Diagnostic RGPD

L'article 30, paragraphe 5 dispense de registre les organismes de moins de 250 salariés. C'est la première objection entendue en PME, et elle ne tient presque jamais : la dispense tombe dès que le traitement est susceptible de comporter un risque pour les droits et libertés, qu'il n'est pas occasionnel, ou qu'il porte sur des données sensibles ou relatives aux infractions.

Gérer la paie, suivre ses clients, recruter : ce sont des traitements réguliers, donc non occasionnels. La dispense est vidée de sa portée pour l'essentiel de l'activité d'une entreprise. La CNIL recommande de tenir un registre complet et considère son absence comme un manquement autonome.

Origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques aux fins d'identifier une personne physique de manière unique, données de santé, vie sexuelle ou orientation sexuelle. Le traitement est interdit sauf exception applicable.

Exceptions les plus fréquentes en entreprise : consentement explicite ; obligations en matière de droit du travail et de sécurité sociale ; constatation, exercice ou défense d'un droit en justice ; médecine du travail. Les données relatives aux condamnations et infractions relèvent d'un régime distinct et plus strict (article 10).

C'est le traitement le plus fréquemment sanctionné en TPE et PME, et il obéit à un texte français spécifique : l'article L. 34-5 du code des postes et des communications électroniques, qui se superpose au RGPD.

• Vers des particuliers : consentement préalable à la prospection par courriel, SMS ou automate d'appel. Exception pour vos clients, si la sollicitation porte sur des produits ou services analogues à ceux déjà fournis et que le refus est proposé à chaque envoi.
• Vers des professionnels : la CNIL admet l'information préalable et le droit d'opposition, à condition que le message soit en rapport avec la fonction de la personne démarchée. L'adresse générique de l'entreprise n'est pas une donnée personnelle ; prenom.nom@societe.fr en est une.
• Dans tous les cas : moyen de désinscription simple et gratuit à chaque envoi, et traçabilité de l'origine du contact.

Requise lorsque le traitement est susceptible d'engendrer un risque élevé. La méthode de référence retient neuf critères ; à partir de deux critères réunis, l'analyse doit en principe être conduite.

1. Évaluation ou notation, y compris le profilage
2. Décision automatisée avec effet juridique ou similaire
3. Surveillance systématique
4. Données sensibles ou à caractère hautement personnel
5. Traitement à grande échelle
6. Croisement ou combinaison d'ensembles de données
7. Personnes vulnérables — mineurs, salariés, patients, personnes âgées
8. Usage innovant ou application de nouvelles technologies
9. Le traitement empêche d'exercer un droit ou de bénéficier d'un service ou d'un contrat

La CNIL publie en outre une liste de traitements pour lesquels l'analyse est obligatoire, et une liste de ceux qui en sont dispensés. À consulter avant de conclure.

L'article 22 interdit par principe qu'une personne fasse l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l'affectant de manière significative. Trois exceptions : nécessité contractuelle, autorisation par le droit de l'Union ou national, consentement explicite. Dans tous les cas, la personne conserve le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision.

Une validation humaine de pure forme ne suffit pas à sortir du champ de l'article 22 : il faut une personne dotée de la compétence et de l'autorité de modifier l'issue.

Désignation obligatoire dans trois cas : autorité ou organisme public ; activités de base consistant en un suivi régulier et systématique à grande échelle ; activités de base consistant en un traitement à grande échelle de données sensibles ou relatives aux infractions. Hors ces cas, la désignation reste possible et recommandée dès qu'il existe une activité de traitement structurée.

Notification à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque. Information des personnes concernées si le risque est élevé. Toute violation doit être documentée en interne, même non notifiée.

La maille d'analyse

Le RGPD ne se raisonne pas par outil ni par service, mais par traitement : un ensemble d'opérations poursuivant une finalité déterminée. « Notre CRM » n'est pas un traitement. « Gestion de la relation client », « prospection commerciale » et « recrutement » en sont trois, même s'ils partagent le même logiciel. Une finalité, une base légale, une durée de conservation, une fiche de registre.

Ce que fait cet outil

Il construit une fiche de registre conforme aux mentions de l'article 30, puis contrôle la cohérence de l'ensemble : la base légale tient-elle au regard de la finalité et des personnes concernées, une analyse d'impact est-elle déclenchée, la prospection respecte-t-elle le régime français, une décision automatisée est-elle en jeu, les transferts sont-ils encadrés, la désignation d'un délégué est-elle obligatoire.

Ce qu'il ne fait pas

• Il ne conduit pas l'analyse d'impact. Il indique qu'elle est requise et sur quels critères.
• Il ne rédige pas la mise en balance de l'intérêt légitime, ni les mentions d'information, ni les clauses de sous-traitance de l'article 28.
• Il ne traite pas le régime des cookies et traceurs, qui relève de la directive ePrivacy transposée à l'article 82 de la loi Informatique et Libertés, avec un régime de consentement distinct.
• Il ne couvre pas les régimes sectoriels : santé, secteur bancaire, données de connexion.
• Il ne remplace pas l'avis d'un conseil sur les situations à enjeu.

Articulation avec l'IA Act

Les deux régimes se cumulent sans se substituer. Un système d'IA à haut risque au sens de l'annexe III — tri de candidatures, scoring de crédit — constitue presque toujours un traitement à risque élevé au sens du RGPD, déclenchant une analyse d'impact et, s'il produit des effets juridiques, l'encadrement de la décision individuelle automatisée. Le report des obligations « haut risque » de l'IA Act à décembre 2027 ne reporte rien du RGPD, qui s'applique dès aujourd'hui à ces traitements.

Depuis le règlement (UE) 2026/1744, l'analyse d'impact sur les droits fondamentaux de l'article 27 de l'IA Act peut renvoyer aux sections pertinentes de l'analyse d'impact menée au titre de l'article 35 du RGPD. Conduire l'analyse RGPD d'abord fait donc gagner du temps sur le volet IA Act. Le diagnostic IA Act couvre ce volet.

Sources

• Règlement (UE) 2016/679 — protection des personnes physiques à l'égard du traitement des données à caractère personnel
• Loi n° 78-17 du 6 janvier 1978 modifiée, dite Informatique et Libertés
• Article L. 34-5 du code des postes et des communications électroniques
• Lignes directrices WP248 rév. 01 du groupe de travail « Article 29 » relatives à l'analyse d'impact, endossées par le Comité européen de la protection des données
• Référentiel CNIL relatif aux traitements de gestion des activités commerciales
• Comité européen de la protection des données et Contrôleur européen de la protection des données, avis conjoint 2/2026 sur l'Omnibus numérique, adopté le 10 février 2026

Le registre est le point de départ, pas l'arrivée. Reste à traiter les ruptures que le diagnostic révèle — et à décider par quoi commencer. C'est l'objet d'un échange court et concret, sans engagement.