B3-02 Cadre juridique et RGPD

1. Pourquoi le droit concerne le technicien

Un technicien informatique a accès à presque tout : les messageries, les fichiers, les journaux des serveurs, les sauvegardes. Ce pouvoir s'accompagne de règles. Certaines protègent les personnes dont on traite les données, d'autres punissent les intrusions, d'autres encore obligent les organisations à se protéger. Les ignorer engage la responsabilité de l'entreprise, et parfois celle du technicien lui-même.

2. Les données personnelles

2.1 Les données sensibles

L'article 9 du RGPD interdit en principe de traiter les données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques et biométriques, la santé, la vie ou l'orientation sexuelle. Des exceptions existent (consentement explicite, obligation légale de l'employeur, médecine du travail…), avec des mesures de protection renforcées. Le numéro de sécurité sociale (NIR) bénéficie lui aussi d'un encadrement particulier en France.

3. Les principes du RGPD

L'article 5 du RGPD fixe les principes que tout traitement doit respecter. Ce sont eux que la CNIL vérifie lors d'un contrôle.

3.1 Les six bases légales

Un traitement n'est licite que s'il repose sur une des six bases légales de l'article 6. Le consentement n'est qu'une possibilité parmi d'autres, et rarement la bonne au travail, car un salarié n'est pas vraiment libre de refuser.

4. Qui fait quoi ?

• Responsable de traitementL'organisation qui détermine les finalités et les moyens : ici Brocéliande Logistique, représentée par son dirigeant. C'est elle qui répond devant la CNIL.
• Sous-traitantIl traite les données pour le compte du responsable : logiciel de paie en ligne, hébergeur, prestataire de maintenance. Un contrat (article 28) fixe ses obligations : sécurité, confidentialité, aide en cas de violation, suppression en fin de contrat.
• Délégué à la protection des données (DPO)Obligatoire pour les organismes publics et pour ceux dont l'activité principale implique un suivi à grande échelle ou des données sensibles. Il conseille, sensibilise, contrôle et sert de contact à la CNIL. Brocéliande peut en désigner un sans y être obligée.
• CNILElle conseille, reçoit les plaintes et les notifications de violation, contrôle et sanctionne : amende jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (le montant le plus élevé est retenu).

5. Le registre des traitements et l'AIPD

Le registre des activités de traitement (article 30) est le document central de la conformité : il recense tous les traitements de données personnelles de l'organisation. Il est obligatoire dans presque toutes les entreprises, car l'exemption des moins de 250 salariés ne vaut que pour les traitements occasionnels et sans risque, ce qui n'est jamais le cas de la paie ou de la gestion des clients. La CNIL propose un modèle de registre gratuit.

5.1 Une fiche du registre : la paie

• FinalitéLe « pourquoi », écrit en une phrase compréhensible par tous. Un même fichier peut servir plusieurs traitements : chacun a sa fiche.
• Base légaleUne des six bases de l'article 6 ; le choix conditionne les droits des personnes (pas d'opposition à une obligation légale, par exemple).
• Durée de conservationUne durée par type de données, souvent fixée par la loi ou par les référentiels de la CNIL. « Pour toujours » n'est jamais une réponse acceptable.
• Mesures de sécuritéC'est la partie du technicien : qui accède, comment on s'authentifie, ce qui est chiffré, sauvegardé, journalisé.

5.2 L'analyse d'impact (AIPD)

Quand un traitement est susceptible d'engendrer un risque élevé pour les personnes, l'article 35 impose une AIPD avant sa mise en œuvre. La CNIL considère qu'elle est en général nécessaire dès que deux de ses neuf critères sont réunis, parmi lesquels : données sensibles, personnes vulnérables (salariés, patients, enfants), surveillance systématique, traitement à grande échelle, croisement de fichiers, usage innovant de technologies.

6. Les droits des personnes

7. Gérer une violation de données

7.1 Entraîne-toi : les tickets du support

Six situations remontent au service informatique de Brocéliande Logistique. Pour chacune, choisis la bonne analyse juridique.

À : jean.leroux@gmail.example ; s.durand@orange.example ;
    m.kerjean@laposte.example ; … (400 adresses de particuliers)
Objet : Invitation – Salon de la logistique 2026

Nom | Adresse | N° sécurité sociale | IBAN | Salaire brut
60 lignes

De : t.briand@free.example
En application de l'article 15 du RGPD, je vous demande la copie
de l'ensemble des données personnelles me concernant.

Objet : 12 caméras IP, enregistrement permanent, accès depuis
mon téléphone. Les salariés n'ont pas besoin d'être prévenus.

We have downloaded 14 GB of your data (customers, invoices).
Pay or we publish everything on our leak site in 5 days.

$ nmap -sV www.concurrent-transport.example

8. Le droit pénal du numérique

La loi Godfrain du 5 janvier 1988 a créé les infractions d'atteinte aux systèmes de traitement automatisé de données (STAD). Elles figurent aux articles 323-1 et suivants du Code pénal, et leurs peines ont été plusieurs fois alourdies.

