Le piège classique
L'article 98 est une disposition institutionnelle : il s'adresse a la Commission européenne, pas a votre organisation. C'est ce qui a justifie l'alignement du règlement (UE) 2018/1725 applicable aux institutions européennes sur le RGPD. Le piège concret n'est donc pas un risque de sanction directe, mais une erreur de périmètre juridique : croire qu'un seul texte regit toutes vos données. Les autorités (CNPD au Luxembourg, CNIL, APD belge) sanctionnent en pratique les responsables qui appliquent le RGPD de manière monolithique alors qu'un acte sectoriel ou un texte connexe (ePrivacy, 2018/1725 si vous traitez pour une institution UE) impose des règles plus strictes ou spécifiques.
Pourquoi la cartographie des bases légales applicables est votre vrai sujet
Cet article rappelle que le RGPD vit dans un écosystème d'actes interconnectes. Un même traitement peut relever simultanement de plusieurs corpus, et c'est la règle la plus stricte qui s'applique. En pratique vous devez identifier :
- Les traitements pour le compte d'institutions ou organismes de l'Union, soumis au règlement 2018/1725 et non au RGPD seul.
- Les communications électroniques et cookies, regis par la directive ePrivacy (et sa transposition luxembourgeoise) qui prime sur le RGPD pour le consentement aux traceurs.
- Les actes sectoriels (DORA pour la finance, NIS 2 pour les entités essentielles et importantes) qui ajoutent des obligations de sécurité et de notification.
- Les règles nationales prises sur fondement des marges de manoeuvre laissees par le RGPD.
- Les transferts hors UE, encadres par Schrems II (CJUE 2020) et le Data Privacy Framework (2023).
Négliger cette superposition, c'est documenter une base légale RGPD parfaite, mais incomplete au regard du texte reellement applicable.
Comment Luxgap automatise ce risque
Notre Luxgap Regulatory Mapping Engine rend impossible l'angle mort juridique en cartographiant, pour chaque traitement de votre registre, l'ensemble des actes européens et nationaux reellement applicables, et non le seul RGPD. Un agent IA spécialisé lit votre registre article 30, vos contrats Odoo et vos flux M365 et Azure pour qualifier automatiquement le corpus juridique de chaque finalité, en croisant RGPD, règlement 2018/1725, ePrivacy, DORA et NIS 2.
- Detecte les traitements opérés pour le compte d'institutions ou organismes de l'Union et signale l'application du règlement 2018/1725 plutot que du RGPD seul.
- Classifie chaque finalité selon la grille des actes applicables et identifié la règle la plus stricte qui prime.
- Scanne vos sites publics via un snippet JS leger pour repérer les traceurs relevant d'ePrivacy et non du seul consentement RGPD.
- Alerte en temps reel par Teams des qu'un nouveau flux ou un nouveau contrat fait basculer un traitement sous un corpus sectoriel (DORA, NIS 2).
- Produit un rapport PDF horodate, opposable a la CNPD lors d'un contrôle, qui démontré la maîtrise du périmètre juridique applicable.
Disponible en complement d'un mandat DPO ou CISO Luxgap ou en brique SaaS dediee selon votre périmètre. Demandez un devis personnalise et nos équipes preparent une demonstration sur votre registre reel, avec un audit blanc gratuit sous 48h pour mesurer votre exposition avant tout engagement.
