RGPD : la CNIL accompagne Docaposte, Doctrine, FDJ et ShareID

À la date du 24 septembre 2024, la Commission nationale de l’informatique et des libertés, la CNIL, met en avant quatre entreprises retenues pour un accompagnement renforcé sur la protection des données : Docaposte, Doctrine, la Française des Jeux et ShareID. L’enjeu dépasse le simple respect d’une formalité administrative. Dans des services numériques qui manipulent des informations parfois sensibles, la conformité au règlement général sur la protection des données, ou RGPD, doit être pensée comme une condition de confiance pour les personnes concernées.

La démarche illustre aussi un changement de méthode important dans la régulation du numérique. La CNIL est connue pour son pouvoir de contrôle et de sanction, mais elle intervient également en amont afin d’aider les organisations à intégrer les règles de protection des données dans leurs projets. Pour les entreprises sélectionnées, cet appui doit permettre de confronter des cas concrets aux principes du RGPD, tout en faisant circuler les retours d’expérience et les bonnes pratiques.

Quatre entreprises accompagnées sur les enjeux du RGPD

La CNIL a choisi quatre acteurs aux activités distinctes : Docaposte, Doctrine, la Française des Jeux et ShareID. Leur point commun n’est pas un produit unique, mais l’importance de la question des données personnelles dans les services qu’ils proposent.

L’accompagnement renforcé annoncé doit fournir un soutien dans la compréhension et la mise en œuvre des exigences applicables. Il repose aussi sur des échanges entre les lauréats, afin d’identifier les difficultés rencontrées et les solutions susceptibles d’être transposées à d’autres projets. Cette logique est particulièrement utile lorsque des services numériques combinent des exigences fortes de fluidité pour l’utilisateur, de sécurité informatique et de traçabilité.

Il faut toutefois interpréter correctement cette sélection. Être accompagné par l’autorité de protection des données ne vaut pas validation globale de toutes les pratiques d’une entreprise. La conformité au RGPD est continue : elle dépend des données collectées, des finalités poursuivies, des outils employés, des prestataires mobilisés et des évolutions successives d’un service.

Pourquoi le RGPD est déterminant pour les services numériques

Applicable depuis le 25 mai 2018, le RGPD encadre les traitements de données personnelles dans l’Union européenne. Une donnée personnelle ne se limite pas à un nom ou à une adresse électronique. Il peut aussi s’agir d’un identifiant de compte, d’une adresse IP, d’une donnée de localisation ou de toute information permettant d’identifier une personne, directement ou indirectement.

Le règlement ne prohibe pas l’usage des données. Il impose aux organisations de pouvoir expliquer pourquoi elles les utilisent, sur quel fondement juridique, pendant combien de temps et avec quelles garanties. Un service qui collecte des informations doit ainsi éviter de demander plus de données que nécessaire, protéger celles qu’il conserve et informer clairement les utilisateurs.

Le consentement est souvent associé au RGPD, mais il n’est pas le seul fondement possible pour traiter des données. Selon les situations, un traitement peut aussi être nécessaire à l’exécution d’un contrat, au respect d’une obligation légale ou à la poursuite d’un intérêt légitime, sous réserve de garanties et d’une mise en balance avec les droits des personnes. Cette distinction compte beaucoup : demander un consentement lorsqu’il n’est pas réellement libre, par exemple parce qu’un service essentiel ne peut être obtenu autrement, ne résout pas automatiquement la question de la conformité.

Des profils différents, des enjeux communs

Les quatre entreprises retenues interviennent dans des domaines où la qualité de la protection des données conditionne largement la confiance accordée au service.

Docaposte est un acteur du numérique qui propose des services sécurisés à ses clients. Dans cet environnement, la gestion des accès, l’organisation des échanges d’informations et la sécurisation des traitements constituent des sujets structurants.

Doctrine fournit des solutions liées aux contenus juridiques. Le droit est un domaine où la précision des informations, les conditions de réutilisation des contenus et la prise en compte d’éventuelles données personnelles appellent une attention particulière. La conformité ne consiste pas seulement à publier une politique de confidentialité : elle doit s’inscrire dans les choix de conception et de fonctionnement du service.

La Française des Jeux, ou FDJ, évolue dans le secteur encadré des jeux d’argent. Les services destinés aux joueurs impliquent une vigilance élevée sur les données traitées, la sécurité des comptes et l’information des utilisateurs. La protection des personnes ne se réduit pas ici à une dimension technique, elle participe aussi à la fiabilité du cadre de jeu.

ShareID se spécialise dans l’identité numérique. Ce terrain est particulièrement sensible : vérifier ou attester une identité peut nécessiter des informations dont la divulgation ou le détournement aurait des conséquences importantes pour la personne concernée. Le défi consiste à fournir une preuve adaptée sans multiplier inutilement les données partagées ou conservées.

Ces profils montrent que le RGPD ne concerne pas uniquement les grandes plateformes publicitaires ou les réseaux sociaux. Il s’applique aussi aux services professionnels, aux outils juridiques, aux univers réglementés et aux solutions d’identité numérique.

