Qui est concerné par le RGPD ?

La réponse courte : presque toute organisation qui manipule des données personnelles

Le RGPD concerne toute organisation, publique ou privée, qui traite des données personnelles dans le cadre de son activité : entreprise, micro-entrepreneur, association, établissement scolaire, collectivité, cabinet médical, e-commerçant, agence immobilière ou plateforme numérique. Collecter une adresse e-mail pour une newsletter, conserver les coordonnées de clients, gérer des candidatures ou filmer une entrée avec une caméra sont déjà des traitements de données.

Deux catégories sont concernées, mais pas au même titre. D’un côté, les personnes physiques dont les informations sont utilisées : clients, prospects, salariés, candidats, adhérents, patients, usagers ou visiteurs d’un site. Elles bénéficient de droits. De l’autre, les organisations qui décident ou réalisent le traitement : elles doivent respecter des obligations précises de transparence, de sécurité et de gestion des droits.

Quelles données et quelles actions font entrer dans le champ du RGPD ?

Donnée personnelle

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Un nom suffit souvent ; un identifiant client, une adresse IP, un numéro de téléphone, une plaque d’immatriculation ou un identifiant de cookie peuvent aussi permettre d’identifier quelqu’un selon le contexte.

Le règlement vise une notion large : le traitement. Il ne faut donc pas imaginer uniquement une grande base de données ou un logiciel complexe. Toute opération réalisée sur des données est concernée : collecte via un formulaire, inscription à un programme de fidélité, stockage d’un CV, consultation d’une fiche client, envoi d’un e-mail, export d’un fichier Excel, transmission à un comptable, archivage ou suppression.

Les fichiers papier sont aussi concernés lorsqu’ils sont organisés de façon à retrouver les personnes : classeur de salariés, fiches d’adhérents, dossiers patients ou formulaires de commandes classés par nom. À l’inverse, une information définitivement anonymisée, qui ne permet réellement plus de remonter à une personne, sort du champ du RGPD. Une simple suppression du nom ne suffit pas toujours : la combinaison de l’âge, de la commune, du poste et de la date peut réidentifier quelqu’un.

• Données courantes : nom, prénom, adresse postale, e-mail, téléphone, photo, date de naissance, coordonnées bancaires.
• Données numériques : adresse IP, identifiant de connexion, identifiant publicitaire, historique de navigation, géolocalisation, identifiant de terminal.
• Données professionnelles : contrat de travail, absences, évaluation, paie, candidature, badge d’accès, vidéo de surveillance.
• Données sensibles : santé, biométrie, opinions politiques, convictions religieuses, orientation sexuelle, appartenance syndicale, origine raciale ou ethnique. Leur usage est en principe interdit, sauf exception légale stricte.
• Données relatives aux infractions et condamnations : elles obéissent à un encadrement renforcé.

Responsable de traitement, sous-traitant, personnes : qui fait quoi ?

Le RGPD ne concerne pas seulement l’entreprise qui possède la relation avec le client. Il répartit les responsabilités entre plusieurs acteurs. La qualification dépend des faits et des contrats, pas seulement de l’intitulé retenu par les parties.

Les responsables de traitement : ceux qui décident de l’usage

Une entreprise qui crée un fichier de prospects, une association qui gère ses cotisations, une commune qui instruit des demandes d’état civil ou un artisan qui conserve les coordonnées de ses clients sont généralement responsables de traitement. Ils doivent notamment définir une finalité précise, choisir une base légale, informer les personnes, limiter les données collectées, fixer des durées de conservation et sécuriser les accès.

Les sous-traitants : eux aussi doivent respecter le règlement

Un sous-traitant agit pour le compte d’un responsable de traitement et sur ses instructions documentées. Cela peut être un hébergeur cloud, un cabinet comptable qui traite la paie, un logiciel de prise de rendez‑vous, un centre d’appels ou une agence qui envoie une campagne e-mail. Il doit offrir des garanties de sécurité, aider son client à respecter certains droits, signaler les violations de données et ne pas réutiliser les données pour son propre compte sans base distincte.

Le RGPD s’applique‑t‑il aux entreprises situées hors de l’Union européenne ?

Oui. Le siège social ne permet pas de contourner le RGPD. Selon l’article 3 du règlement, une organisation établie dans l’Union européenne est soumise au RGPD pour les traitements réalisés dans le cadre de ses activités, même si les données ou les serveurs sont situés ailleurs.

Une organisation sans établissement dans l’Union peut aussi être concernée si elle propose des biens ou services à des personnes qui se trouvent dans l’UE, gratuitement ou contre paiement, ou si elle suit leur comportement sur le territoire européen. Une boutique étrangère qui affiche des prix en euros, livre habituellement en France et propose son site en français cible plus clairement le marché européen qu’un site mondial simplement accessible depuis la France.

