Questions fréquentes

À 45 minutes d'échange au téléphone : vous racontez votre activité, je pose des questions, je repère les traitements sensibles et les usages d'IA. Vous repartez avec deux ou trois actions concrètes, sans obligation de continuer ensemble.

Non. Aucune préparation n'est nécessaire de votre part. Si vous avez déjà des documents, on les regarde ; sinon on part de votre activité telle qu'elle est.

C'est le cas le plus fréquent. On part de l'existant, sans jugement, et on avance par priorités.

Deux à trois semaines, selon la taille de l'entreprise et le nombre de traitements. L'inventaire des systèmes d'IA se mène en parallèle.

Oui, la majorité des échanges se font à distance. Les ateliers de sensibilisation peuvent se tenir sur site, en Île-de-France notamment.

Le RGPD est le règlement européen qui encadre la collecte, l’utilisation, la conservation et la sécurité des données personnelles. Applicable depuis le 25 mai 2018, il demande aux organismes de définir leurs finalités, de limiter les données utilisées et de pouvoir démontrer le respect de leurs obligations.

La minimisation, la durée limitée, l’information et la sécurité sont des principes complémentaires. Voir les articles 5 et 6 dans le texte du RGPD sur EUR-Lex.

Le RGPD concerne les organismes établis dans l’Union européenne lorsqu’ils traitent des données personnelles dans le cadre de leurs activités. Il peut aussi viser des organismes hors Union qui proposent des biens ou services à des personnes dans l’Union, ou y suivent leur comportement. Aucun seuil général d’effectif ne dispense d’application.

Une TPE qui gère ses clients et sa paie est donc concernée. Les exceptions et le champ territorial sont précisés aux articles 2 et 3 du RGPD.

Voir les articles 2 et 3 du RGPD, chapitre I : articles 2, 3 et 4 (CNIL).

Une donnée personnelle est une information qui identifie une personne physique, directement ou par recoupement : nom, courriel, numéro de client, adresse IP ou photographie, par exemple. Certaines catégories, comme les données de santé, bénéficient d’une protection renforcée. Les données relatives aux condamnations et infractions relèvent d’un régime distinct.

L’article 9 encadre notamment la santé, les opinions politiques, les convictions religieuses, l’orientation sexuelle et les données biométriques utilisées pour identifier une personne de manière unique. Les condamnations et infractions relèvent de l’article 10. Ces catégories ne doivent pas être confondues.

Voir la définition de l’article 4 dans le RGPD, chapitre I : articles 2, 3 et 4 (CNIL) et les articles 9 et 10 dans le RGPD, chapitre II : articles 5, 6, 9 et 10 (CNIL).

Le document qui recense vos traitements de données : quelles données, pour quoi, combien de temps conservées, avec quels outils et quels sous-traitants. C'est la pièce maîtresse de votre conformité, et la première chose qu'un contrôle demande.

Non. Le RGPD n’impose pas d’embaucher un juriste. Vous pouvez vous faire accompagner par un DPO externe ou un consultant pour organiser votre conformité, avec un périmètre de mission et des responsabilités clairement définis.

Le DPO informe, conseille et contrôle la conformité ; sa désignation ne transfère pas les décisions ni la responsabilité du responsable du traitement. Découvrir la mission de DPO externe.

On vous demande de démontrer votre conformité, documents à l'appui. C'est tout l'objet du travail de documentation : montrer ce que vous faites et pourquoi. En tant que DPO externe, je suis votre point de contact pendant l'échange.

Un registre est généralement nécessaire, même dans une petite entreprise : la paie et la gestion habituelle des clients sont des traitements réguliers. L’exemption prévue pour les organismes de moins de 250 salariés est limitée et doit être appréciée pour chaque traitement, selon sa fréquence, ses risques et les données concernées.

L’article 30, paragraphe 5, exclut notamment de cette exemption les traitements non occasionnels, ceux susceptibles de présenter un risque et ceux portant sur des données sensibles ou pénales. Consultez les précisions de la CNIL sur le registre et les organismes de moins de 250 salariés.

La désignation d’un DPO est obligatoire pour les organismes publics, sauf les juridictions dans leur activité juridictionnelle, et lorsque les activités de base impliquent un suivi régulier et systématique à grande échelle ou des traitements à grande échelle de données sensibles ou pénales. La taille seule ne suffit pas.

Pour une structure médico-sociale privée, il faut examiner les activités de base et la grande échelle : le seul accompagnement de personnes vulnérables ne rend pas automatiquement la désignation obligatoire. Hors obligation, elle peut rester utile. Consultez les conditions de désignation du DPO expliquées par la CNIL.

Un consultant RGPD réalise une mission définie, comme un diagnostic ou une analyse d’impact. Un DPO externe exerce les missions prévues par le RGPD et sa désignation est communiquée à la CNIL. Il conseille l’organisme, contrôle la conformité et sert de point de contact, avec des garanties d’indépendance.

Une mission de conseil peut précéder une désignation comme DPO. Les moyens disponibles, l’absence de conflit d’intérêts et le périmètre doivent alors être précisés. Découvrir la mission de DPO externe.

