Le cadre légal
Le règlement (UE) 2016/679 du 27 avril 2016 (RGPD, 2016), applicable depuis le 25 mai 2018, fixe les principes de licéité, de minimisation, de limitation des finalités et de sécurité (RGPD art. 5 à 9, CNIL), et confère aux personnes des droits directement invocables : accès, rectification, effacement, portabilité, opposition (RGPD, 2016). Il s'accompagne de la directive 2002/58/CE, dite ePrivacy, qui régit les cookies et les communications électroniques (Directive 2002/58/CE, 2002). Les amendes peuvent atteindre 4 % du chiffre d'affaires mondial (RGPD art. 77 à 83, CNIL). Étant un règlement, il ne se transpose pas (UE, types de législation) : les lois nationales ne font que l'adapter sur les marges laissées ouvertes.
La différence entre règlement et directive se voit ici très concrètement : aucune loi nationale n'était nécessaire pour que le RGPD s'applique (UE, types de législation). Les lois nationales — loi Informatique et Libertés en France, BDSG en Allemagne (BDSG) — n'interviennent que là où le règlement laisse une marge : âge du consentement des mineurs (RGPD art. 5 à 9, CNIL), données de santé, recherche.
Le droit à l'effacement, souvent appelé droit à l'oubli, est né d'un arrêt de la Cour de justice de 2014 avant d'être codifié à l'article 17 (CJUE, 2014) (RGPD art. 12 à 22, CNIL). C'est le fondement d'une demande de suppression d'un profil ou d'une photo auprès d'un site de rencontre.
Le règlement s'applique aux entreprises établies hors de l'Union dès lors qu'elles proposent des services à des personnes situées dans l'Union (RGPD, 2016). C'est ce qui permet à un résident européen d'exercer ses droits auprès d'une application américaine.
Les points clés
| Texte | Règlement (UE) 2016/679, applicable depuis le 25 mai 2018 (RGPD art. 99, CNIL) |
|---|---|
| Nature | Règlement : directement applicable, sans transposition |
| Droits | Accès, rectification, effacement, portabilité, opposition, limitation (RGPD, 2016) |
| Cookies | Directive 2002/58/CE, consentement préalable exigé (Directive 2002/58/CE, 2002) |
| Sanctions | Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial (RGPD art. 77 à 83, CNIL) |
| Portée | S'applique aussi aux entreprises hors UE qui ciblent des résidents européens |
En pratique
- Vérifier d'abord la nature du texte : un règlement s'applique directement, une directive doit être transposée (UE, types de législation) et laisse des différences entre États.
- Consulter la version consolidée du texte sur EUR-Lex, qui intègre toutes les modifications.
- Identifier la loi nationale de transposition : c'est elle que le juge appliquera concrètement.
- En cas de doute sur l'interprétation, rechercher les arrêts de la Cour de justice sur le point en cause.
- Pour un litige transfrontalier, vérifier si un point de contact national ou un réseau européen peut aider.
Coût et prise en charge
Consulter le droit de l'Union ne coûte rien : EUR-Lex publie gratuitement tous les textes, dans les vingt-quatre langues officielles (UE, langues) et en version consolidée. Le coût éventuel est celui du conseil juridique lorsque l'articulation entre le texte européen et la loi nationale de transposition devient déterminante — c'est fréquent pour les directives, rare pour les règlements.
Où s'adresser
- EUR-Lex, le portail officiel du droit de l'Union, qui publie chaque texte en vingt-quatre langues
- Portail e-Justice de l'Union européenne, pour les procédures transfrontalières
- Votre Europe, le service d'information de la Commission pour les citoyens
- SOLVIT, réseau de résolution des problèmes d'application du droit de l'Union par une administration
- Centre européen des consommateurs de votre pays, pour les litiges de consommation transfrontaliers
À savoir
Attention à ne pas confondre l'Union européenne et le Conseil de l'Europe : la Convention européenne des droits de l'homme et la Cour de Strasbourg ne relèvent pas de l'Union et couvrent quarante-six États (CEDH, La Cour en bref), dont la Suisse et le Royaume-Uni.
Questions fréquentes
Le RGPD doit-il être transposé en droit national ?
Non. C'est un règlement : il s'applique directement dans tous les États membres (UE, types de législation). Les lois nationales ne font que l'adapter là où il laisse une marge.
Quels droits puis-je exercer ?
L'accès à vos données, leur rectification, leur effacement, leur portabilité, l'opposition au traitement et la limitation de celui-ci (RGPD, 2016).
À qui s'adresser en cas de refus ?
À l'autorité de contrôle de votre pays de résidence (RGPD, 2016), qui coopère avec les autres autorités européennes selon le mécanisme du guichet unique.
Une application américaine est-elle concernée ?
Oui, dès lors qu'elle propose ses services à des personnes situées dans l'Union (RGPD, 2016).
Sources et liens officiels
- Haut-Commissariat des Nations unies aux droits de l'homme — traités ratifiés et examens périodiques par pays
- Base de données législative de l'OIT — textes nationaux en droit social et familial