Un texte, un acronyme, et des dizaines d’interprétations différentes selon qui l’explique. Le RGPD n’est pourtant pas un mystère : c’est un règlement européen qui fixe des règles précises sur la façon dont les organisations doivent traiter les données personnelles. Comprendre ce texte suppose de distinguer ce qui relève du socle juridique intangible (l’article 5, notamment) de ce qui relève des reformulations pédagogiques que l’on croise en ligne, parfois en 5 points, parfois en 6, parfois en 7. Cet article propose une méthode claire pour s’y retrouver et transformer ces principes en gestes concrets, applicables dès demain dans une équipe ou une PME.
- Le RGPD s’applique à toute structure traitant des données de résidents européens, quel que soit son secteur ou sa taille.
- Les listes à 5, 6 ou 7 principes sont des reformulations pédagogiques d’un même socle juridique, l’article 5 du règlement.
- Six bases légales encadrent tout traitement : consentement, contrat, obligation légale, intérêt vital, mission d’intérêt public, intérêt légitime.
- La minimisation, la limitation des finalités et les durées de conservation structurent une collecte de données responsable.
- L’accountability impose de documenter sa conformité : registre des traitements, AIPD, gestion des violations et privacy by design.
RGPD: définition simple et périmètre
Le règlement général sur la protection des données a été adopté en 2016 et il est applicable depuis mai 2018. Il encadre la manière dont les organisations collectent, stockent, utilisent et partagent les données personnelles, c’est-à-dire toute information qui permet d’identifier une personne physique, directement ou indirectement : nom, adresse e-mail, numéro de sécurité sociale, adresse IP, ou encore données de géolocalisation.
Un champ d’application très large
Le RGPD s’applique à toute entité publique ou privée qui traite des données personnelles de résidents de l’Union européenne, quel que soit son secteur d’activité ou sa taille. Une association locale, une start-up ou un grand groupe international sont logés à la même enseigne dès lors qu’ils manipulent ce type d’informations. Cette universalité explique pourquoi le texte concerne autant les ressources humaines que le marketing ou la relation client.
Traitement, responsable et sous-traitant : qui fait quoi
Un traitement désigne toute opération réalisée sur des données personnelles : collecte, enregistrement, conservation, modification, diffusion ou suppression. Le responsable de traitement décide des finalités et des moyens de ce traitement, tandis que le sous-traitant agit pour son compte, par exemple un prestataire d’hébergement ou un outil de gestion de la paie. Dans les structures les plus exposées, un DPO (délégué à la protection des données) supervise la conformité et sert d’interlocuteur avec la CNIL. Cette répartition des rôles est la clé pour comprendre le RGPD : chaque acteur porte une part de responsabilité juridique précise.
Ce cadrage posé, une question revient sans cesse chez les praticiens : pourquoi certains articles évoquent 5 principes, d’autres 6, et d’autres encore 7 ? Principes du RGPD: pourquoi on parle de 5, 6 ou 7 grands principes.
Principes du RGPD: pourquoi on parle de 5, 6 ou 7 grands principes
Le texte juridique de référence est l’article 5 du RGPD, qui énonce les principes relatifs au traitement des données. Mais dans la pratique éditoriale, ces principes sont souvent reformulés, fusionnés ou détaillés différemment selon l’angle pédagogique choisi. D’où la coexistence de listes à 5, 6 ou 7 points, qui décrivent toutes le même socle sous des angles complémentaires.
La logique des regroupements à 6 principes
Une approche opérationnelle regroupe les obligations en six axes : finalité, transparence, exercice des droits, durées de conservation, sécurité, et démarche continue de mise en conformité. Cette lecture met l’accent sur le quotidien d’une organisation : elle rappelle que la conformité ne se limite pas à une checklist ponctuelle, mais s’inscrit dans une démarche continue de mise en conformité.
La logique des 7 principes détaillés
Une autre approche, plus proche du texte juridique, distingue sept principes : licéité, loyauté et transparence ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; intégrité et confidentialité (sécurité) ; et accountability (responsabilité). Cette version colle davantage à la structure de l’article 5, en séparant ce que d’autres lectures regroupent, comme la licéité et la loyauté.
Une grille de lecture stable pour ne plus se perdre
Peu importe le nombre affiché, l’essentiel tient en trois blocs logiques :
- pourquoi et comment on collecte (licéité, loyauté, transparence, finalité, minimisation) ;
- combien de temps on garde et comment on maintient la qualité des données (exactitude, durée de conservation) ;
- comment on protège et on prouve sa conformité (sécurité, accountability).
Cette grille permet de répondre sereinement à la question « quels sont les principes fondamentaux du RGPD ? », sans se laisser piéger par les variations de présentation. Elle sert aussi de fil conducteur pour la suite de cet article. Licéité, loyauté, transparence: la base de la confiance.
