Question posée chaque semaine par les équipes communication françaises, belges et suisses qui découvrent notre plateforme : la veille médiatique est-elle compatible avec le RGPD ? La réponse courte est oui — quand elle est conçue pour. La réponse longue est ce guide : ce que le règlement impose réellement à une équipe qui surveille des médias, où se trouvent les vraies zones de risque, et comment structurer un programme de conformité qui tient devant un régulateur plutôt que devant un commercial.
Un rappel de cadrage avant tout : ce guide est une lecture opérationnelle par une praticienne, pas un avis juridique. Votre contexte — statut, pays, données traitées — mérite l'analyse de votre conseil.
Ce que le RGPD dit vraiment à la veille médiatique
Le RGPD s'applique aux traitements de données à caractère personnel, pas à l'actualité en général. Lire Le Monde, surveiller le flux RSS d'un quotidien économique ou archiver des articles publiés sur un site de presse ne relève pas, en soi, du règlement : ce sont des œuvres journalistiques publiées, et le cadre européen reconnaît largement la liberté de recevoir et de communiquer des informations. La veille de marque — suivre ce que les médias écrivent d'une entreprise, d'un produit, d'une organisation — est le cœur légitime du métier et repose typiquement sur l'intérêt légitime, documenté et proportionné.
La frontière se déplace dès que la cible devient une personne. Mesurer le sentiment envers une banque et mesurer le sentiment envers son directeur général sont deux traitements très différents : le second constitue une évaluation systématique d'une personne physique identifiée — parfois un profilage au sens du règlement — et exige une base légale solide, une finalité explicite, et le plus souvent une analyse d'impact. C'est là que les équipes comms se mettent involontairement en danger.
Les trois zones à risque d'un dispositif de veille
1. Le sentiment sur des personnes nommées
Suivre la couverture médiatique d'un dirigeant cité à propos de son entreprise est un usage classique et défendable ; construire un baromètre de réputation sur des journalistes, des syndicalistes, des activistes ou des lanceurs d'alerte est un traitement de données à caractère personnel à part entière, avec de lourdes obligations. Notre règle de conception chez Harch Atelier est radicale : la plateforme mesure des marques, pas des personnes. Les personnes n'apparaissent que comme auteurs d'articles ou porte-parole cités, jamais comme entités notées.
2. La collecte automatisée de contenus publics
Les données publiques restent des données personnelles. La doctrine française sur l'extraction automatisée de données accessibles au public, développée notamment par la CNIL dans ses orientations sur le web scraping, rappelle que la publicité d'une page ne neutralise ni la finalité, ni la minimisation, ni l'information des personnes. Un dispositif de veille qui aspirerait indifféremment profils sociaux et commentaires nominatifs au-delà de ce que la finalité justifie s'expose à des sanctions. La veille de sources de presse via leurs flux publics est le parcours le plus sobre.
3. La conservation et les accès
Le risque le plus souvent sous-estimé est trivial : une base de veille qui grossit indéfiniment, consultable par des stagiaires, contenant des années d'articles nominatifs et de notes internes. Durées de conservation définies, suppression effective, journalisation des accès, cloisonnement par client : c'est inglamoureux, c'est exactement ce qu'un régulateur vérifie en premier.
France, Belgique, Suisse : les particularismes
Pour une équipe basée à Bruxelles, Genève ou Paris, le point structurant est le même : le RGPD s'applique dès lors que l'établissement est dans l'Union ou que le traitement cible des personnes s'y trouvant, et les pratiques de veille héritées de l'ère des coupures de presse papier doivent être refondées avec les règles de minimisation en tête.
Le programme de conformité en sept points
- Inscrire chaque dispositif de veille au registre des traitements, avec sa finalité en une phrase intelligible.
- Documenter la base légale — intérêt légitime le plus souvent — avec le test d'équilibre correspondant.
- Bannir le scoring de personnes : mesurer des organisations, pas des individus ; si un suivi de dirigeant est indispensable, le limiter strictement à sa fonction publique.
- Réaliser une analyse d'impact dès que le dispositif profile, croise ou évalue des personnes à grande échelle.
- Fixer des durées de conservation différenciées — articles, métriques agrégées, notes internes — et les exécuter réellement.
- Contracter avec les prestataires selon l'article 28 : un accord de sous-traitance, une localisation des données identifiée, des sous-traitants ultérieurs connus.
- Former les équipes : le risque RGPD naît rarement de l'outil, presque toujours de l'usage improvisé qu'en fait un collaborateur pressé.
Ce que cela change pour l'architecture de l'outil
La conformité n'est pas un vernis juridique posé après coup : elle se conçoit. Chez Harch Atelier, elle a façonné des choix de conception précis — le sentiment est mesuré au niveau des marques et agrégé, jamais comme un profil individuel ; les sources sont des flux publics de médias, pas des espaces privés ; les données de clients européens sont hébergées dans l'Union avec une journalisation des accès ; et la documentation de traitement fait partie de la livraison, pas de la dissertation. Un acheteur européen doit poser ces questions à tout fournisseur, et attendre des réponses précises.
La conformité bien menée n'est pas un frein à la veille, c'est ce qui la rend durable : un dispositif que l'on peut montrer à un régulateur est un dispositif que l'on peut montrer à un client, à un journaliste et à un conseil d'administration. Les équipes comms européennes qui l'ont compris traitent la protection des données comme une exigence de conception — et dorment mieux pendant leurs crises, qui sont assez nombreuses pour occuper les nuits sans cela.