RGPD et protection des données en France : guide de conformité pour les entreprises étrangères

Pour être conforme au RGPD en France, cartographiez vos traitements de données, définissez une base légale pour chaque usage, tenez un registre des traitements (article 30), publiez des mentions d’information claires, sécurisez les données, gérez les droits des personnes et suivez les recommandations de la CNIL, l’autorité française chargée de faire appliquer le RGPD et la loi Informatique et Libertés.

La France applique le RGPD en complément des règles nationales issues de la loi Informatique et Libertés, sous le contrôle d’un régulateur actif : la CNIL. Les entreprises étrangères qui traitent des données de résidents français s’exposent à un risque réel de sanction. Ce guide présente les étapes pratiques de mise en conformité et les points propres à la CNIL qui piègent souvent les équipes internationales.

Les étapes de la conformité RGPD en France

Le RGPD s’applique-t-il à une entreprise établie hors de France ?

Oui. Si vous proposez des biens ou des services à des personnes situées en France, ou si vous suivez leur comportement, le RGPD s’applique quel que soit le lieu d’implantation de votre entreprise. Lorsque l’article 3(2) du RGPD s’applique et que vous n’avez aucun établissement dans l’Union européenne, vous devez désigner un représentant dans l’UE conformément à l’article 27 du RGPD, sauf exceptions limitées (par exemple, un traitement occasionnel et à faible risque qui n’implique pas de traitement à grande échelle de catégories particulières de données). La CNIL peut enquêter sur les entreprises étrangères dans ces situations.

Quels sont les points de vigilance propres à la CNIL ?

• Droits des personnes : la CNIL attend un traitement clair et rapide des demandes d’accès, d’effacement, d’opposition (notamment à la prospection commerciale) et des autres droits prévus par le RGPD, sans obstruction systématique ni refus injustifiés.
• Durées de conservation : vous devez définir, documenter et réellement appliquer des durées de conservation, supprimer ou anonymiser les données lorsqu’elles ne sont plus nécessaires et justifier toute conservation plus longue au regard du droit français (par exemple, délais de prescription ou obligations d’archivage).
• Sécurité des données et violations : la CNIL examine les mesures techniques et organisationnelles concrètes ainsi que la manière dont vous détectez, analysez et signalez les incidents. Une sécurité insuffisante et une mauvaise gestion des violations donnent régulièrement lieu à des sanctions.
• Cookies et traceurs : la CNIL applique des règles strictes en matière de consentement aux cookies, a sanctionné de grandes entreprises pour leurs bannières cookies et a récemment publié des recommandations pratiques dédiées aux traceurs.
• Transferts de données : les transferts hors de l’UE/EEE nécessitent un mécanisme valable (décision d’adéquation, clauses contractuelles types, BCR) et, le cas échéant, une analyse d’impact des transferts documentée ainsi que des mesures supplémentaires. La CNIL porte une attention particulière aux transferts impliquant des prestataires américains et aux données de santé ou autres données sensibles.
• Données sensibles et RH : la CNIL contrôle de près les données de santé, la surveillance des salariés et les dispositifs d’accès biométriques.
• Langue française : les mentions d’information destinées aux consommateurs français doivent être disponibles en français.

Quand faut-il un DPO ou une AIPD ?

La désignation d’un délégué à la protection des données (DPO) est obligatoire pour les organismes publics et pour les organismes dont l’activité principale implique un suivi régulier et systématique des personnes à grande échelle, ou un traitement à grande échelle de données sensibles ou de données relatives aux condamnations pénales. Une analyse d’impact relative à la protection des données (AIPD) est requise lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, par exemple en cas de profilage à grande échelle ou de surveillance systématique.

Quelles sanctions en cas de non-conformité ?

Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La CNIL peut également prononcer des mises en demeure, des injonctions et des sanctions publiques. L’atteinte à la réputation et la perturbation de l’activité dépassent souvent le montant de l’amende elle-même.

Responsable de traitement ou sous-traitant : qui est responsable ?

En résumé

Notre équipe en protection des données conçoit et audite les programmes de conformité RGPD des entreprises étrangères implantées en France, de la conformité des cookies et pixels aux transferts internationaux, jusqu’aux contrôles de la CNIL. De Gaulle Fleurance transforme les règles de protection des données en un modèle opérationnel applicable et défend ses clients lorsque le régulateur intervient.