Le suivi comportemental vise notamment le traçage en ligne

Le ciblage publicitaire, l’analyse détaillée de navigation, le profilage, la géolocalisation à des fins commerciales ou le suivi d’utilisateurs au moyen de traceurs peuvent caractériser un suivi du comportement. L’accessibilité technique d’un site depuis la France, à elle seule, ne suffit pas nécessairement : il faut regarder les indices montrant une volonté de viser des personnes dans l’Union.

Comment vérifier en six étapes si votre activité doit respecter le RGPD ?

TPE, associations et particuliers : les exceptions qui existent vraiment

Une petite structure n’est pas exemptée parce qu’elle ne compte qu’un salarié ou qu’elle est bénévole. Une micro-entreprise qui prend des rendez‑vous, une association sportive qui gère des licences ou un artisan qui émet des factures utilisent des données personnelles et doivent respecter les grands principes du RGPD. Le niveau de mesures doit toutefois être proportionné aux risques : un annuaire d’adhérents n’appelle pas les mêmes protections qu’un dossier médical ou qu’un système de reconnaissance faciale.

Le seuil de 250 salariés est souvent mal compris. Il ne dispense pas les structures plus petites du RGPD. Il concerne seulement une dérogation partielle à l’obligation de tenir un registre des activités de traitement. Cette dérogation cesse notamment si le traitement n’est pas occasionnel, s’il risque d’affecter les droits et libertés des personnes ou s’il porte sur des données sensibles ou des données pénales. En pratique, de nombreuses petites structures ont intérêt à tenir un registre simplifié.

Le cas du particulier qui agit dans sa vie privée

Le RGPD ne s’applique en principe pas à une activité exclusivement personnelle ou domestique : conserver les numéros de ses proches, envoyer des invitations familiales ou gérer un album privé. La limite est franchie lorsque l’activité devient professionnelle, commerciale, associative ouverte au public ou qu’elle diffuse des données à un large public. Publier des informations personnelles sur un groupe accessible publiquement, par exemple, ne relève pas automatiquement de la simple sphère domestique.

Les administrations et organismes publics sont également concernés

Mairies, établissements publics, écoles, hôpitaux, organismes sociaux et services de l’État doivent respecter le RGPD. Les organismes publics doivent en principe désigner un délégué à la protection des données, sauf les juridictions lorsqu’elles exercent leur mission juridictionnelle. Ils restent soumis à leurs textes sectoriels, aux règles d’archives publiques et, en France, à la loi Informatique et Libertés.

Quelles obligations et quels risques pour les organismes concernés ?

Être concerné par le RGPD ne signifie pas devoir demander le consentement pour tout. Le consentement est une base légale parmi d’autres. Une facture peut être conservée parce que la loi l’impose ; les coordonnées nécessaires à l’exécution d’une commande reposent sur le contrat ; certaines actions de prospection peuvent reposer sur l’intérêt légitime sous conditions. Le point central est de pouvoir expliquer, documenter et limiter chaque traitement.

Les personnes concernées peuvent notamment demander l’accès à leurs données, leur rectification, leur effacement dans certaines situations, la limitation du traitement, leur portabilité lorsque les conditions sont réunies, ou s’opposer à certains usages, en particulier à la prospection. L’organisme doit répondre en principe dans un mois, avec des possibilités encadrées de prolongation pour les demandes complexes ou nombreuses.

En cas de violation de données, perte d’un ordinateur non protégé, accès non autorisé, rançongiciel, envoi d’un fichier au mauvais destinataire, le responsable doit évaluer le risque pour les personnes. Si la violation est susceptible d’engendrer un risque pour leurs droits et libertés, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. En cas de risque élevé, les personnes doivent aussi être informées, sauf exception.

La CNIL peut contrôler les organismes concernés et prononcer diverses mesures : mise en demeure, injonction de se mettre en conformité, limitation temporaire ou définitive d’un traitement, publicité de la décision et sanction pécuniaire. Les plafonds prévus par le RGPD peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour certains manquements, et jusqu’à 20 millions d’euros ou 4 % pour les plus graves. Le montant réellement prononcé dépend notamment de la gravité, de la durée, des mesures correctrices et de la coopération de l’organisme.

Pour aller au-delà du diagnostic, consultez les ressources pratiques de la CNIL sur le RGPD et le texte du règlement européen. Si vous traitez des données sensibles, surveillez des personnes à grande échelle, transférez fréquemment des données hors UE ou subissez une violation, faites‑vous accompagner avant de choisir vos mesures.