Licéité, loyauté, transparence: la base de la confiance
Ce triptyque forme le socle sur lequel repose toute relation de confiance entre une organisation et les personnes dont elle traite les données. Chaque traitement doit reposer sur une « bonne raison » juridique, communiquée de façon claire.
Les six bases légales de l’article 6
L’article 6 du RGPD encadre précisément les bases légales autorisant un traitement. Il en existe six :
- le consentement explicite de la personne ;
- l’exécution du contrat liant l’organisation à la personne concernée ;
- l’obligation légale qui impose le traitement ;
- la protection de l’intérêt vital d’une personne ;
- l’exécution d’une mission d’intérêt public ;
- l’intérêt légitime du responsable, à condition qu’il ne prévale pas sur les droits des personnes concernées.
Choisir la bonne base légale n’est pas un détail administratif : elle conditionne les mentions d’information à afficher et les droits que les personnes pourront exercer.
Loyauté : ne rien dissimuler
La loyauté implique de ne pas cacher les informations sur ce qui est collecté et pourquoi, et d’éviter toute mauvaise utilisation des données. Un formulaire qui collecte une adresse e-mail « pour la newsletter » et qui la revend ensuite à un tiers viole ce principe, même si un consentement formel avait été recueilli au départ.
Transparence : informer sans jargon
La transparence implique d’être clair sur l’identité du responsable de traitement, les raisons du traitement et ses modalités. Les personnes doivent être informées de leurs droits et des moyens de les exercer, dès la collecte. Une mention légale efficace tient en quelques phrases lisibles, pas en un pavé juridique illisible. Cette exigence prépare directement la question suivante : que collecter, et pour quoi faire ? Finalité et minimisation: collecter moins, mais mieux.
Finalité et minimisation: collecter moins, mais mieux
Deux principes se répondent ici et structurent toute politique de collecte responsable.
Limitation des finalités : un objectif, pas un prétexte
Les données doivent être collectées pour un but déterminé, explicite et légitime. Il est interdit de les traiter ultérieurement d’une façon incompatible avec cet objectif initial. Ce principe vise directement la collecte « au cas où », cette tentation de récolter large en se disant que ça pourrait servir plus tard. Les finalités doivent être communiquées via des mentions d’information claires ; si l’organisation souhaite réutiliser les données pour une finalité nouvelle et incompatible, elle doit redemander un consentement spécifique, sauf obligation ou fonction définie par la loi.
Minimisation : la règle du strict nécessaire
Ne collecter que les données strictement nécessaires à l’objectif poursuivi : c’est la définition même de la minimisation. Pour une inscription à une newsletter, l’adresse e-mail suffit ; demander un numéro de téléphone ou une adresse postale, sans lien avec cette finalité, constitue un excès de collecte.
Une méthode simple pour appliquer ces deux principes
Concrètement, chaque champ d’un formulaire devrait pouvoir répondre à la question « à quoi sert cette donnée, pour quel objectif précis ? ». Si la réponse est floue ou repose sur un « ça pourrait être utile », le champ doit être supprimé. Cette discipline réduit aussi les risques en cas de violation de données, puisqu’il y a mécaniquement moins d’informations sensibles exposées. Une fois les données correctement ciblées, reste à déterminer combien de temps les garder. Exactitude et durée de conservation: garder juste et pas plus longtemps.
Exactitude et durée de conservation: garder juste et pas plus longtemps
Deux obligations complémentaires garantissent que les données restent pertinentes et ne s’accumulent pas indéfiniment.
Exactitude : des données à jour
Le principe d’exactitude impose de rectifier ou d’effacer sans délai les données inexactes. Un client qui change d’adresse ou de nom doit pouvoir faire corriger son dossier facilement, via les droits des personnes prévus par le règlement.
Durée de conservation : quatre étapes logiques
Il est interdit de conserver les données indéfiniment. La conservation en « base active » doit être limitée au temps strictement nécessaire à l’objectif poursuivi. Une logique en quatre temps aide à structurer cette obligation :
| Étape | Description |
|---|---|
| Base active | Données utilisées couramment pour la finalité initiale |
| Archivage intermédiaire | Données conservées pour répondre à une obligation légale ou un contentieux |
| Archivage définitif | Conservation encadrée par les obligations relatives aux archives publiques |
| Suppression ou anonymisation | Destruction effective ou transformation rendant l’identification impossible |
Passé le délai de la base active, les données doivent être détruites, anonymisées ou archivées conformément aux textes applicables. Cette rigueur temporelle prépare le terrain pour l’ultime pilier du règlement : la sécurité et la capacité à prouver sa conformité au quotidien. Sécurité et responsabilité: protéger les données et démontrer la conformité.
