Introduction

En 2024, la CNIL a prononcé plus de 85 millions d'euros d'amendes, en hausse de 40 % sur un an. Google a été sanctionné à 325 M€ pour manquement au RGPD sur les cookies publicitaires (décembre 2023). Amazon France Logistique a écopé de 32 M€ pour avoir surveillé abusivement ses salariés. Et Clearview AI a cumulé 20 M€ d'amende en 2022, renouvelée pour non-paiement en 2023.

Au niveau européen, Meta (Facebook) a été frappé d'une amende record de 1,2 milliard d'euros par l'autorité irlandaise (DPC) en mai 2023 pour transferts illicites de données vers les États-Unis. Ces chiffres traduisent une réalité : la donnée personnelle est devenue un actif surveillé et sanctionné.

1. Les enjeux de la protection des données à caractère personnel

1.1 Le besoin de protection

Naviguer sur Internet, utiliser une app mobile ou un outil SaaS professionnel conduit à laisser une multitude de données à caractère personnel : nom, prénom, adresse IP, géolocalisation, habitudes de navigation, goûts musicaux, opinions politiques...

Ces données révèlent une part importante de la vie privée. Leur traitement comporte trois risques majeurs :

1.2 Le cadre juridique : le RGPD

La protection repose principalement sur le

Ses apports majeurs :

1. Amélioration de l'information : l'internaute est informé des données collectées, de la durée de conservation, de la finalité, et en cas de piratage.
2. Renforcement des droits : droit d'accès, de rectification, de suppression (« droit à l'oubli »), de portabilité, d'opposition.
3. Consentement explicite : fin des cases pré-cochées.

     ┌─────────────────────────────────────────┐
     │      DROITS DE LA PERSONNE (RGPD)       │
     └──────────────────┬──────────────────────┘
                        │
    ┌───────────┬───────┼───────┬───────────┬─────────┐
    ▼           ▼       ▼       ▼           ▼         ▼
 Information  Accès  Rectif.  Suppression  Portab.  Opposition
   (art.13)  (art.15)(art.16)  (art.17)    (art.20) (art.21)

1.3 La CNIL, gardienne de la conformité

La CNIL assure le respect du RGPD en France. Elle dispose :

• D'un pouvoir préventif : information, guides, labels de certification
• D'un pouvoir curatif :
  • Mise en demeure (rappel à la conformité)
  • Amendes pécuniaires jusqu'à 20 M€ ou 4 % du chiffre d'affaires annuel mondial (le plus élevé des deux)

1.4 La protection contre l'usurpation d'identité numérique

L'usurpation d'identité numérique consiste à collecter les données d'une personne pour se faire passer pour elle (contracter un crédit, tenir des propos diffamants, etc.).

Sanctions pénales (article 226-4-1 du Code pénal) : jusqu'à 1 an d'emprisonnement et 15 000 € d'amende. La victime peut aussi réclamer des dommages-intérêts devant le juge civil.

2. Les conséquences juridiques pour l'entreprise

2.1 La logique d'accountability

Le RGPD a renversé la logique : ce n'est plus à la CNIL de prouver qu'une entreprise fraude, c'est à l'entreprise de prouver sa conformité. C'est la logique d'accountability.

Deux principes guident les entreprises :

• Privacy by default : par défaut, le plus haut niveau de protection des données
• privacy by design : intégrer la protection dès la conception

2.2 Le rôle du DPO

Le DPO est chargé de :

• Informer et conseiller sur les obligations RGPD
• Contrôler le respect du règlement
• Coopérer avec la CNIL
• Être point de contact pour les personnes concernées

En 2024, on estime à plus de 30 000 le nombre de DPO déclarés auprès de la CNIL en France.

2.3 La protection des données des salariés

L'employeur traite de multiples données de ses salariés (paie, évaluation, géolocalisation des véhicules...). Il doit :

• Limiter la collecte à ce qui est nécessaire à la gestion du salarié
• Sécuriser les données (accès restreints, chiffrement, sauvegardes)
• Respecter les droits des salariés (information, accès, rectification)

L'employeur peut encadrer l'usage des outils numériques (règlement intérieur, charte informatique). Il peut en principe consulter les mails professionnels — sauf ceux marqués explicitement « personnel » (arrêt Nikon, Cass. soc. 2 octobre 2001). Il ne peut pas lire les messages d'un compte personnel fermé (jurisprudence constante).

3. Le lien avec le droit européen : e-IDAS, DMA, DSA

Le RGPD s'inscrit dans un écosystème réglementaire européen :

• e-IDAS : cadre européen de la signature électronique et de l'identité numérique.
• DMA : 6 gatekeepers désignés en 2023, obligations renforcées.
• DSA : transparence et modération renforcées.

Points clés à retenir

Pour aller plus loin

• Site CNIL : cnil.fr — guides, modèles de registres, décisions
• Règlement RGPD : eur-lex.europa.eu (texte intégral)
• Bilan CNIL 2024 : rapport annuel
• Chapitres liés :
  • → La protection des actifs immatériels dans l'univers numérique
  • → La preuve électronique et le contrat électronique