CDPO/FR cheat sheet

RGPD (UE) 2016/679 : applicable depuis le 25 mai 2018, directement applicable dans tous les États membres ; il prime sur les droits nationaux non conformes.

Convention 108+ (Conseil de l'Europe) : modernisée en 2018, elle consacre la protection des données comme droit fondamental et encadre les transferts internationaux ; l'UE l'a ratifiée par la décision 2023/2456.

Directive ePrivacy 2002/58/CE : régit les cookies, le spam et la confidentialité des communications ; transposée en France aux articles 82 et 88 de la loi Informatique et Libertés (LIL).

Champ d'application territorial du RGPD (art. 3) : établissement stable dans l'UE (critère du traitement dans le cadre des activités) ou ciblage de personnes dans l'UE (offre de biens/services ou suivi du comportement).

Principe d'interprétation : les exceptions aux droits fondamentaux (art. 23 RGPD) sont d'interprétation stricte et doivent être prévues par la loi.

Le CEPD (EDPB) adopte des lignes directrices et des décisions contraignantes en matière de coopération (art. 65) ; ses avis ne sont pas contraignants mais font autorité.

La Charte des droits fondamentaux de l'UE (art. 8) et l'article 16 TFUE constituent la base primaire du droit à la protection des données dans l'Union.

Les décisions d'adéquation de la Commission (art. 45 RGPD) lient les autorités nationales ; elles sont réexaminées au moins tous les 4 ans.

Loi n° 78-17 du 6 janvier 1978 modifiée : texte national d'application du RGPD ; les articles 1er à 43 portent sur la protection des données, les articles 44 et suivants sur les traitements de police/justice.

La CNIL est une autorité administrative indépendante (AAI) ; elle exerce les pouvoirs de contrôle, d'enquête, de sanction (amendes jusqu'à 20 M€ ou 4 % du CA mondial), de certification et d'avis.

Décret n° 2019-536 du 29 mai 2019 : modalités d'exercice des droits, désignation du DPO, notification des violations, registre.

Le DPO est désigné par le responsable de traitement ; la désignation est notifiée à la CNIL via le formulaire en ligne ; le DPO doit être indépendant et disposer des ressources nécessaires.

Les traitements de données de santé à des fins de recherche nécessitent l'avis du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) et une autorisation de la CNIL (art. 66 LIL).

Les traitements de données biométriques de contrôle d'accès au travail sont soumis à autorisation préalable de la CNIL (art. 27 LIL).

La CNIL publie des référentiels et des lignes directrices opposables (soft law) ; le responsable de traitement peut s'y conformer pour bénéficier d'une présomption de conformité.

Le contentieux individuel relève du juge judiciaire (atteinte à la vie privée) ou du juge administratif (décisions de la CNIL).

Licéité, loyauté, transparence (art. 5.1.a) : chaque traitement doit reposer sur une base légale et être porté à la connaissance des personnes de manière claire.

Minimisation (art. 5.1.c) : les données doivent être adéquates, pertinentes et limitées au strict nécessaire au regard de la finalité.

Exactitude (art. 5.1.d) : les données inexactes doivent être effacées ou rectifiées sans délai ; le responsable doit prendre toute mesure raisonnable.

Limitation de conservation (art. 5.1.e) : durée de conservation définie par la finalité ; au-delà, anonymisation ou suppression, sauf archivage conforme.

Intégrité et confidentialité (art. 5.1.f) : mesures techniques et organisationnelles appropriées contre la destruction, la perte, l'altération ou la divulgation non autorisée.

Responsabilité (accountability, art. 5.2) : le responsable doit être en mesure de démontrer la conformité (registre, PIA, procédures, preuves).

Privacy by design et by default (art. 25) : intégrer la protection dès la conception et garantir que seules les données nécessaires sont traitées par défaut.

Six bases légales (art. 6.1) : consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public, intérêt légitime ; elles ne sont pas hiérarchisées et ne se cumulent pas.

Le consentement (art. 4.11 et 7) doit être libre, spécifique, éclairé et univoque ; il peut être retiré à tout moment, sans justification et sans conséquence sur les traitements antérieurs.

