Janvier 2019, neuf mois après l'entrée en vigueur du règlement européen
Pourquoi Google a-t-elle écopé d'une amende de 50 millions d'euros quelques mois seulement après l'entrée en vigueur d'un règlement européen que personne ne connaissait vraiment ? Parce que le 25 mai 2018, l'Union européenne a activé le bouclier le plus puissant jamais conçu pour protéger vos données personnelles : le RGPD. Et les géants du web l'ont appris à leurs dépens.
« Tout comme le code de la route fixe des règles claires pour circuler en sécurité — limitations de vitesse, priorités, sanctions — le RGPD établit un cadre précis pour que vos données circulent de manière sécurisée entre les entreprises, avec des droits pour vous et des obligations pour elles. »
Naissance d'un bouclier européen
Du papier au cloud : 40 ans de protection des données
- 1978
Loi Informatique et Libertés en France, pionnière mais limitée au territoire national
- 1995
Directive européenne 95/46/CE, conçue avant l'ère des réseaux sociaux et du cloud
- Mars 2018
Scandale Cambridge Analytica : 87 millions de profils Facebook exploités sans consentement
- 25 mai 2018
Entrée en vigueur du RGPD dans les 27 pays de l'Union européenne
- Janvier 2019
Première sanction record : Google condamnée à 50 millions d'euros par la CNIL
Le Règlement Général sur la Protection des Données est un texte européen de 99 articles qui harmonise les règles nationales et s'impose à toute organisation traitant des données de résidents…
Le RGPD s'applique même aux entreprises américaines, chinoises ou japonaises dès qu'elles traitent des données de résidents européens. C'est ainsi qu'Amazon Luxembourg a écopé de 746 millions d'euros d'amende en 2021, record absolu en Europe.
Avant et après le RGPD : qu'est-ce qui a vraiment changé ?
Tu sais maintenant que le RGPD s'impose partout, même aux géants américains. Mais concrètement, qu'est-ce qu'il protège ? Tes données, bien sûr — mais lesquelles exactement ?
Qu'est-ce qu'une donnée personnelle ?
Toute information se rapportant à une personne physique identifiée ou identifiable constitue une donnée personnelle. Votre nom, votre email, votre adresse IP, mais aussi la combinaison de critères indirects qui permettent de vous reconnaître : c'est le périmètre du RGPD.
- Identifiants directs
Nom, prénom, email, numéro de téléphone, adresse postale, adresse IP — tout ce qui vous désigne immédiatement
- Identifiants indirects
Combinaison de critères permettant l'identification : âge + ville + profession peut suffire à vous reconnaître
- Données sensibles
Santé, opinions politiques, orientation sexuelle, origine ethnique — 9 catégories à protection renforcée
- Données comportementales
Historique de navigation, achats en ligne, géolocalisation — tout ce qui trace vos actions numériques
Ordres de grandeur : le poids invisible de vos données
Marie, 34 ans, achète un test de grossesse sur un site e-commerce. Le site enregistre son nom, son historique d'achat, son adresse de livraison et son adresse IP. Quelques jours plus tard, elle reçoit des publicités ciblées pour des assurances maternité et des produits pour bébé.
Le site a collecté des données personnelles (nom, adresse) et des données de santé sensibles (achat révélant une grossesse potentielle). En revendant cette information à des partenaires publicitaires sans consentement explicite, il viole doublement le RGPD : traitement de données sensibles et absence de consentement.
Toute donnée qui révèle indirectement votre état de santé est protégée au même titre qu'un dossier médical.
Remplacer votre nom par un code (pseudonymisation) ne suffit pas à sortir du RGPD. Seule l'anonymisation irréversible — impossible de remonter à vous — échappe au règlement.
Maintenant que tu sais ce qu'on peut tracer sur toi, tu te demandes : et moi, je peux faire quoi ? Spoiler : beaucoup plus que tu ne le crois.
