RGPD en 2026 : Les 10 erreurs que les entreprises continuent de commettre

Le RGPD est entré en vigueur en mai 2018. Huit ans plus tard, les autorités de protection des données continuent d’émettre des amendes significatives pour les mêmes catégories d’infractions. La loi n’est pas devenue plus complexe — l’application est devenue plus expérimentée.

Voici les dix erreurs qui apparaissent le plus systématiquement dans les décisions de sanction, les orientations réglementaires et les constatations d’audit.

Erreur 1 : Traiter la notice de confidentialité comme le programme de conformité

La notice de confidentialité est une obligation de divulgation. Ce n’est pas un système de conformité. Les organisations qui ont mis à jour leur notice en 2018 et ont considéré le RGPD comme réglé ont un document de divulgation et rien en dessous.

Un programme RGPD fonctionnel nécessite : une base légale documentée pour chaque activité de traitement, des processus opérationnels pour les droits des personnes concernées, une capacité de réponse aux violations, des calendriers de conservation réellement appliqués et des accords de sous-traitance à jour.

Erreur 2 : S’appuyer sur le consentement quand ce n’est pas nécessaire

Le consentement est souvent la base légale la plus difficile à maintenir correctement. Si vous traitez des données parce qu’elles sont nécessaires à l’exécution d’un contrat, utilisez la nécessité contractuelle. Si vous avez un intérêt commercial légitime, utilisez les intérêts légitimes avec un test de mise en balance documenté.

Erreur 3 : Oublier les sous-traitants

Chaque fois que vous partagez des données avec un prestataire externe qui les traite en votre nom, vous devez disposer d’un Accord de Traitement de Données. Les plus fréquemment omis : les sociétés de support IT, les plateformes RH, les outils de BI et de stockage de documents.

Erreur 4 : Consentement vague ou groupé pour le marketing

Le consentement pour le marketing électronique doit être spécifique à l’objet et au canal. Une case à cocher disant « j’accepte de recevoir des communications de nos partenaires » ne constitue pas un consentement valide. Ni une case pré-cochée ni une case enfouie dans les conditions générales.

Erreur 5 : Ne pas répondre dans les délais aux demandes des personnes concernées

Le délai d’un mois court à compter de la date de réception, pas de celle à laquelle quelqu’un la consulte. Les autorités de contrôle suivent attentivement le traitement des demandes d’accès.

Erreur 6 : Conserver les données plus longtemps que nécessaire

La plupart des organisations n’ont jamais mis en place de politique de conservation automatisée. Les données s’accumulent indéfiniment dans les systèmes de messagerie, les lecteurs partagés et les bases de données.

Erreur 7 : Ne pas documenter l’évaluation des intérêts légitimes

Si vous invoquez les intérêts légitimes comme base légale, vous avez besoin d’une évaluation documentée. Sans documentation contemporaine, vous avez effectivement revendiqué une base que vous ne pouvez pas prouver.

Erreur 8 : Pas de registre des violations

L’article 33(5) du RGPD exige de documenter toutes les violations, y compris celles qui n’atteignent pas le seuil de notification.

Erreur 9 : Formation du personnel non documentée

Une formation ayant eu lieu une fois en 2019, sans registre de qui y a assisté, n’est pas un atout de conformité — c’est un passif. Les registres de formation doivent être individuels, datés et conservés.

Erreur 10 : Ignorer les obligations de transfert transfrontalier

Chaque fois que des données de résidents de l’UE se déplacent hors de l’EEE, le transfert nécessite un mécanisme légal. Beaucoup d’organisations ont mis en place des CCT mais n’ont jamais réalisé l’Évaluation d’Impact du Transfert requise depuis l’arrêt Schrems II.

Le fil conducteur de toutes ces erreurs est le même : la conformité a été traitée comme un exercice de documentation plutôt que comme un programme opérationnel. Les organisations qui réussissent les inspections réglementaires ne sont pas celles qui ont les meilleures politiques — ce sont celles dont les opérations quotidiennes produisent la preuve que les politiques sont réelles.