Les missions et garanties du DPO sont présentées dans Devenir délégué à la protection des données (CNIL).

Le coût d’un DPO externe dépend des traitements, de la sensibilité des données, des sites concernés et du travail déjà réalisé. Le pré-diagnostic gratuit permet de préciser le périmètre et de proposer un chiffrage adapté. Un budget pertinent se construit à partir de votre situation et des prestations convenues.

Le devis doit préciser les livrables, la fréquence du suivi et les interventions incluses. Demander un pré-diagnostic pour définir votre besoin.

La désignation d’un DPO ne transfère pas la responsabilité de conformité de l’organisme vers son conseiller. Le DPO informe, conseille et contrôle ; il doit disposer de moyens et d’indépendance. Cette protection dans l’exercice de ses missions ne constitue pas une immunité pour ses propres fautes professionnelles.

Le responsable du traitement reste chargé de décider et de mettre en œuvre les mesures nécessaires. Le sous-traitant conserve ses propres obligations. La responsabilité du dirigeant dépend des faits et du cadre applicable ; elle ne se confond pas automatiquement avec celle de l’organisme. Voir les conditions de désignation du DPO expliquées par la CNIL.

Une PME peut faire l’objet d’un rappel à l’ordre, d’une injonction ou d’une amende selon ses manquements. Les sanctions sont appréciées au cas par cas. Les plafonds du RGPD ne sont pas des montants automatiques ; les conséquences peuvent aussi concerner la relation commerciale et la confiance des personnes.

Selon les manquements, le RGPD prévoit un plafond de 10 millions d’euros ou, pour une entreprise, de 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent. Pour les manquements les plus graves, il atteint 20 millions d’euros ou 4 %, le montant le plus élevé étant retenu. Voir RGPD, chapitre VIII : article 83 (CNIL). La procédure de sanction simplifiée de la CNIL comporte des plafonds propres ; elle ne constitue pas un plafond général réservé aux PME.

En cas de violation de données, commencez par contenir l’incident, conserver les éléments utiles et évaluer le risque pour les personnes. Si une notification est nécessaire, le responsable du traitement doit prévenir l’autorité de contrôle compétente sans retard injustifié et, si possible, dans les 72 heures suivant le moment où il en prend connaissance.

Une notification n’est pas requise si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Si le risque est élevé, les personnes sont également informées sans retard injustifié, sauf exception prévue par le RGPD. Toute violation doit être documentée ; un sous-traitant alerte le responsable du traitement sans retard injustifié. Un dépassement des 72 heures doit être motivé. Voir Violations de données personnelles : les règles à suivre (CNIL) et les articles 33 et 34 dans le RGPD, chapitre IV : articles 24, 28, 30, 33, 34, 37 à 39 (CNIL).

Un site internet est concerné par le RGPD dès qu’il traite des données personnelles, par exemple via un formulaire, un espace client ou des journaux de connexion. Les visiteurs doivent être informés de ces traitements et de leurs droits. Les traceurs soumis au consentement nécessitent aussi un choix préalable.

Les mentions légales et l’information sur les données doivent être accessibles. Pour les cookies soumis au consentement, refuser doit être aussi simple qu’accepter. Ce site a été conçu sans cookie ni ressource externe intégrée.

Voir Conformité RGPD : information des personnes et transparence (CNIL) et Cookies et traceurs : que dit la loi ? (CNIL).

Un bandeau de consentement n’est pas systématique : il est nécessaire de recueillir le consentement avant les traceurs qui y sont soumis. Les traceurs exemptés suivent un régime différent. Ce site utilise une conception sans cookie ni ressource externe intégrée, ce qui évite le recours à un bandeau de consentement.

La publicité et certaines mesures d’audience nécessitent un consentement ; des traceurs strictement nécessaires et certaines mesures d’audience peuvent être exemptés sous conditions. Consultez les explications de la CNIL sur les cookies et traceurs.

La durée de conservation dépend de l’objectif du traitement et des obligations applicables. Il faut distinguer l’utilisation courante des données, leur éventuel archivage intermédiaire et leur suppression. Les repères de la CNIL aident à décider, mais une durée unique ne convient pas à tous les fichiers clients ou prospects.

Pour les données utilisées à des fins de prospection commerciale, la CNIL distingue les clients, pendant la relation commerciale puis trois ans après sa fin, des prospects non clients, trois ans à compter de la collecte ou du dernier contact émanant du prospect. Ce repère ne vaut pas pour toutes les données contractuelles ou comptables, qui peuvent nécessiter un archivage distinct. Voir Questions-réponses sur les référentiels gestion commerciale (CNIL).

Le RGPD protège aussi les salariés lorsque leur employeur utilise leurs données : paie, dossiers du personnel, évaluations ou suivi d’activité. Les traitements doivent être justifiés, proportionnés et expliqués. Les droits applicables dépendent du traitement et de sa base légale ; le droit d’opposition ne concerne pas tous les fichiers RH.

Les dispositifs de contrôle appellent une attention particulière : information préalable des personnes et, lorsqu’elle est requise, consultation du comité social et économique. Voir les règles de la CNIL sur le contrôle de l’activité des salariés.

