Règlement général sur la protection des données (UE) 2016/679
Articles structurants documentés dans la cartographie ACF.
Six principes cumulatifs : licéité/loyauté/transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité/confidentialité, plus responsabilité (accountability) au §2.
Six bases légales exclusives : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêts légitimes. Le choix de la base conditionne les droits exerçables.
Interdiction de principe (origine, opinions, santé, biométrie, orientation sexuelle...) sauf 10 exceptions limitatives (consentement explicite, droit du travail, santé publique, etc.).
Droits d'information, d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition, et de ne pas faire l'objet d'une décision automatisée (incl. profilage).
Privacy by design et by default : intégrer les mesures techniques et organisationnelles dans l'architecture, paramétrer par défaut la collecte minimale.
Obligation pour le responsable et le sous-traitant de tenir un registre détaillé (finalités, catégories de données, transferts, conservation, mesures de sécurité). Obligatoire pour organisations >= 250 employés ou traitements à risque.
Mesures techniques et organisationnelles appropriées au risque : pseudonymisation, chiffrement, confidentialité/intégrité/disponibilité, plan de continuité, tests réguliers.
Notification à l'autorité de contrôle sous 72h en cas de violation (sauf risque improbable). Communication aux personnes concernées si risque élevé.
AIPD obligatoire pour traitements susceptibles d'engendrer un risque élevé (profilage systématique, données sensibles à grande échelle, surveillance systématique).
Transferts hors UE/EEE encadrés : décision d'adéquation, clauses contractuelles types (CCT), règles d'entreprise contraignantes (BCR), ou dérogations art. 49.
Obligations actionnables catégorisées : documentation, process, technique, gouvernance, notification.
Tenir un registre des activités de traitement (art. 30)
Si : >= 250 employees · traitement non occasionnel · traitement à risque · données sensibles ou pénales
Désigner un DPO si conditions remplies (art. 37)
Si : autorité ou organisme public · suivi régulier et systématique à grande échelle · traitement de catégories particulières à grande échelle
Réaliser une AIPD pour traitements à risque élevé (art. 35)
Si : profilage systématique · données sensibles à grande échelle · surveillance systématique
Mettre en place pseudonymisation et chiffrement quand pertinent (art. 32)
Répondre aux demandes d'exercice de droits sous 1 mois (art. 12)
Notifier l'autorité de contrôle sous 72h en cas de violation (art. 33)
Encadrer les sous-traitants par contrat conforme (art. 28)
Informer les personnes concernées au moment de la collecte (art. 13-14)
Encadrer les transferts hors UE (décision adéquation / CCT / BCR / dérogations)
Privacy by Design et by Default sur tous les nouveaux traitements (art. 25)
Documenter et conserver les preuves de consentement (art. 7)
Si : base légale = consentement
Violations des principes (art. 5, 6, 7, 9), des droits des personnes (art. 12-22), des transferts internationaux (art. 44-49) et non-respect d'une injonction d'autorité
Violations des obligations du responsable / sous-traitant (art. 8, 11, 25-39, 41-43)
Toute IA traitant des données personnelles relève cumulativement du RGPD et de l'AI Act. Articulation pratique : (1) base légale RGPD (art. 6) requise pour la collecte des données d'entraînement et d'inférence ; (2) l'AIPD RGPD (art. 35) doit être étendue en FRIA (Fundamental Rights Impact Assessment, art. 27 AI Act) pour les systèmes haut-risque ; (3) la gouvernance des données AI Act (art. 10) doit respecter les principes de minimisation et d'exactitude RGPD ; (4) le droit à l'explication d'une décision automatisée (art. 22 RGPD) se combine avec les obligations de transparence AI Act (art. 13, 50, 86).