Le consentement des mineurs de moins de 15 ans pour les services de la société de l'information nécessite l'accord du titulaire de l'autorité parentale (art. 45 LIL).

Droits des personnes : accès (art. 15), rectification (16), effacement (17), limitation (18), portabilité (20), opposition (21), décision automatisée (22).

Délai de réponse aux demandes de droits : un mois, prorogeable de deux mois en cas de complexité, avec information du demandeur dans le premier mois.

L'intérêt légitime nécessite une mise en balance documentée entre les intérêts du responsable et les droits et libertés des personnes, avec possibilité d'opposition.

Le droit à la portabilité ne s'applique qu'aux données fournies par la personne, traitées sur base du consentement ou du contrat, et de manière automatisée.

Responsable de traitement (art. 4.7) : entité qui détermine les finalités et les moyens du traitement ; le sous-traitant (art. 4.8) traite pour le compte du responsable, sur instructions documentées.

Contrat de sous-traitance (art. 28) : doit mentionner l'objet, la durée, la nature, la finalité, les types de données, les obligations du sous-traitant, les sous-traitants ultérieurs et les mesures de sécurité.

Le sous-traitant ne peut pas faire appel à un autre sous-traitant sans autorisation écrite préalable du responsable ; il répond de ses obligations.

Le DPO (art. 37-39) est obligatoire pour les autorités publiques, les traitements à grande échelle de données sensibles et le suivi régulier à grande échelle ; il est indépendant et rend compte au niveau le plus élevé.

Registre des activités de traitement (art. 30) : obligatoire pour les entreprises de plus de 250 salariés, ou en cas de traitement à risque, régulier ou de données sensibles ; le sous-traitant tient son propre registre.

PIA/AIPD (art. 35) : obligatoire pour les traitements susceptibles d'engendrer un risque élevé (surveillance systématique, données sensibles à grande échelle, décisions automatisées) ; la CNIL a publié une liste des traitements soumis à AIPD.

Privacy by design et by default (art. 25) : mesures techniques et organisationnelles dès la conception et par défaut, documentées dans la gouvernance.

Le DPO est le point de contact pour la CNIL et les personnes concernées ; il doit être associé à toutes les questions relatives à la protection des données.

Violation de données (art. 4.12) : tout incident de sécurité entraînant la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles.

Notification à la CNIL (art. 33) : dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés ; notification via le téléservice de la CNIL.

Notification aux personnes concernées (art. 34) : si la violation présente un risque élevé, sans délai, avec description de la nature de la violation et des mesures recommandées.

Le sous-traitant doit notifier au responsable de traitement toute violation dans les meilleurs délais après en avoir pris connaissance (art. 33.2).

Registre des violations (art. 33.5) : documenter toutes les violations, y compris celles non notifiées, avec les faits, les effets et les mesures prises.

Mesures de sécurité (art. 32) : chiffrement, pseudonymisation, capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience, procédure de test régulier.

La CNIL peut prononcer des sanctions pour défaut de notification ou notification tardive ; la coopération avec l'autorité est un facteur d'atténuation.

Principe : tout transfert hors EEE doit être fondé sur un mécanisme de l'art. 45 (adéquation), 46 (garanties appropriées) ou 49 (dérogations spécifiques).

Décisions d'adéquation : la Commission reconnaît un niveau de protection adéquat (ex. Suisse, Japon, Royaume-Uni, Canada, Israël, Nouvelle-Zélande, Andorre, etc.) ; réexamen périodique.

CCT (clauses contractuelles types) : adoptées par la Commission (décision 2021/914) ; elles doivent être complétées par une analyse d'impact des transferts (TIA) et, si nécessaire, des mesures supplémentaires.

BCR (règles d'entreprise contraignantes) : approuvées par l'autorité chef de file, elles lient l'ensemble du groupe et couvrent les transferts intra-groupe.

Arrêt Schrems II (CJUE, 16 juillet 2020) : invalidation du Privacy Shield ; obligation de vérifier le niveau de protection du pays tiers et d'adopter des mesures supplémentaires.

Clauses supplémentaires (supplementary measures) : mesures techniques (chiffrement de bout en bout, pseudonymisation), organisationnelles ou contractuelles pour combler les lacunes du droit du pays tiers.

