Le RGPD (Règlement général sur la protection des données) est la loi européenne qui fixe les règles de collecte et d'utilisation des données personnelles. Applicable depuis le 25 mai 2018 dans toute l'Union européenne, il s'impose à toute organisation qui traite des données de personnes situées dans l'UE, quelle que soit sa taille. Il donne des droits aux personnes (accès, rectification, effacement, opposition) et des obligations aux entreprises. En France, c'est la CNIL qui veille à son application. Il protège les personnes identifiables, et seulement elles.
Un exemple concret
Imaginons un cabinet d'expertise comptable fictif, le cabinet Lefèvre, à Nantes. Il conserve les fiches de paie de ses clients, les coordonnées des dirigeants, des relevés bancaires. Tout cela, ce sont des données personnelles.
Le RGPD impose au cabinet de savoir pourquoi il conserve chaque donnée, de ne pas la garder plus longtemps que nécessaire, de la sécuriser, et de signer un contrat avec chaque prestataire qui y accède, par exemple son logiciel de paie ou son outil d'IA. Si un client demande quelles données le cabinet détient sur lui, le cabinet doit lui répondre, en principe dans un délai d'un mois.
Le RGPD en détail
À qui il s'applique. À toute organisation, publique ou privée, qui traite des données personnelles: entreprises, associations, administrations, professions libérales. Il s'applique aussi aux entreprises hors UE qui ciblent des personnes dans l'Union.
Les deux rôles clés.
- Le responsable de traitement décide pourquoi et comment les données sont traitées. Le cabinet de notre exemple en est un.
- Le sous-traitant traite les données pour le compte du responsable, uniquement sur ses instructions. L'article 28 du RGPD exige un contrat entre les deux.
Les grands principes (article 5). Les données doivent être traitées de façon licite, loyale et transparente, pour une finalité précise, en quantité limitée au nécessaire, exactes, conservées pour une durée limitée et protégées par des mesures de sécurité adaptées.
Une base légale. Chaque traitement doit reposer sur une base légale: consentement, contrat, obligation légale, intérêt légitime, entre autres.
Les données sensibles. L'article 9 interdit en principe le traitement des données de santé, génétiques, biométriques, ou révélant la religion, l'orientation sexuelle, les opinions politiques, l'appartenance syndicale ou l'origine ethnique, sauf exceptions. Voir notre page sur les données de santé.
Les droits des personnes. Droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité.
Les sanctions. Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En France, la CNIL prononce ces amendes et publie une partie de ses décisions.
Ceci est une information générale, pas un conseil juridique.
Ce que le RGPD ne protège pas
Le RGPD est souvent présenté comme une protection complète de vos données. Il ne l'est pas, et ce n'est pas un défaut caché: c'est écrit dans le texte.
- Il ne protège que les données personnelles. Le considérant 26 précise que les principes de protection ne s'appliquent pas aux informations anonymes. Une fois qu'une donnée ne peut plus être reliée à une personne, le RGPD ne s'applique plus. Elle peut alors être regroupée, licenciée et vendue légalement, par exemple à des courtiers en données ou à des développeurs d'IA.
- Il ne protège pas les secrets d'affaires. Un plan de restructuration, une marge, une stratégie de négociation ne sont pas des données personnelles. Le RGPD ne les couvre pas.
- Il autorise ce que vous acceptez. Si les conditions d'un service lui accordent une licence pour réutiliser vos contenus, et que cette réutilisation porte sur des données rendues anonymes, rien dans le RGPD ne l'interdit.
- La frontière est fragile. Une donnée pseudonymisée (nom remplacé par un code) reste personnelle. Une donnée vraiment anonyme est rare: des chercheurs ont montré en 2019 que 99,98 % des Américains pouvaient être réidentifiés à partir de 15 attributs. Notre explication pseudonymisation et anonymisation détaille ce point.
En clair: le RGPD protège le nom. Le contenu, une fois le nom retiré, peut circuler. Notre page la trace des données montre comment un document devient une ligne dans un jeu de données, et pourquoi vendre des données confidentielles est légal rassemble les sources.
Ce que cela signifie quand vous utilisez l'IA
Un outil d'IA est un prestataire comme un autre. Avant de lui confier des documents, vérifiez:
- Un contrat de sous-traitance (article 28) existe-t-il, et le prestataire agit-il uniquement sur vos instructions?
- Les conditions lui accordent-elles une licence pour réutiliser vos contenus, y compris sous forme anonymisée?
- Vos contenus servent-ils à entraîner des modèles?
- Les fournisseurs de modèles conservent-ils les requêtes, ou appliquent-ils le zéro rétention?
- Où les données sont-elles hébergées?
Wysor répond à ces questions par le contrat, pas par une promesse marketing. Wysor agit uniquement comme sous-traitant, sur vos instructions (article 28 du RGPD), et ne prend aucune licence de réutilisation de vos contenus. Nous n'entraînons jamais de modèle sur vos contenus et ne les vendons jamais, anonymisés ou non. Ces engagements figurent dans nos conditions et lient quiconque pourrait un jour posséder Wysor. Les données sont chiffrées en transit et au repos, hébergées dans l'Union européenne, et chaque fournisseur de modèle connecté applique le zéro rétention. Vous accédez à plusieurs modèles (GPT, Claude, Gemini et d'autres) dans un seul espace de travail. Pour la vue d'ensemble, lisez notre page IA conforme au RGPD.
Questions fréquentes
Que veut dire RGPD? RGPD signifie Règlement général sur la protection des données. En anglais, on parle de GDPR (General Data Protection Regulation). C'est le règlement (UE) 2016/679.
Depuis quand le RGPD s'applique-t-il? Le règlement a été adopté en 2016 et s'applique depuis le 25 mai 2018 dans tous les États membres de l'Union européenne.
Qui contrôle le respect du RGPD en France? La CNIL (Commission nationale de l'informatique et des libertés). Elle conseille, contrôle et peut sanctionner. En France, le RGPD s'articule avec la loi Informatique et Libertés de 1978.
Le RGPD concerne-t-il les petites entreprises et les indépendants? Oui. Le RGPD s'applique dès qu'une organisation traite des données personnelles, quelle que soit sa taille. Certaines obligations, comme le registre des traitements, sont allégées dans des cas précis, mais les principes s'appliquent à tous.
Un outil d'IA peut-il être "conforme RGPD"? Un outil peut être conçu pour un usage conforme: contrat de sous-traitance, hébergement dans l'UE, pas d'entraînement, zéro rétention. Mais la conformité dépend aussi de l'usage que vous en faites, en tant que responsable de traitement.
Pour aller plus loin
- Données personnelles: définition et exemples simples
- Pseudonymisation et anonymisation: la différence
- Données de santé: définition et RGPD
- Qu'est-ce que l'IA générative? Explication simple
- IA conforme au RGPD
- La trace des données et pourquoi vendre des données confidentielles est légal
Une question sur le RGPD ou sur l'usage de l'IA dans votre organisation? Écrivez-nous à [email protected] ou via le formulaire de contact dans l'application.