Vos nouveaux super-pouvoirs
Le RGPD vous donne 8 droits concrets, opposables à toute organisation qui détient vos données. Ces droits ne sont pas théoriques : vous pouvez les exercer par simple email, et l'entreprise a 1 mois maximum pour vous répondre. Silence = refus implicite, et vous pouvez alors saisir la CNIL.
Les 8 droits que vous pouvez exercer dès maintenant
- Étape 1Droit d'accès
Obtenir copie de toutes vos données détenues par l'entreprise, dans un délai d'1 mois
- Étape 2Droit de rectification
Corriger des informations inexactes ou incomplètes vous concernant
- Étape 3Droit à l'effacement
Demander la suppression de vos données (« droit à l'oubli ») sauf obligation légale de conservation
- Étape 4Droit à la portabilité
Récupérer vos données dans un format réutilisable pour les transférer ailleurs
- Étape 5Droit d'opposition
Refuser un traitement de vos données pour motif légitime, notamment prospection commerciale
Retenez ces 4 actions concrètes — les plus utilisées au quotidien — pour mémoriser l'essentiel de ce que le RGPD vous donne comme pouvoir face aux entreprises. Vous pouvez dire OUI (consentement), dire NON (opposition), récupérer vos affaires (portabilité) ou tout effacer (suppression).
En janvier 2019, Thomas, développeur à Lyon, exerce son droit d'accès auprès de Google. Trois semaines plus tard, il reçoit un lien vers une archive de 28 Go : 10 ans d'historique de recherches, tous ses déplacements géolocalisés, ses emails, ses vidéos YouTube regardées. Choqué par l'ampleur, il exerce immédiatement son droit à l'effacement sur ses données de géolocalisation antérieures à 2017. Google s'exécute sous 15 jours.
Délais et chiffres-clés de vos droits
Une banque peut refuser de supprimer vos données si elle a une obligation légale de conservation, comme la lutte anti-blanchiment qui impose 5 ans minimum.
Tu as tes droits. Mais de l'autre côté, qu'est-ce que les entreprises doivent faire pour te respecter ? C'est là que ça devient sérieux pour elles.
Les obligations béton des entreprises
Le RGPD ne se contente pas de vous donner des droits : il impose aux entreprises des obligations concrètes, documentées, vérifiables. Chaque traitement de données doit être justifié, sécurisé, tracé. Et en cas de violation, l'entreprise a 72 heures pour prévenir la CNIL.
Collecter uniquement les données strictement nécessaires à la finalité déclarée, rien de plus
Obtenir un accord libre, éclairé et univoque avant tout traitement non obligatoire
Documenter toutes les opérations sur les données : qui, quoi, pourquoi, combien de temps, où
Chiffrement, contrôles d'accès, sauvegardes — protéger les données contre toute violation
Prévenir la CNIL sous 72h en cas de piratage ou de fuite de données, et les personnes concernées si risque élevé
Collecter uniquement les données strictement nécessaires à la finalité déclarée, rien de plus
Obtenir un accord libre, éclairé et univoque avant tout traitement non obligatoire
Documenter toutes les opérations sur les données : qui, quoi, pourquoi, combien de temps, où
Chiffrement, contrôles d'accès, sauvegardes — protéger les données contre toute violation
Prévenir la CNIL sous 72h en cas de piratage ou de fuite de données, et les personnes concernées si risque élevé
Le DPO est la personne chargée de piloter la conformité RGPD dans l'entreprise. Obligatoire pour les organismes publics et certaines structures privées traitant des données sensibles à grande échelle.
La startup parisienne Doctolib, plateforme de prise de rendez-vous médicaux, traite des millions de données de santé sensibles chaque jour. En 2023, elle emploie 45 personnes dédiées à la conformité RGPD : DPO, juristes, ingénieurs sécurité, auditeurs.
Doctolib documente 127 traitements différents dans son registre, réalise des audits de sécurité trimestriels, et a mis en place un système de chiffrement de bout en bout pour les consultations en ligne. Chaque nouveau service est conçu avec la protection des données dès l'origine (privacy by design).