Sécurité et responsabilité: protéger les données et démontrer la conformité
Ce dernier bloc rassemble les obligations les plus techniques et les plus stratégiques du RGPD, celles qui distinguent une organisation réellement conforme d’une organisation qui coche des cases.
Intégrité et confidentialité : des mesures concrètes
L’organisation doit prendre des mesures utiles pour garantir la sécurité des données : sécurisation des locaux, des armoires, des postes informatiques, gestion stricte des habilitations et des droits d’accès. Seuls les tiers autorisés par des textes doivent pouvoir accéder aux données. Ces mesures s’adaptent selon la sensibilité des données et les risques encourus par les personnes en cas d’incident. Un cabinet médical n’a pas le même niveau d’exigence qu’une boutique en ligne vendant des articles de décoration, par exemple des
-
Coffre-fort connecté avec lecteur d’empreinte digitale biométrique [Xcase]À visser ou à sécuriser par câble d'acier Gestion sur appareil mobile par application gratuite Compatible avec les systèmes Smart Life et Tuya Coffre-fort connecté à empreinte digitale biométrique de la marque Xcase Protection pour les documents importants, les bijoux, l'argent, etc. -
Executive Safe ACS-2 Coffre-fort numérique pour la maison, le bureau et l'hôtel – Clavier électronique, boulons motorisés, écran LED, port d'alimentation USB et verrouillage à clé d'urgenceProtection de sécurité complète : fabriqué en acier massif avec un design sans couture, des charnières dissimulées et 2 boulons de verrouillage motorisés XL, ce coffre-fort numérique assure une protection maximale. La fonction de verrouillage s'active après quatre tentatives incorrectes de blocage des accès non autorisés. Se fixe en toute sécurité au sol ou au mur à l'aide du matériel inclus pour plus de tranquillité d'esprit Design moderne et caractéristiques intelligentes : la finition noire élégante se marie parfaitement avec les meubles de maison, de bureau ou d'hôtel. Comprend une date et une heure programmables, ainsi qu'une piste d'audit intégrée qui enregistre les 100 dernières ouvertures et fermetures, idéale pour les environnements professionnels ou multi-utilisateurs. Coffre-fort convivial facile à installer et à utiliser – Ne jamais être verrouillé : ouvrez facilement votre coffre-fort à l'aide d'un code utilisateur ou maître de 4 à 6 chiffres — la porte motorisée s'ouvre automatiquement (style coffre-fort d'hôtel). Si les piles sont faibles, utilisez le port d'alimentation USB du clavier pour fournir une alimentation temporaire et ouvrez le coffre-fort avec votre code, même si la clé de remplacement est égarée. Comprend 2 clés d'urgence et 4 piles AA. Organisez et protégez vos objets de valeur : parfait pour sécuriser de l'argent, des bijoux, des passeports, des documents et des petites armes à feu. L'intérieur en moquette empêche les rayures et protège vos objets de valeur. Idéal pour les propriétaires, les bureaux et les hôtels — offrant une sécurité fiable et pratique chaque jour. Garantie et soutien en lesquels vous pouvez faire confiance : grâce à plus de 25 ans d'expertise, ExecutiveSafe offre une garantie de satisfaction à 100 %, une garantie limitée de 2 ans et un remplacement après incendie à vie pour les propriétaires enregistrés. Pour obtenir de l'aide, notre équipe de support client est toujours disponible pour vous aider. -
Executive Safe ACS-4 Grand coffre-fort numérique pour ordinateur portable pour la maison, le bureau et l'hôtel – Convient pour ordinateur portable de 17", étagère, clavier électronique, boulonsProtection de sécurité complète – Coffre-fort numérique en acier massif conçu pour une protection maximale, le ExecutiveSafe ACS-4 dispose d'une construction en acier massif, d'un corps anti-levier sans couture et de charnières dissimulées pour une sécurité accrue. Équipé de deux boulons de verrouillage motorisés extra larges et d'une serrure à combinaison électronique de haute sécurité, ce coffre-fort antivol offre une résistance avancée au cambriolage. Une fonction de verrouillage s'active automatiquement après quatre tentatives de code incorrectes consécutives, ajoutant une autre couche de protection. Pour plus de sécurité, le coffre-fort peut être fixé en toute sécurité au sol ou au mur à l'aide du matériel de montage inclus — parfait pour votre maison, votre bureau ou votre chambre d'hôtel. Design extérieur intelligent avec port d'alimentation USB et capacité d'ordinateur portable : ce coffre-fort numérique noir moderne se marie parfaitement avec n'importe quel meuble de maison, de bureau ou d'hôtel. Il dispose d'un affichage programmable de la date et de