Ressources et méthode d’interprétation du RGPD

Pour pallier cette problématique, le texte rappelle qu’il existe des mécanismes préexistants au RGPD pour interpréter le droit de l’Union Européenne, et crée en plus des ressources pour faciliter son application. 

Ressources d’interprétation 

Avant de s’intéresser aux acteurs chargés de l’interprétation du cadre juridique lié à la protection des données, il est primordial de rappeler que ce cadre n’est pas constitué uniquement du RGPD. En effet, en France, le sujet de la protection des données est encadré depuis 1978 par la Loi Informatique et Libertés (LIL). Elle a depuis été modifiée et enrichie plusieurs fois pour s’adapter aux évolutions technologiques, élargir la protection qu’elle offre aux personnes et renforcer leurs droits. Ainsi, la conformité à la protection des données en France doit être appréciée à l’aune de ces deux textes, et pas uniquement du RGPD, d’autant que la LIL comprend des points spécifiques à la protection française, que ne contient pas le règlement européen. 

Tout d’abord, le considérant 143 du RGPD rappelle qu’en cas d’incertitude sur la manière d’appliquer le règlement, les juridictions nationales peuvent saisir la Cour de Justice de l’Union Européenne dont l’une de ses missions est de veiller à l’application uniforme du droit de l’UE dans l’ensemble des États membres. Pour ce faire, ils peuvent la saisir afin qu’elle apporte un éclaircissement sur le point concerné (par exemple, récemment, la Cour est intervenue à la demande d’un tribunal autrichien pour préciser le contexte dans lequel une demande de droit pouvait être considérée « abusive », et ainsi être rejetée - Affaire C-526/24 du 19 mars 2026). 

Ensuite, la section 3 du RGPD crée le Comité européen de la protection des données (CEPD). Parmi les missions qui lui sont confiées par l’article 70, figure la publication de lignes directrices, de recommandations et de bonnes pratiques permettant l’application du présent règlement. Ainsi, une centaine de lignes directrices et recommandations ont déjà été publiées afin de préciser différentes notions comme la sous-traitance de données personnelles, la pseudonymisation, le droit d’accès ou encore la notification de violation de données personnelles.  

Par ailleurs, les autorités de contrôle nationales comptent également, au titre de leurs missions dévolues par l’article 57 du RGPD, le conseil concernant l’application des règles en matière de protection des données. En France, c’est la CNIL qui, depuis 1978, accompagne les organismes privés et publics dans leur processus de mise en conformité au RGPD. Pour ce faire, elle crée des outils de sensibilisation, publie des recommandations concrètes d’application et d’interprétation des textes et peut être saisie par n’importe quelle personne en cas de question, par téléphone ou par mail. 

Enfin, le délégué à la protection des données est le dernier chaînon entre le texte et son application concrète au quotidien puisqu’il est de son devoir de conseiller et accompagner les métiers pour respecter les obligations liées à la protection des données. Toutefois, lorsque les autorités précitées ne se sont pas encore positionnées sur le sujet, il peut être pertinent pour le DPD de se rappeler le contexte dans lequel le RGPD est entré en vigueur pour procéder lui-même à l’interprétation. 

Contexte et objectifs du RGPD 

C’est le considérant 146 du RGPD qui l’indique clairement : l’interprétation doit pleinement tenir compte des objectifs du présent règlement. Ces derniers découlent du contexte dans lequel le RGPD a été élaboré. À partir des années 2000, les innovations technologiques (numérisation, dématérialisation, réseaux sociaux) provoquent d’importants changements sociétaux et engendrent la production d’une grande quantité de données personnelles. Celles-ci sont partagées directement par les personnes, parfois à leur insu, lors de l’utilisation des outils numériques. En parallèle, pour faire face aux menaces terroristes, les États exploitent eux aussi ces données dans des fichiers de police et de renseignements. 

La prise de conscience du public arrive en 2013, avec les révélations d’Edward Snowden concernant le projet de cybersurveillance secret américain : il devient nécessaire de créer un cadre de protection des données personnelles afin de protéger la vie privée, les droits et libertés individuelles et collectives de chacun. 

C’est dans ce contexte, avec la volonté d’apporter une protection plus grande aux personnes en encadrant les traitements opérés sur leurs données personnelles que le RGPD est élaboré (Il existait déjà un texte européen, la directive de 1995, censée protéger le droit à la vie privée et harmoniser les normes de différents États membres en matière de protection des données). Il est adopté le 27 avril 2016 et entre en vigueur le 25 mai 2018. Ses objectifs sont clairement affichés :

• Fixer un cadre protecteur pour les données des personnes situées dans l’Union européenne ;
• Renforcer le contrôle dont disposent les personnes sur leurs données. 

Ainsi, lorsqu’un délégué doit faire un travail d’interprétation et d’adaptation d’un des principes à une situation concrète, il est primordial de garder à l’esprit cette volonté de protection des personnes qui a été le moteur de l’élaboration du RGPD. Toutefois, la protection doit être proportionnée aux risques qui pèsent sur les personnes.

Appréciation proportionnée des risques 

Cette appréciation peut s’apparenter à celle qu’il faut mener dans le cadre d’une analyse d’impact (AIPD). Il s’agit en fait de vérifier que les mesures mises en œuvre suite à l’interprétation du principe concerné du RGPD permettent d’assurer la protection des droits et intérêts des personnes concernées de manière proportionnée aux risques existants. Pour ce faire, il faut lister d’un côté les risques pour les personnes concernées, en mesurant la gravité et la vraisemblance si ces derniers survenaient pour les personnes concernées et de l’autre côté, les différents coûts pour le métier. 

Prenons un exemple : il existe un principe général de sécurité des données (article 32 : il faut mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque). Ce dernier n’est pas décliné selon les traitements, on doit donc raisonner en fonction des risques pour déterminer les mesures concrètes à mettre en place. 

Ainsi, pour protéger les dossiers d’inscription périscolaire des enfants, qui contiennent un grand nombre de données personnelles sur des personnes vulnérables, des mesures adaptées au risque doivent être appliquées. Pour les définir, on doit d’abord identifier le risque. S’il s’agit de dossiers papier, il existe le risque qu’une personne malintentionnée pénètre dans le bureau et vole les dossiers, provoquant une rupture de confidentialité, une perte des données et potentiellement des risques d’usurpation d’identité pour les personnes concernées. Si les dossiers sont conservés dans une armoire fermée à clé et que le bureau est fermé à clé en l’absence de l’agent en charge des inscriptions périscolaires, la survenance du risque est moins probable que si les dossiers sont laissés dans une bannette posée sur la borne d’accueil. Si on décidait de stocker les dossiers dans un coffre-fort protégé par un code situé dans un sous-sol fermé à clé, totalement caché du public, la protection serait optimale mais les contraintes pour les agents beaucoup plus importantes. La balance doit être effectuée pour trouver un équilibre entre les contraintes pour l’agent, et la protection des données en fonction des risques. 

Quelle que soit la méthode d’interprétation retenue, il est primordial que le raisonnement qui a conduit à l’application des modalités de mise en œuvre d’un traitement de données soit tracé afin de pouvoir démontrer la démarche de mise en conformité au RGPD (conformément à l’article 5 du RGPD) et la bonne foi de l’organisme dans sa volonté de protéger les personnes.