Dérogations de l'art. 49 : consentement explicite, exécution d'un contrat, raisons impérieuses d'intérêt public, défense de droits en justice ; interprétation stricte et caractère exceptionnel.

Le transfert vers les États-Unis est possible depuis le 10 juillet 2023 sous le Data Privacy Framework (décision d'adéquation), sous réserve d'inscription de l'importateur sur la liste du Department of Commerce.

Données sensibles (art. 9) : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, biométriques aux fins d'identification unique, données de santé, vie sexuelle ou orientation sexuelle.

Interdiction de principe du traitement des données sensibles, sauf exceptions (art. 9.2) : consentement explicite, obligations légales en matière de droit du travail, médecine préventive, intérêt public dans le domaine de la santé, etc.

Données de santé (art. 4.15) : données relatives à l'état de santé physique ou mentale, y compris les données de suivi médical ; régime spécifique de l'art. 9.2.h et 9.3 (secret professionnel).

En France, les traitements de données de santé à des fins de recherche nécessitent l'autorisation de la CNIL après avis du CESREES (art. 66 LIL).

Données RH : le contrôle des salariés doit être proportionné et transparent ; la géolocalisation, la biométrie et la vidéosurveillance sont soumises à des conditions strictes (information préalable, consultation du CSE).

Le NIR (numéro de sécurité sociale) est une donnée sensible dont l'usage est encadré par le décret n° 2019-341 ; il nécessite une autorisation ou un référentiel CNIL.

Secteurs réglementés : banque (ACPR), assurance, télécoms (ARCEP/CNIL), santé (HAS, ANS) ; les autorités sectorielles imposent des obligations complémentaires au RGPD.

Prospection électronique (e-mail, SMS, MMS) : consentement préalable obligatoire (opt-in), sauf exception de l'intérêt légitime pour les clients existants (soft opt-in) pour des produits ou services analogues, avec opt-out à chaque message.

Prospection téléphonique : consentement préalable obligatoire depuis le 1er juin 2026 (loi du 13 juin 2024) ; le dispositif Bloctel reste en vigueur pour les inscriptions.

Cookies et traceurs (art. 82 LIL) : consentement préalable sauf cookies strictement nécessaires au service, ou de mesure d'audience anonymisée ; le refus doit être aussi simple que l'acceptation.

Le consentement aux cookies doit être libre, spécifique, éclairé et univoque ; les cases pré-cochées et les consentements implicites sont interdits.

Les cookies walls sont autorisés sous conditions : alternative équitable et non dissuasive, pas de consentement forcé.

Durée de conservation des cookies : 13 mois maximum ; la preuve du consentement doit être conservée et pouvoir être produite.

La CNIL a sanctionné des pratiques de cookies (amendes Google, Facebook) et publie des lignes directrices et une recommandation sur les cookies (2020).

Les communications numériques doivent respecter l'opt-out et le droit d'opposition ; les mentions légales et l'identité de l'annonceur sont obligatoires.

L'audit de conformité RGPD vérifie la documentation (registre, PIA, politique de conservation), les mesures de sécurité, les procédures de droits et les transferts.

Le PIA (analyse d'impact) est obligatoire pour les traitements à risque élevé (art. 35) ; il doit être documenté, mis à jour et intégré au registre.

Les codes de conduite (art. 40) et les certifications (art. 42) sont des mécanismes de conformité volontaires ; ils peuvent être approuvés par la CNIL ou le CEPD.

Les normes ISO/IEC 27001 et 27701 fournissent des cadres de management de la sécurité et de la vie privée, utilisables comme preuve de conformité.

La gestion des risques (art. 24 et 32) repose sur une approche par les risques : identification, évaluation, traitement, suivi et documentation.

Le registre des traitements (art. 30) est un document obligatoire, tenu à jour, et doit être présenté à la CNIL en cas de contrôle.

Les procédures de gestion des violations, des demandes de droits et des transferts doivent être documentées et testées régulièrement.

La CNIL peut prononcer des sanctions pour défaut de documentation ou de coopération ; la mise en conformité démontrée est un facteur d'atténuation.