Les réglementations sur la protection des données (data privacy regulations) sont des cadres juridiques qui accordent aux personnes des droits sur les données personnelles collectées par les entreprises et qui imposent à ces entreprises des obligations de transparence, de sécurité et de limitation des finalités. Les mêmes textes s’appellent aussi lois sur la protection des données personnelles ou législation sur les données personnelles. Il en existe à l’échelle supranationale, nationale, fédérée et locale, et plus d’une centaine sont aujourd’hui en vigueur dans le monde.
Ces réglementations visent d’abord les organisations commerciales et encadrent la façon dont elles collectent, stockent et traitent les données à caractère personnel (personally identifiable information, PII). Plusieurs de ces réglementations s’appliquent à une entreprise établie hors du territoire qu’elles protègent.
Le périmètre des données protégées, la durée de conservation autorisée et les finalités admises varient fortement d’un texte à l’autre. La conformité repose donc sur la gouvernance des données (data governance) plus que sur une revue juridique ponctuelle : le non-respect expose l’entreprise à un avertissement, à une limitation ou à une interdiction de traiter les données personnelles, et à des amendes qui se comptent en millions d’euros.
Cette entrée décrit les textes qui font de la protection des données (data privacy) une obligation pour une entreprise qui opère en France. Le détail du droit français et le catalogue pays par pays figurent dans le guide des lois et réglementations sur la protection des données.
Le RGPD et la loi Informatique et Libertés, le cadre applicable en France
En France, le traitement des données personnelles relève de deux textes qui forment un seul cadre : le RGPD (GDPR), règlement (UE) 2016/679 applicable depuis le 25 mai 2018, et la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978, modifiée). L’article 1er de la loi de 1978 précise que les droits et obligations qu’elle organise « s’exercent dans le cadre du règlement (UE) 2016/679 ». Citer le règlement européen sans la loi française, ou la loi française sans le règlement, laisse donc la moitié du cadre de côté.
Le RGPD fixe les principes que le responsable du traitement doit respecter : un traitement licite, loyal et transparent pour la personne concernée ; une finalité déterminée dès la collecte ; une collecte limitée à ce que cette finalité exige ; des données tenues à jour aussi longtemps que l’entreprise les conserve ; une conservation qui s’arrête quand la finalité est atteinte. Le règlement impose aussi des mesures de sécurité et de confidentialité, restreint l’accès aux données personnelles à l’intérieur de l’organisation et désigne qui répond de la démonstration de conformité. Le montant maximal de l’amende atteint 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
La CNIL, l’autorité de contrôle
L’autorité de contrôle des données personnelles en France est la Commission nationale de l’informatique et des libertés (CNIL), que l’article 8 de la loi n° 78-17 désigne comme « l’autorité de contrôle nationale ». La CNIL est une autorité administrative indépendante qui contrôle, enquête et sanctionne. Sur un dossier de données clients, l’interlocuteur n’est donc pas « le régulateur français » en général : c’est la CNIL.
Pour les cookies et les technologies équivalentes, la CNIL a adopté le 17 septembre 2020 des lignes directrices modificatives et une recommandation « cookies et autres traceurs » (délibérations n° 2020-091 et n° 2020-092), en demandant une mise en conformité « au plus tard fin mars 2021 ». Le mot de l’autorité est traceur : une bannière, un pixel publicitaire et un identifiant stocké sur le terminal relèvent du même régime. La CNIL a par ailleurs adopté en 2024 une recommandation consacrée aux applications mobiles, qui applique la même logique aux données collectées dans l’application.
Le DPO, la fonction qui porte la conformité
Dans une entreprise française, la conformité est portée par le délégué à la protection des données (DPO, data protection officer). L’équipe marketing et l’équipe data consultent le DPO avant d’ouvrir une source de données, de rapprocher deux fichiers ou d’activer un nouveau canal, parce que ces trois décisions déterminent quelles données sont traitées et pour quelle finalité. Renvoyer la conformité au « service juridique » en général revient à ne désigner personne.
