Actualités & événements RGPD

L’externalisation est aujourd’hui au cœur du fonctionnement des organisations. Hébergement cloud, solutions SaaS, marketing digital, gestion RH ou support client : de nombreuses activités impliquant des données personnelles sont confiées à des prestataires.

Lorsqu’une organisation reçoit une demande d’exercice du droit d’accès, la tentation est souvent de transmettre l’ensemble des documents contenant les données de la personne concernée. Cette approche peut sembler conforme à l’esprit de transparence du Règlement général sur la protection des données (RGPD).

Chaque jour, des milliers de salariés saisissent des données personnelles dans des outils d’IA générative sans en mesurer les conséquences juridiques. Tour d’horizon des risques majeurs et des réflexes à adopter.

Une demande d’exercice de droits peut sembler simple. Jusqu’au moment où vous réalisez que les données personnelles sont… partout. CRM, outils de ticketing, messagerie, drive, archives, solutions SaaS parfois souscrites sans réelle visibilité centrale.

La vérification d’identité est aujourd’hui au cœur de nombreux processus : accès aux services, exercice des droits, relations clients, démarches en ligne… Mais cette étape, souvent considérée comme purement opérationnelle, constitue en réalité un point de risque majeur en matière de protection des données personnelles. Car pour vérifier une identité, vous n'avez pas besoin de collecter “tout ce qui est possible”.

Le 9 février 2026, la Commission nationale de l’informatique et des libertés (CNIL) a publié son bilan annuel des sanctions et mesures correctrices prononcées en 2025, avec un montant total d’amendes de 486 839 500 euros pour l’année écoulée.

Dans de nombreuses organisations, la réception d'une demande d'exercice de droits (accès, effacement, opposition) déclenche systématiquement le même scénario : un vent de panique, des e-mails envoyés dans tous les services, des explorations hasardeuses dans les archives et, au final, des dizaines d'heures perdues pour une réponse qui aurait pu être traitée en quelques minutes.

Le droit d’accès est un droit fondamental des personnes concernées par un traitement de données personnelles. Il est défini à l’article 15 du Règlement général sur la protection des données (RGPD), qui confère à toute personne le droit de savoir si des données la concernant sont traitées et d’y accéder.

2025, encore une belle année riche en événements en matière de protection des données personnelles. Non pas par une refonte du RGPD, mais par une accumulation de signaux forts : sanctions ciblées, nouvelles réglementations applicables, explosion des usages de l’IA et la multiplication des incidents liés aux prestataires.