Pour une entreprise manipulant des données sensibles, la conformité RGPD n'est pas une case à cocher : c'est une organisation permanente et des investissements massifs.
Chiffres-clés des obligations
Qui doit désigner un DPO obligatoirement ?
Vous recevez un email d'une entreprise vous demandant de « confirmer vos données personnelles » en cliquant sur un lien. Quels réflexes RGPD devez-vous avoir avant de répondre ?
Vérifiez d'abord l'expéditeur (risque de phishing). Rappelez-vous que VOUS avez un droit d'accès : c'est à l'entreprise de vous fournir vos données, pas l'inverse. Aucune organisation sérieuse ne demande de confirmation par lien cliquable. Contactez directement l'entreprise par un canal officiel (site web, téléphone) pour vérifier la demande.
Les obligations sont claires. Mais qui vérifie vraiment que les entreprises les respectent ? Et surtout : qu'est-ce qui se passe si elles trichent ?
Le gendarme et son bâton
Les sanctions RGPD ne sont pas théoriques. Depuis 2018, les autorités européennes ont infligé plus de 1,6 milliard d'euros d'amendes. Google, Amazon, Meta, Microsoft : tous les géants ont payé. Et les sanctions sont publiques, avec un effet réputationnel dévastateur.
Pour ciblage publicitaire abusif — le montant le plus élevé jamais prononcé en Europe
- Amazon (Luxembourg, 2021)746M€
- Meta Ireland (Irlande, 2023)390M€
- Meta Platforms (Irlande, 2022)265M€
- WhatsApp (Irlande, 2021)225M€
- Google (France, 2020)90M€
En janvier 2019, neuf mois après l'entrée en vigueur du RGPD, la CNIL française inflige à Google Ireland une amende de 50 millions d'euros. Le motif : sur google.fr, des cookies publicitaires étaient déposés sans consentement préalable, et les informations sur le traitement des données étaient diluées dans plusieurs documents, rendant le consentement impossible à donner de manière éclairée. C'est la première sanction record du RGPD, et elle fait la une mondiale.
Anatomie des sanctions RGPD
Pour donner une idée de l'ampleur : cette seule sanction RGPD représente plus que le budget de fonctionnement annuel d'une douzaine de CHU. Les sanctions ne sont plus symboliques.
Une TPE de 8 salariés ayant subi un piratage mais ayant respecté ses obligations (sécurité, notification sous 72h) peut échapper à toute sanction si elle démontre sa bonne foi et ses efforts de…
Les amendes pleuvent, c'est vrai. Mais toi, si une entreprise viole tes droits demain, tu fais comment pour te défendre ? On te montre le chemin.
Que faire quand vos droits sont bafoués
Vous avez exercé votre droit d'accès, l'entreprise ne répond pas. Vous demandez l'effacement, on vous oppose un refus sans justification. Vous recevez des emails publicitaires malgré votre opposition. Le RGPD prévoit un parcours de recours concret, gratuit, accessible à tous.
Les 4 étapes pour faire valoir vos droits
- 11. Contacter l'entreprise
Email ou courrier recommandé décrivant précisément votre demande. Conservez une copie et la preuve d'envoi.
- 22. Attendre 1 mois maximum
L'entreprise a 1 mois pour répondre (3 mois si complexe). Silence = refus implicite.
- 33. Plainte à la CNIL
Formulaire en ligne gratuit sur cnil.fr. Instruction sous 3 à 6 mois. Joignez tous les échanges avec l'entreprise.
- 44. Recours judiciaire
Tribunal judiciaire, avec ou sans avocat. Possibilité d'action de groupe via une association agréée.
L'activité de la CNIL en chiffres
En mai 2020, l'association La Quadrature du Net dépose une plainte collective contre 5 géants du web : Google, Apple, Facebook, Amazon et Microsoft. Le motif : non-respect du consentement libre et éclairé pour le dépôt de cookies publicitaires. En quelques semaines, 12 000 personnes se joignent à l'action. Quatre ans plus tard, en 2024, la procédure est toujours en cours, illustrant la longueur des recours mais aussi la puissance des actions de groupe.