La CCPA en Californie
La California Consumer Privacy Act (CCPA) protège les résidents de Californie depuis le 1er janvier 2020, y compris lorsqu’ils se trouvent temporairement hors de l’État. La CCPA donne le droit de savoir quelles informations une entreprise collecte et comment elle les utilise et les partage, le droit de les faire supprimer, le droit de s’opposer à leur vente et le droit de ne subir aucune discrimination pour avoir exercé l’un des trois précédents.
Le texte couvre les données à caractère personnel ainsi que les informations rattachables à un foyer : noms, adresses e-mail, numéros de sécurité sociale, historique d’achat, historique de navigation, données de géolocalisation et empreintes digitales.
À la différence du RGPD, la CCPA ne s’applique pas à toute entreprise. Le texte vise celles qui dépassent un seuil de chiffre d’affaires annuel brut, un volume de données de résidents californiens achetées, reçues ou vendues, ou une part de leurs revenus tirée de la vente de ces données. Les modifications apportées par la CPRA s’appliquent depuis le 1er janvier 2023.
La PIPEDA et les autres textes nationaux
La PIPEDA (Personal Information Protection and Electronic Documents Act) est l’une des lois fédérales canadiennes sur la vie privée et s’applique aux organisations du secteur privé qui exercent une activité commerciale au Canada et traitent des données personnelles. Le Canada dispose par ailleurs d’un texte distinct, la Privacy Act.
La PIPEDA protège notamment les noms, l’ADN, l’âge, la situation matrimoniale, l’origine nationale ou ethnique, les antécédents médicaux, le parcours scolaire et professionnel, les informations financières et les numéros d’identification comme le numéro d’assurance sociale. Pour s’y conformer, une entreprise applique dix principes proches de ceux du RGPD.
D’autres pays ont leur propre texte général, et une entreprise qui vend hors de France vérifie le régime pays par pays : la Chine avec la PIPL, le Brésil avec la LGPD, l’Inde avec le DPDP Act.
Comparaison des principales réglementations
Les sanctions les plus lourdes sont celles du RGPD (jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial) et de la PIPL chinoise (jusqu’à 50 millions de yuans ou 5 % du chiffre d’affaires annuel). Le tableau compare les textes en vigueur en 2026 :
| Réglementation | Territoire | Entrée en vigueur | Personnes protégées | Sanction maximale |
|---|---|---|---|---|
| RGPD (règlement (UE) 2016/679), complété en France par la loi n° 78-17 du 6 janvier 1978 modifiée | Union européenne et Espace économique européen | 25 mai 2018 | Personnes situées dans l’Union européenne et l’EEE | 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu |
| CCPA/CPRA (California Consumer Privacy Act, modifiée) | Californie, États-Unis | 1er janvier 2020, modifications CPRA au 1er janvier 2023 | Résidents de Californie | 2 500 dollars américains par manquement, 7 500 dollars par manquement intentionnel, appliqués par consommateur |
| PIPEDA (Personal Information Protection and Electronic Documents Act) | Canada, secteur privé, niveau fédéral | Pleinement en vigueur le 1er janvier 2004 | Consommateurs canadiens | 100 000 dollars canadiens par infraction, pour les seules infractions de non-déclaration d’une atteinte et d’entrave à une enquête |
| PIPL (Personal Information Protection Law) | Chine | 1er novembre 2021 | Personnes situées en Chine | 50 millions de yuans ou 5 % du chiffre d’affaires annuel |
| LGPD (Lei Geral de Proteção de Dados) | Brésil | 18 septembre 2020 | Personnes situées au Brésil | 2 % du chiffre d’affaires réalisé au Brésil, plafonné à 50 millions de reais par infraction |
| DPDP Act (Digital Personal Data Protection Act) | Inde | Adopté en août 2023, textes d’application échelonnés jusqu’en 2027 | Personnes situées en Inde | 2,5 milliards de roupies, soit environ 30 millions de dollars américains |
L’amende n’est pas le seul écart entre ces textes. Ils diffèrent aussi par les droits qu’ils accordent (accès, effacement, portabilité, opposition à la vente) et par leurs règles de transfert hors du territoire protégé. La PIPL impose par exemple une évaluation de sécurité avant tout transfert de données personnelles hors de Chine, une contrainte de résidence des données que le RGPD et la CCPA n’imposent pas.
