrit un représentant établi dans un État membre où se trouvent les personnes concernées, sauf application des exceptions de l'article 27.2.

Dans quel délai une violation de données doit-elle être notifiée ?

L'article 33.1 du règlement (UE) 2016/679 impose au responsable du traitement de notifier la violation à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Au-delà de 72 heures, la notification doit être motivée. Si la violation est susceptible d'engendrer un risque élevé, l'article 34 impose en outre une communication aux personnes concernées dans les meilleurs délais.

Quel est le montant maximal d'une amende RGPD ?

L'article 83.5 du règlement (UE) 2016/679 fixe le plafond le plus élevé à 20 000 000 EUR ou, dans le cas d'une entreprise, à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Il s'applique notamment aux manquements aux principes des articles 5, 6, 7 et 9, aux droits des personnes des articles 12 à 22 et aux règles de transfert des articles 44 à 49. Un plafond de 10 000 000 EUR ou 2 % s'applique aux manquements visés à l'article 83.4.

Le délégué à la protection des données peut-il être externe à l'entreprise ?

Oui. L'article 37.6 du règlement (UE) 2016/679 prévoit que le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d'un contrat de service. Dans les deux cas, l'article 38.3 lui garantit l'absence d'instruction dans l'exercice de ses missions et l'article 37.7 impose la publication de ses coordonnées et leur communication à l'autorité de contrôle.

Une entreprise de moins de 250 salariés est-elle dispensée de registre des traitements ?

Rarement en pratique. L'article 30.5 du règlement (UE) 2016/679 réserve la dispense aux organisations de moins de 250 salariés, mais elle tombe dès lors que le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées, qu'il n'est pas occasionnel, ou qu'il porte sur les catégories particulières de données de l'article 9 ou sur les données relatives aux condamnations pénales de l'article 10. La gestion de la paie ou d'un fichier clients récurrent, n'étant pas occasionnelle, fait tomber la dispense.

Aller plus loin sur une question précise

Ce que chaque texte régit, pourquoi l'AI Act ne fournit jamais de base légale au traitement, et comment conduire l'AIPD et l'analyse d'impact sur les droits fondamentaux sans les dupliquer.

RGPD et AI Act : deux analyses, un seul dossier

Chaque obligation, en détail

Ce que ce régime déclenche ailleurs

Une entreprise soumise au RGPD au titre de l’article 3.2, sans établissement dans l’Union, doit en principe désigner par écrit un représentant établi dans un État membre où se trouvent les personnes concernées, sauf exception de l’article 27.2.

Désigner son représentant dans l’Union (article 27)

Un système d'IA à haut risque qui traite des données personnelles relève des deux textes à la fois. L'article 27 du règlement (UE) 2024/1689 impose à certains déployeurs une analyse d'impact sur les droits fondamentaux, distincte de l'analyse d'impact relative à la protection des données de l'article 35 du RGPD, mais qui peut s'appuyer sur elle lorsque celle-ci a déjà été conduite.

Qualifier un système d'IA au regard de l'AI Act

Une entité financière contracte avec le même prestataire au titre de l'article 28 du RGPD, comme sous-traitant, et au titre de l'article 30 du règlement (UE) 2022/2554, comme prestataire de services TIC. Les deux jeux de clauses coexistent dans le même contrat et doivent être négociés ensemble.

Encadrer ses prestataires TIC sous DORA

Une même violation peut ouvrir deux obligations de notification à des autorités différentes et dans des délais différents : 72 heures à l'autorité de protection des données au titre de l'article 33 du RGPD, 24 heures à l'autorité compétente au titre de l'article 23 de la directive (UE) 2022/2555. Les deux procédures doivent être écrites avant l'incident.

Déterminer son assujettissement à NIS2

Lorsque la désignation est obligatoire au titre de l'article 37 ou retenue volontairement, le mandat peut être exercé sur la base d'un contrat de service au sens de l'article 37.6.

Confier le mandat de délégué à la protection des données

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.