Ce que peut apporter un accompagnement renforcé

Le respect du RGPD est parfois présenté comme une liste de contraintes. En pratique, les difficultés sont souvent très opérationnelles. Quelle information faut-il fournir lors de la collecte ? Quels acteurs sont responsables du traitement, et lesquels interviennent comme sous-traitants ? Faut-il réaliser une analyse d’impact relative à la protection des données ? Comment répondre efficacement à une demande d’accès ou d’effacement ?

Le soutien de la CNIL a vocation à aider les entreprises à avancer sur ce type de questions. Les rencontres prévues entre les lauréats permettent également de partager des méthodes : cartographier les flux de données, documenter les décisions prises, associer le délégué à la protection des données aux projets ou vérifier les garanties apportées par les prestataires techniques.

Cette méthode est cohérente avec un principe essentiel du RGPD : la protection des données doit être prise en compte dès la conception d’un service et par défaut. Autrement dit, il est généralement plus efficace d’intégrer la confidentialité, les règles d’accès et la limitation des données au début d’un projet que de tenter de les ajouter après le lancement.

Accompagnement, contrôle et sanctions : ne pas confondre les rôles

La CNIL exerce plusieurs missions complémentaires. Elle informe le public, produit des recommandations, accompagne les professionnels, contrôle les traitements et peut prononcer des sanctions lorsque des manquements sont constatés. Ces fonctions ne s’opposent pas. Elles forment un ensemble destiné à rendre la règle applicable dans la réalité des services numériques.

Pour les entreprises, l’accompagnement ne dispense donc pas d’un travail interne durable. La gouvernance des données suppose notamment d’identifier les traitements existants, de définir les responsabilités, de former les équipes qui manipulent des informations personnelles et de prévoir une procédure en cas d’incident de sécurité.

En cas de violation de données personnelles susceptible d’engendrer un risque pour les droits et libertés des personnes, le RGPD prévoit en principe une notification à l’autorité compétente dans un délai de 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes concernées doivent aussi être informées, sauf exception. Le sujet ne concerne donc pas seulement la conformité sur le papier : il concerne la capacité d’une organisation à détecter, analyser et gérer un incident.

L’intelligence artificielle renforce la nécessité d’anticiper

L’accompagnement de ces entreprises s’inscrit dans une période où la CNIL publie aussi des recommandations sur l’intelligence artificielle. Cette actualité est importante, car de nombreux systèmes d’IA utilisent de grands volumes d’informations pour entraîner des modèles, personnaliser un service, effectuer des classifications ou assister une décision.

Le recours à l’IA ne fait pas disparaître les obligations du RGPD. Au contraire, il peut rendre certaines questions plus complexes : origine des données, information des personnes, détermination de la base légale, durée de conservation, sécurité et risques de biais. Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, une analyse d’impact peut être nécessaire avant sa mise en œuvre.

La qualité des données ne doit pas être confondue avec la légitimité de leur utilisation. Une information peut être techniquement exploitable et néanmoins ne pas pouvoir être employée librement dans un nouveau projet. Pour des entreprises qui innovent dans les services numériques, cette distinction est centrale : elle permet de concilier développement de nouveaux usages et respect des droits fondamentaux.

Ce que les utilisateurs peuvent attendre des entreprises

Pour le grand public, les principes du RGPD se traduisent par des gestes et des garanties très concrets. Une personne doit pouvoir savoir quelles données sont collectées à son sujet, pourquoi elles le sont et à qui elles peuvent être transmises. Elle doit également disposer de moyens compréhensibles pour exercer ses droits.

Dans un service d’identité numérique, l’utilisateur peut par exemple attendre que les informations demandées soient strictement liées au niveau de vérification recherché. Dans un service de jeu ou de compte en ligne, il doit pouvoir compter sur des mécanismes de sécurité cohérents et sur une information claire concernant le traitement de ses données. Dans un outil professionnel, les utilisateurs attendent également que les rôles respectifs du fournisseur et de son client soient intelligibles.

La confiance ne repose pas uniquement sur une promesse. Elle se construit par des paramètres protecteurs par défaut, des explications accessibles, des durées de conservation justifiées et une gestion sérieuse des incidents. C’est précisément ce lien entre exigences juridiques et choix de conception que l’accompagnement de la CNIL cherche à rendre plus concret.

Ce qu’il faut surveiller

La sélection de Docaposte, Doctrine, la Française des Jeux et ShareID rappelle que la protection des données est devenue un sujet de compétitivité autant que de conformité. Les services les plus innovants sont souvent ceux qui rencontrent les questions les plus délicates : identité, sécurité, accès aux contenus, personnalisation ou automatisation.

Il faudra suivre la façon dont ces démarches d’accompagnement nourrissent les pratiques des entreprises, ainsi que la poursuite des travaux de la CNIL sur les technologies émergentes, notamment l’intelligence artificielle. Pour les utilisateurs comme pour les organisations, le cap demeure clair : l’innovation numérique ne peut être durable que si elle s’accompagne de règles lisibles, de garanties effectives et d’une responsabilité assumée sur les données personnelles.