Ce que ces réglementations exigent des équipes marketing et data
Pour l’équipe marketing et l’équipe data, ces réglementations se traduisent par trois obligations opérationnelles : recueillir le consentement, le respecter sur chaque canal et effacer les données du client qui le demande.
- Le consentement se vérifie à l’exécution, pas au moment de la collecte. L’e-mail, le SMS, la publicité et les outils de mesure d’audience doivent interroger l’état de consentement en vigueur, et non celui qui prévalait le jour de la collecte. Une campagne de soldes d’hiver qui réactive des contacts inactifs depuis trois ans est le cas où l’écart se voit.
- Les traceurs relèvent du même cadre que le reste de la collecte. Un consentement recueilli par la bannière du site puis perdu à l’entrée de l’outil de campagne ne protège rien : la gestion du consentement (consent management) n’a de valeur que si l’état recueilli circule jusqu’au système qui envoie le message.
- La demande d’effacement doit se propager. Quand une personne concernée exerce son droit à l’effacement, chaque système qui détient une copie de sa fiche doit l’exécuter, ce qui suppose des données clients unifiées plutôt qu’éparpillées entre une dizaine d’outils.
- Ces textes récompensent des données clients centralisées. Une vision unifiée et gouvernée du client, par exemple dans une plateforme de données client (CDP, pour customer data platform), rend l’exercice des droits et la piste d’audit praticables. Ce sont les données first-party (first-party data) dispersées d’un outil à l’autre qui rendent la conformité coûteuse.
FAQ
Quelles sont les principales réglementations sur la protection des données ?
Les textes qui pèsent le plus sur les données clients d’une entreprise française sont le RGPD et la loi Informatique et Libertés, la CCPA californienne, la PIPEDA canadienne, la LGPD brésilienne et la PIPL chinoise. Le RGPD et la loi de 1978 forment le cadre applicable en France, sous le contrôle de la CNIL. Plus d’une centaine de textes équivalents sont en vigueur dans le monde.
Que risque une entreprise qui ne respecte pas ces réglementations ?
Le RGPD prévoit une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà de l’amende, l’autorité de contrôle peut prononcer un avertissement, imposer un audit, limiter ou interdire le traitement des données personnelles. Les personnes concernées peuvent aussi agir en justice, et l’atteinte à la réputation produit des effets durables.
Le RGPD suffit-il à une entreprise établie en France ?
Non : une entreprise établie en France applique le RGPD et la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978, modifiée), dont l’article 1er renvoie explicitement au règlement (UE) 2016/679. La CNIL contrôle l’application de cet ensemble et sanctionne les manquements. Le DPO est la fonction qui suit ce cadre au quotidien dans l’entreprise.
Ces réglementations s’appliquent-elles à une entreprise située hors du territoire protégé ?
Oui : plusieurs de ces réglementations ont une portée extraterritoriale et s’appliquent dès qu’une entreprise traite les données de personnes résidant sur le territoire protégé, quel que soit le pays d’établissement de cette entreprise. Le RGPD vise toute organisation qui traite les données de personnes situées dans l’Union européenne, et la CCPA les entreprises qui traitent les données de résidents de Californie.
À quelle fréquence ces réglementations changent-elles ?
Ces réglementations évoluent en continu : de nouveaux textes paraissent chaque année aux échelons national, fédéré et local, et les textes existants sont modifiés pour combler leurs lacunes. Une revue trimestrielle avec le DPO et le conseil juridique suffit à suivre le rythme. La CNIL révise aussi ses propres lignes directrices : celles qui portent sur les cookies et autres traceurs datent de septembre 2020, la recommandation sur les applications mobiles de 2024.
Termes associés
Les quatre entrées suivantes sont en anglais.
- Data Masking — le masquage des données personnelles, une technique de mise en conformité
- Data Minimization — le principe de minimisation, que le RGPD impose au responsable du traitement
- Cookieless Tracking — la mesure sans cookies, née du durcissement de ces réglementations
- Data Clean Room — croiser des données avec un partenaire sans exposer les données personnelles
Cet article est aussi disponible en : Data Privacy Regulations: GDPR, CCPA & Global Laws · データプライバシー規制とは？個人情報保護法とGDPRを解説 · Leis de proteção de dados: alcance e fiscalização · Regulaciones de privacidad de datos: LFPDPPP, RGPD