Les peines sont aggravées quand le système appartient à l'État ou quand les faits sont commis en bande organisée. La tentative est punie comme l'infraction. Le technicien est aussi tenu par le secret des correspondances (article 226-15 du Code pénal) : lire la messagerie d'un salarié en dehors de ce qui est autorisé est un délit, même pour un administrateur.

9. La directive NIS 2

Le RGPD protège les personnes ; la directive européenne NIS 2 (2022/2555) vise la sécurité des organisations dont dépend le bon fonctionnement de la société. Elle élargit fortement la première directive NIS de 2016 : en France, on passerait de quelques centaines d'opérateurs régulés à plus de 15 000 entités, dont de nombreuses entreprises moyennes et des collectivités.

Le secteur « transports » de NIS 2 ne vise pas les transporteurs routiers de marchandises, mais les autorités routières et les systèmes de transport intelligents. Brocéliande Logistique, avec 60 salariés, relèverait plutôt des « services postaux et d'expédition » (annexe II), et pourrait donc être une entité importante une fois la loi adoptée, sous réserve du texte final et des précisions de l'ANSSI. Même sans y être soumise, appliquer les mesures de NIS 2 est une bonne feuille de route.

10. La charte informatique : sa valeur juridique

La charte informatique fixe les règles d'usage des ressources numériques par les salariés : messagerie, Internet, mots de passe, supports amovibles, usage personnel toléré, contrôles possibles et sanctions. Sa rédaction pratique est traitée dans la fiche B1-04 ; voici les règles qui lui donnent sa force.

• Annexée au règlement intérieurPour être opposable et permettre des sanctions disciplinaires, la charte est annexée au règlement intérieur, obligatoire à partir de 50 salariés. Elle suit alors la même procédure : consultation du CSE, transmission à l'inspection du travail, dépôt au greffe du conseil de prud'hommes, affichage.
• Information des salariésChaque salarié doit pouvoir la connaître (remise à l'embauche, intranet). Les dispositifs de contrôle (journalisation, filtrage) doivent être annoncés à l'avance.
• ProportionnalitéLe Code du travail (article L1121-1) interdit les restrictions aux libertés qui ne sont pas justifiées et proportionnées au but recherché. Une surveillance permanente et cachée est illicite.
• Vie privée résiduelleL'arrêt Nikon (Cour de cassation, chambre sociale, 2 octobre 2001) pose le respect de la vie privée et du secret des correspondances du salarié au travail. L'arrêt du 17 mai 2005 (chambre sociale) précise qu'un fichier identifié comme « personnel » ne peut être ouvert qu'en sa présence ou après l'avoir dûment appelé, sauf risque ou événement particulier ; le reste est présumé professionnel.

11. À l'examen et en entreprise

12. L'essentiel

1. Une donnée personnelle identifie une personne, directement ou indirectement : nom, courriel nominatif, adresse IP, plaque.
2. Les données sensibles (santé, opinions, syndicat, religion…) sont interdites sauf exceptions encadrées.
3. Principes : licéité, finalité, minimisation, exactitude, durée limitée, sécurité, responsabilité (savoir le prouver).
4. Six bases légales : contrat, obligation légale, intérêt légitime, consentement, intérêts vitaux, mission publique.
5. Le responsable de traitement décide ; le sous-traitant agit pour lui (contrat art. 28) ; le DPO conseille ; la CNIL contrôle (jusqu'à 20 M€ ou 4 %).
6. Le registre (art. 30) décrit chaque traitement ; l'AIPD (art. 35) s'impose si le risque est élevé.
7. Droits : information, accès, rectification, effacement, limitation, portabilité, opposition ; réponse sous 1 mois.
8. Violation : registre interne toujours, CNIL sous 72 h si risque, personnes informées si risque élevé.
9. Loi Godfrain : accès frauduleux (323-1), entrave (323-2), atteinte aux données (323-3) ; avoir l'accès ne donne pas le droit.
10. NIS 2 : entités essentielles et importantes, incidents signalés à l'ANSSI (24 h, 72 h, 1 mois) ; la charte est opposable si annexée au règlement intérieur.

Les repères clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

13. Quiz noté

14. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige. Cite les articles quand tu le peux.

15. Au labo : registre, données qui traînent et violation

Organisme : Brocéliande Logistique – contact : …
Date et heure de la découverte : …            Date de la notification : …
Nature de la violation (confidentialité, intégrité, disponibilité) : …
Circonstances : …
Catégories de personnes et nombre approximatif : …
Catégories de données et nombre d'enregistrements : …
Conséquences probables pour les personnes : …
Mesures prises pour remédier et limiter les effets : …
Information des personnes : oui / non – pourquoi : …
Mesures pour éviter que cela se reproduise : …