l'heure avec un historique détaillé des 100 dernières ouvertures et fermetures, idéal pour surveiller l'accès en toute sécurité. Le modèle ACS-4 comprend un port d'alimentation USB pratique situé sur le clavier, vous permettant d'alimenter temporairement le coffre-fort lorsque les piles sont épuisées et que les touches de remplacement d'urgence ne sont pas disponibles, vous assurant que vous ne serez jamais verrouillé. Avec son intérieur spacieux de 23,4 L, ce coffre-fort peut facilement contenir un ordinateur portable jusqu'à 17" avec des documents importants, des bijoux ou des objets de valeur. Coffre-fort numérique convivial – Facile à installer et ne se verrouille jamais : le ExecutiveSafe ACS-4 allie simplicité et fiabilité. Programmez votre code utilisateur ou code maître à 4 à 6 chiffres en quelques secondes - La porte s'ouvre automatiquement, sans danger pour l'hôtel, sans poignée pour tourner. Si les piles (4 AA incluses) sont épuisées ou si le code est oublié, il suffit d'utiliser la clé d'urgence (2 clés incluses) pour un accès instantané. Conçu pour la tranquillité d'esprit, ce coffre-fort facile à utiliser pour la maison et le bureau garantit que vous serez toujours en mesure de l'ouvrir, même en cas d'urgence. Organisez et protégez vos objets de valeur – Rangement sécurisé pour la maison, le bureau et l'hôtel : gardez vos biens les plus importants en sécurité et organisés avec le ExecutiveSafe ACS-4. Ce coffre-fort numérique haute sécurité protège vos passeports, espèces, bijoux, documents importants et petites armes à feu grâce à sa construction en acier massif et à sa technologie de verrouillage avancée. Le sol intérieur en moquette offre flexibilité et protection pour les articles délicats. Que ce soit à la maison, au bureau ou dans une chambre d'hôtel, profitez d'une tranquillité d'esprit totale en sachant que vos objets de valeur sont sécurisés dans un coffre-fort haut de gamme conçu pour durer. Garantie et soutien en lesquels vous pouvez faire confiance : grâce à plus de 25 ans d'expertise, ExecutiveSafe offre une garantie de satisfaction à 100 %, une garantie limitée de 2 ans et un remplacement après incendie à vie pour tous les coffres-forts ignifuges. Pour obtenir de l'aide, notre équipe de support client est toujours disponible pour vous aider.
Accountability : documenter pour prouver
L’accountability impose de démontrer sa conformité, pas seulement de l’affirmer. Cela passe par plusieurs outils :
- le registre des traitements, qui recense chaque activité de traitement et sa base légale ;
- l’analyse d’impact (AIPD) pour les traitements à risque élevé ;
- les principes de privacy by design et privacy by default, qui intègrent la protection des données dès la conception d’un produit ou service ;
- une procédure de gestion des violations de données, avec notification à la CNIL sous 72 heures lorsque le risque le justifie.
Une démarche continue, pas un chantier ponctuel
La conformité n’est pas figée : elle nécessite de vérifier régulièrement l’évolution des traitements, le respect des procédures et des mesures de sécurité, et de les adapter si besoin. Les référentiels professionnels évoluent également, comme l’illustrent les mises à jour récentes de certains référentiels sectoriels. Cette vigilance continue distingue une organisation qui subit le RGPD d’une organisation qui en fait un réflexe opérationnel.
FAQ
Quels sont les 7 principes fondamentaux du RGPD ?
Licéité, loyauté et transparence ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; intégrité et confidentialité ; accountability. Cette liste suit de près la structure de l’article 5 du règlement.
Quels sont les 5 grands principes du RGPD ?
Certaines synthèses pédagogiques regroupent les obligations en cinq axes : finalité et minimisation, transparence, droits des personnes, durée de conservation, sécurité. Il s’agit d’une simplification, pas d’une liste juridique officielle distincte.
Quels sont les principes fondamentaux du RGPD ?
Au-delà du nombre affiché, trois logiques structurent le règlement : une collecte justifiée et transparente, une conservation limitée et exacte, une protection des données assortie d’une obligation de preuve de conformité.
Comment puis-je comprendre le RGPD ?
En partant de la logique opérationnelle plutôt que du texte brut : identifier qui traite quelles données, pour quelle finalité, avec quelle base légale, pendant combien de temps, et avec quelles mesures de sécurité. Cette méthode rend le règlement lisible et actionnable.
Le RGPD n’est pas un empilement de règles disjointes, mais une chaîne cohérente : bien collecter, bien conserver, bien protéger, et savoir le prouver.