Une simple insatisfaction commerciale (produit défectueux, service médiocre, retard de livraison) n'est PAS un motif de plainte RGPD.
Tout ça, c'est beau en théorie. Mais dans ta vie de tous les jours, quand tu postes une photo ou tu cherches un job, comment ça marche vraiment ?
RGPD et vie quotidienne
Le RGPD n'est pas une abstraction juridique : il vous concerne chaque jour. Quand vous naviguez sur un site, postulez à un emploi, utilisez une app de santé, partagez une photo sur un réseau social. Voici les situations concrètes où vos droits s'appliquent.
- Cookies et traceurs
Consentement obligatoire avant tout dépôt (sauf cookies strictement nécessaires au fonctionnement du site)
- Prospection commerciale
Opt-in pour les emails (accord préalable), opt-out pour le téléphone (droit d'opposition)
- Réseaux sociaux
Paramètres de confidentialité, droit à la portabilité de vos photos/messages, droit à l'effacement
- Santé et bien-être
Dossier médical partagé, apps de suivi, consentement renforcé pour toute donnée de santé
- Ressources humaines
CV, entretiens, badges biométriques — les recruteurs ne peuvent pas tout demander
Sophie, 29 ans, candidate à un poste de comptable à Nantes. Lors de l'entretien, le recruteur lui demande une photo récente, son âge précis, sa situation familiale (mariée ? enfants ?) et ses projets de maternité. Sophie est mal à l'aise mais répond par politesse.
Ces questions violent le RGPD : elles collectent des données non nécessaires au recrutement (photo, âge précis, situation familiale) et des données sensibles (projets de maternité = donnée de santé potentielle). Le recruteur n'a le droit de demander QUE les informations strictement nécessaires à l'évaluation des compétences.
Sophie aurait pu refuser poliment de répondre, en invoquant le RGPD. Si elle avait été écartée pour ce motif, elle aurait pu déposer plainte à la CNIL et au Défenseur des droits (discrimination).
RGPD et pratiques du web
Connectez-vous à votre compte Google, allez dans « Données et confidentialité », cliquez sur « Télécharger vos données ». Sélectionnez tous les services (Gmail, Maps, YouTube, Recherche…) et demandez l'archive. Google a 1 mois pour vous la fournir.
Vous recevrez un lien vers une archive ZIP de plusieurs gigaoctets : historique de recherches, emails, vidéos regardées, lieux visités, contacts, photos… 10 à 15 ans de vie numérique.
C'est votre droit d'accès en action. Vous découvrirez l'ampleur des données collectées, et vous pourrez ensuite exercer votre droit à l'effacement sur les catégories qui vous choquent. C'est gratuit, légal, et instructif.
Un site web sans formulaire de contact, sans cookies, sans collecte d'emails n'a AUCUNE obligation RGPD. Pas de traitement de données personnelles = pas de RGPD. Simple et efficace.
Le RGPD vous donne un pouvoir réel sur vos données : vous pouvez les consulter, les corriger, les récupérer, les effacer, et refuser leur exploitation commerciale.
Testez vos connaissances RGPD
- Le RGPD, en vigueur depuis le 25 mai 2018, harmonise la protection des données dans toute l'UE et s'impose même aux entreprises hors Europe traitant des données de résidents européens.
- Vous disposez de 8 droits concrets (accès, rectification, effacement, portabilité, opposition…) opposables à toute organisation, avec un délai de réponse d'1 mois maximum.
- Les entreprises doivent respecter des obligations strictes : consentement explicite, minimisation des données, registre des traitements, notification des violations sous 72h.
- Les sanctions peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial — Google, Amazon, Meta ont déjà payé des centaines de millions d'amendes.
- En cas de violation de vos droits, vous pouvez saisir gratuitement la CNIL en ligne, et des associations peuvent porter des actions de groupe pour défendre des milliers de victimes simultanément.
- [1]CNIL — Règlement européen sur la protection des données (RGPD)— Consulté en 2024