Document de référence — applicable à TI Influence Delivery
1. Le texte fondateur : le RGPD
Le Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) est le texte européen de référence en matière de protection des données personnelles, en vigueur depuis le 25 mai 2018.
Il s'applique à toute organisation qui traite des données personnelles de résidents de l'Union européenne, qu'elle soit établie en UE ou non — donc pleinement à votre plateforme.
En France, il est complété par :
- la loi Informatique et Libertés (1978, modifiée en 2018 pour intégrer le RGPD) ;
- le contrôle de la CNIL (Commission Nationale de l'Informatique et des Libertés), autorité chargée de veiller au respect de ces règles et de sanctionner les manquements.
2. Les 7 grands principes du RGPD
| Principe | Ce que cela signifie concrètement |
|---|---|
| Licéité, loyauté, transparence | Toute collecte de données doit reposer sur une base légale (contrat, consentement, obligation légale, intérêt légitime...) et être annoncée clairement aux personnes concernées |
| Limitation des finalités | Les données collectées pour un objectif précis ne peuvent pas être réutilisées pour un autre objectif sans nouvelle base légale |
| Minimisation des données | Ne collecter que ce qui est strictement nécessaire à la finalité poursuivie |
| Exactitude | Les données doivent être tenues à jour ; les données inexactes doivent être rectifiées ou supprimées |
| Limitation de la conservation | Les données ne doivent pas être conservées plus longtemps que nécessaire |
| Intégrité et confidentialité | Sécurité technique et organisationnelle adaptée (chiffrement, contrôle d'accès, etc.) |
| Responsabilité (« accountability ») | L'organisation doit pouvoir prouver sa conformité à tout moment (registre, documentation, procédures) |
3. Les bases légales possibles pour traiter des données
Un traitement de données personnelles doit toujours reposer sur l'une de ces six bases (art. 6 RGPD) :
- Le consentement de la personne concernée
- L'exécution d'un contrat (ex. : gérer une commande passée par un client)
- Une obligation légale (ex. : conservation de factures)
- La sauvegarde des intérêts vitaux d'une personne
- L'exécution d'une mission d'intérêt public
- L'intérêt légitime du responsable de traitement, à condition qu'il ne prime pas sur les droits des personnes
4. Les droits garantis aux personnes
| Droit | Description |
|---|---|
| Droit d'accès | Obtenir une copie des données détenues sur soi |
| Droit de rectification | Corriger des données inexactes |
| Droit à l'effacement | Demander la suppression des données (« droit à l'oubli »), sauf obligation légale contraire |
| Droit à la limitation | Geler temporairement l'utilisation des données en cas de contestation |
| Droit à la portabilité | Récupérer ses données dans un format réutilisable |
| Droit d'opposition | S'opposer à un traitement, notamment à des fins commerciales |
| Droit de retrait du consentement | À tout moment, sans devoir se justifier |
| Droit relatif aux décisions automatisées | Ne pas être soumis à une décision uniquement automatisée produisant des effets juridiques, sans intervention humaine possible |
5. Les obligations concrètes pour une organisation
- Tenir un registre des traitements (art. 30) recensant chaque usage de données personnelles
- Sécuriser les données de façon proportionnée au risque (chiffrement, contrôle d'accès, sauvegardes)
- Réaliser une analyse d'impact (AIPD/DPIA) si le traitement présente un risque élevé (données sensibles, grande échelle, profilage...)
- Désigner un DPO (Délégué à la Protection des Données) dans certains cas définis par la loi (traitement à grande échelle de données sensibles, suivi systématique de personnes) — recommandé même hors obligation
- Encadrer les sous-traitants (hébergeur, prestataire de paiement, outils tiers) par des clauses contractuelles conformes au RGPD (art. 28)
- Encadrer les transferts de données hors UE via des garanties appropriées (clauses contractuelles types de la Commission européenne, décisions d'adéquation)
- Notifier toute violation de données à la CNIL sous 72h, et informer les personnes concernées si le risque est élevé
- Informer les utilisateurs via une politique de confidentialité claire et accessible
6. Les sanctions encourues
En cas de manquement, la CNIL peut :
- prononcer une mise en demeure ;
- ordonner la suspension d'un traitement ;
- infliger une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé.
Les personnes concernées peuvent également engager une action en réparation devant les tribunaux civils.
7. Les textes complémentaires à connaître
| Texte | Ce qu'il régit |
|---|---|
| Directive ePrivacy (transposée en droit français) | Cookies, traceurs, prospection électronique (email, SMS) |
| Digital Services Act (DSA) — Règlement UE 2022/2065 | Obligations spécifiques aux plateformes en ligne et marketplaces : modération, transparence, traçabilité des vendeurs |
| Digital Markets Act (DMA) | Concerne principalement les très grandes plateformes structurantes (« gatekeepers ») — non applicable à votre stade |
| Loi Informatique et Libertés | Version française historique, articulée avec le RGPD |
8. Autorité de contrôle et voies de recours
- CNIL — www.cnil.fr : autorité française compétente pour recevoir les réclamations, mener des contrôles et sanctionner
- Toute personne peut déposer une plainte auprès de la CNIL si elle estime que ses droits ne sont pas respectés
- La CNIL propose également des modèles et guides pratiques (registre des traitements, mentions d'information, analyse d'impact) utiles pour la mise en conformité