Avant de choisir un prestataire, déterminez son rôle réel et les données qu’il traite pour votre compte. Un sous-traitant doit présenter des garanties et être encadré par un contrat conforme au RGPD. Vérifiez aussi la sécurité, les prestataires ultérieurs, les lieux d’hébergement et les accès depuis des pays tiers.

Un éditeur ou un cabinet comptable n’est pas automatiquement sous-traitant pour toutes ses activités : voir la qualification des rôles selon la CNIL. Pour les transferts hors Espace économique européen, vérifiez le mécanisme applicable : décision d’adéquation ou garanties appropriées, notamment clauses contractuelles types accompagnées de l’analyse nécessaire. Les articles 28 et 44 à 49 du RGPD précisent ces obligations.

Le temps nécessaire dépend de vos traitements, des documents existants et de la disponibilité des équipes. Un premier diagnostic permet de définir les priorités et le calendrier des livrables. La conformité se construit ensuite dans la durée, avec des mesures concrètes, leur suivi et une documentation régulièrement actualisée.

Le repère de trois à six mois indiqué pour une TPE ou PME aux traitements classiques reste une estimation de travail, à confirmer après diagnostic. Le registre, les mentions d’information et la procédure d’exercice des droits font partie du socle initial ; aucun délai ne garantit à lui seul la conformité.

L’AI Act complète le RGPD sans le remplacer. Lorsqu’un système d’IA traite des données personnelles, les règles de protection des données continuent de s’appliquer. Les deux démarches peuvent partager une partie de leur documentation, mais respecter l’un des règlements ne suffit pas à démontrer le respect de l’autre.

Un inventaire des systèmes d’IA est un outil pratique de pilotage ; un registre distinct n’est pas une obligation générale imposée à toutes les PME. Consultez les explications de la CNIL sur l’articulation entre l’AI Act et le RGPD ou la présentation de l’accompagnement AI Act.

Si votre organisme utilise un système d’IA dans son activité professionnelle, il peut être concerné en tant que déployeur, même si l’outil est acheté. Les obligations dépendent de votre rôle, de l’usage et du niveau de risque. La transparence ne s’applique pas uniformément à tous les outils : certains systèmes et contenus sont spécifiquement concernés.

Consultez le champ d’application de l’AI Act et les obligations de transparence présentés par la Commission européenne.

C’est la compréhension des possibilités, des limites et des risques de l’IA pour l’utiliser avec discernement. Les fournisseurs et déployeurs doivent prendre des mesures pour développer cette maîtrise, adaptées aux personnes, aux outils et à leur contexte d’utilisation.

Aucun format ni durée unique de formation n’est imposé ; une demi-journée ne garantit donc pas, à elle seule, la conformité. L’article 4 modifié de l’AI Act précise que cette obligation n’impose pas de garantir un niveau individuel déterminé.

Oui. Les principales obligations relatives aux systèmes à haut risque s’appliqueront le 2 décembre 2027 pour les systèmes relevant de l’annexe III et le 2 août 2028 pour ceux intégrés à certains produits réglementés de l’annexe I. Le report a été adopté : il ne s’agit plus seulement d’une proposition.

Ce report ne suspend pas les règles déjà applicables, notamment les interdictions, les mesures de littératie et certaines obligations de transparence. Le calendrier exact reste à vérifier pour chaque système. Voir l’annonce de la Commission européenne du 27 juillet 2026 et l’article 113 modifié.

Un inventaire de vos outils et usages d’IA est utile pour déterminer les règles applicables et les relier au registre RGPD. Il ne faut pas le présenter comme un registre uniforme imposé à toutes les organisations.

Les obligations de documentation, de journalisation et d’enregistrement dépendent notamment du système, de son risque et de votre rôle. Voir les obligations des déployeurs de systèmes à haut risque et les règles d’enregistrement.

Le fournisseur assume ses propres obligations ; il ne prend pas automatiquement en charge celles liées à votre utilisation. Selon le système et le calendrier applicable, vous pouvez devoir organiser la supervision humaine, suivre les instructions, informer les personnes ou conserver certains journaux.

Il faut clarifier les responsabilités et obtenir la documentation nécessaire. Les obligations pertinentes figurent notamment aux articles 26 et 50 de l’AI Act.

Le pré-diagnostic est gratuit. Le budget d'un accompagnement dépend du périmètre : nombre de traitements, nombre de sites, présence de données sensibles, usages d'IA. Il est chiffré après le pré-diagnostic, par écrit, avant toute décision.

Une mission de diagnostic est ponctuelle. La fonction de DPO externe s'inscrit dans la durée, avec un engagement annuel révisable. Les missions ponctuelles d'expertise n'engagent que sur leur objet.

Tout ce qui est produit vous appartient : registre, fiches de traitement, plan d'action, supports de sensibilisation. L'objectif est de vous rendre autonome, pas de vous rendre dépendant.

Oui, à distance. Les interventions sur site se concentrent sur l'Île-de-France et l'Essonne, où je suis membre du Club Conseils Essonne.