Le règlement général sur la protection des données (RGPD), officiellement appelé règlement UE 2016/679 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, est un règlement de l'Union européenne, adopté le , qui constitue le texte de référence en matière de protection des données à caractère personnel.. Il renforce et unifie la protection des données pour les individus au sein de l'Union européenne.

Après quatre années de négociations législatives, ce règlement a été définitivement adopté par le Parlement européen le . Ses dispositions sont directement applicables dans l'ensemble des 27 États membres de l'Union européenne à compter du , et à compter du en Islande, Liechtenstein et Norvège (États membres de l'Espace économique européen (EEA)). après que le EEA Joint Committee et ces trois pays sont convenus de respecter la réglementation..

Ce règlement remplace la directive 95/46/CE sur la protection des données personnelles adoptée le et en vigueur jusqu'au .

Les principaux objectifs du RGPD sont d'accroître à la fois la protection des personnes concernées par un traitement de leurs données à caractère personnel et la responsabilisation des acteurs de ce traitement. Ces principes pourront être appliqués grâce à l'augmentation du pouvoir des autorités de contrôle.

Contexte En , la Commission européenne a proposé une réforme globale des règles en matière de protection des données personnelles dans l’Union européenne. Cette réforme comporte deux volets : la mise à jour et la modernisation des principes énoncés dans la directive européenne de 1995 sur la protection des données, sous la forme de ce règlement général sur la protection des données la rédaction d'une nouvelle Directive relative à la protection des données à caractère personnel dans le cadre des activités policières et judiciaires..

L’objectif de ce nouveau règlement est de .

Le Parlement européen a modifié ce règlement et l'a adopté le en .. Les négociations se sont poursuivies entre les délégations de la Commission européenne, du Parlement européen et du Conseil de l'Union européenne et ont pris fin le . Le projet de règlement a été voté en Commission des libertés civiles, de la justice et des affaires intérieures (LIBE) le ... La France a transposé le règlement dans une loi adoptée le Adoption du projet de loi (site de l'Assemblée Nationale).

Le règlement européen a été publié le dans le Journal officiel de l'Union européenne et entre en vigueur le vingtième jour suivant celui de sa publication..

Ce règlement, applicable à partir du , est .. Le scandale Facebook-Cambridge Analytica, autour du vol, puis de l'analyse et de la réutilisation manipulatrices de données personnelles, à des fins électorales, aux Etats-Unis et au Royaume-Uni, éclate peu de temps avant sa mise en application. On constatera aussi l'existence d'entreprises comme (entreprise-sœur, canadienne, de Cambridge Analytica, créé par la même maison-mère) qui utilisent le (y compris des données personnelles illégalement acquises sur les comptes Facebook de d'internautes) pour produire des messages électoraux trompeurs et ciblés empêchant le libre arbitre des électeurs de s'exercer....

Principales dispositions Pour les entreprises, la conformité au RGPD, outre l'obligation légale, permet de gérer efficacement ses données, de contrôler les accès et d'en garantir la sécurité.. Le règlement consacre également le principe de « responsabilité » (accountability), selon lequel le responsable de traitement doit être en mesure de démontrer à tout moment le respect des obligations prévues par le RGPD.

Le règlement contient des confirmations ou des évolutions, avec des principes clés, tels que. :

+Principales dispositions du règlementPrincipe-clé et articleDescriptionLe cadre harmoniséIl y a désormais un seul ensemble de règles relatives à la protection des données, directement applicable dans tous les États membres de l'Union européenne, atténuant ainsi la fragmentation des lois nationales de protection des données.L'application extra-territoriale ()Le règlement s'inscrit dans les dispositions juridiques bénéficiant de l'extraterritorialité du droit européen. Il s'applique aux entreprises établies en dehors de l'Union européenne qui traitent les données relatives aux activités des organisations de l'UE. Les sociétés non européennes sont également soumises au règlement dès qu'elles ciblent les résidents de l'UE par le profilage ou proposent des biens et services à des résidents européens.Le consentement « explicite » et « positif »Les entreprises et organismes doivent donner aux citoyens davantage de contrôle sur leurs données privées, notamment via l'acceptation des cookies sur les sites internet et sur le contrôle de l'utilisation qui est faite des données que les internautes envoient dans les formulaires de contact. Par exemple, il n'est plus possible que la case « j'accepte de recevoir la newsletter » soit pré-cochée lors de l'envoi d'un formulaire de contact dans lequel l'e-mail est indiqué.Transparence des informations et modalités de l'exercice des droits (article 12)Les obligations d'information et de réponses à l'exercice individuel des droits qui incombent aux responsables de traitements doivent être mises en œuvre de façon transparente (notamment : claire, simple, aisément accessible ; a priori écrite ; gratuite). Par principe, le délai de réponse à l’exercice de droits est fixé à un mois. La seule réserve étant le caractère excessif ou infondé de la demande.Le droit d'accès (article 15)"La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel" ainsi que d'autres informations (notamment leurs finalités, destinataires, source et l'existence d'un profilage).Le droit de rectification (article 16)"La personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes" ou incomplètes. Ce droit est à rapprocher de l'obligation pour le responsable de traitement de traiter "des données exactes et, si nécessaire, tenues à jour". (article 5, d) du RGPD)Le droit à l’effacement (version allégée du droit à l'oubli) ()La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais pour ..

Il y a cependant quelques restrictions à ce droit, dans l'article 9 : si ..Le droit à la portabilité des données personnelles ()Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu'elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et ont le droit de transmettre ces données à un autre responsable du traitement. Lorsque la personne concernée exerce son droit à la portabilité des données en application du , elle a le droit d'obtenir que les données à caractère personnel soient transmises directement d'un responsable du traitement à un autre, lorsque cela est techniquement possible. Ce droit ne peut s’appliquer que si la base juridique du traitement ( du RGPD) est le consentement ou le contrat.Le droit d'opposition (article 21)"La personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice." Le profilage ()Toute personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. Il y a cependant certaines exclusions, par exemple si la décision est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et un responsable du traitement.Les principes de « protection des données dès la conception » et de « sécurité par défaut » ()Le règlement européen définit le principe de « protection des données dès la conception » (en anglais : ) qui impose aux organisations de prendre en compte des exigences relatives à la protection des données personnelles dès la conception des produits, services et systèmes exploitant des données à caractère personnel. De plus, le règlement consacre la nouvelle règle de la « sécurité par défaut » qui impose à toute organisation de disposer d’un système d’information sécurisé.Les notifications en cas de fuite de données ()En cas de risque pour les personnes concernées, les entreprises et les organismes sont tenus de notifier dès que possible l'autorité nationale de protection en cas de violations de données. Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, alors ces dernières doivent également en être informées. Cette notification doit être effectuée sans délai injustifié, et idéalement, dans les 72 heures suivant la découverte de la violation. Ce délai permet à l'autorité de prendre les mesures nécessaires pour évaluer la gravité de l'incident et de conseiller l'entreprise sur les étapes à suivre.La possibilité de désigner un délégué à la protection des données. ()Cette désignation est obligatoire lorsque :

« le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle » () ; « les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées » () ;