Article 2 RGPD : quels traitements sont concernés ?

L’Art. 2 du RGPD détermine les traitements entrant dans son champ matériel. Il faut identifier des données personnelles, une opération concernée et, pour un traitement entièrement manuel, l’existence d’un fichier ou la destination des données vers un fichier. Certaines activités relèvent d’exclusions ou de régimes particuliers.

Analyse vérifiée le 28 septembre 2026 à partir du texte des Art. 2 à 4 et de ses considérants. Le champ matériel se distingue du champ territorial de l’Art. 3 : les deux analyses sont nécessaires.

Traitement automatisé ou fichier manuel

L’Art. 2(1) vise le traitement de données personnelles automatisé en tout ou partie. Pour un traitement non automatisé, les données doivent être contenues dans un fichier ou appelées à y figurer. L’Art. 4(6) définit le fichier par une structure permettant l’accès selon des critères déterminés.

Un dossier client papier classé par nom peut donc relever du règlement. Des notes réellement non structurées et non destinées à un fichier ne doivent pas être assimilées automatiquement à un tel ensemble. Examinez leur organisation et leur usage futur : un document provisoire préparant une saisie dans un fichier ne s’analyse pas isolément de cette destination.

La notion de traitement couvre notamment collecte, consultation, conservation, communication et effacement, selon l’Art. 4(2). La présence d’une intervention humaine dans le processus ne suffit pas à écarter l’automatisation partielle.

Vérifier qu’il s’agit de données personnelles

L’Art. 4(1) vise les informations concernant une personne physique identifiée ou identifiable. Un nom n’est pas indispensable : les moyens d’identification indirecte comptent. Les coordonnées d’un salarié identifié restent personnelles dans un contexte professionnel ; une information concernant seulement une personne morale ne relève pas de cette définition.

Le considérant 26 distingue les informations anonymes et les données permettant encore une identification, en tenant compte des moyens raisonnablement susceptibles d’être utilisés. Supprimer les noms ou remplacer un identifiant ne suffit pas à démontrer l’anonymat. Notre guide d’anonymisation propose une démarche de vérification.

La CJUE précise dans l’arrêt C-413/23 P du 4 septembre 2025, rendu sur la définition équivalente du règlement 2018/1725, que des données pseudonymisées ne sont pas nécessairement personnelles pour toute personne dans toutes les situations. Il faut apprécier les moyens d’identification accessibles à l’acteur concerné. Cela ne dispense pas le responsable qui peut identifier les personnes de ses obligations, ni de l’examen d’une transmission ultérieure.

L’exception personnelle ou domestique

L’Art. 2(2)(c) concerne une personne physique agissant dans un cadre strictement personnel ou domestique. Le considérant 18 cite notamment la correspondance, un carnet d’adresses et certaines activités en ligne, sans lien professionnel ou commercial.

Il faut examiner la finalité, les destinataires et les modalités de diffusion. L’utilisation d’un réseau social ne supprime pas automatiquement l’exception ; elle ne la garantit pas non plus. Une diffusion publique ou une activité professionnelle appelle une analyse différente d’un échange familial limité.

L’exception dont peut bénéficier un particulier ne s’étend pas automatiquement à la plateforme qui lui fournit les moyens de traiter les données. Le considérant 18 distingue ces acteurs.

Les autres exclusions et régimes particuliers

L’Art. 2(2)(a) et (b) vise certaines activités hors du champ du droit de l’Union et celles des États membres relevant de la politique étrangère et de sécurité commune. L’invocation de la sécurité ne suffit pas à qualifier toute opération d’une organisation comme exclue.

L’Art. 2(2)(d) concerne les traitements des autorités compétentes pour les finalités pénales qu’il énumère. La qualité de l’acteur et la finalité doivent être examinées ensemble. Un traitement de ressources humaines n’est pas exclu simplement parce que l’employeur est une autorité publique ; la gestion d’un contentieux pénal par une entreprise ne la transforme pas automatiquement en autorité compétente.

L’Art. 2(3) distingue le régime des institutions et organismes de l’Union. Son renvoi historique au règlement 45/2001 doit se lire avec l’Art. 99 du règlement 2018/1725, qui l’a abrogé avec effet au 11 décembre 2018. L’Art. 2(4) préserve l’articulation avec la réglementation du commerce électronique. Enfin, les données des personnes décédées sont exclues du RGPD par le considérant 27, qui permet des règles nationales : le cadre national doit donc être examiné séparément.

Une fiche de qualification à conserver

Datez la conclusion et ses limites. Si l’opération relève du RGPD, poursuivez avec les principes de l’Art. 5 et la base légale. Une exclusion du RGPD ne démontre pas l’absence de toute autre obligation.

Qualifier quatre documents qui se trouvent dans le même atelier

Le cas est fictif. L’atelier de menuiserie Érable prépare son dossier de conformité. Son dirigeant pense commencer par le logiciel de devis, car il considère que « le papier n’est pas informatisé ». Pourtant, les commandes arrivent par téléphone, sont notées sur une feuille, puis saisies dans le logiciel. Des dossiers plus anciens restent dans une armoire.

L’analyse de l’article 2 doit suivre ce parcours. Elle ne consiste pas à compter les ordinateurs ni à déclarer chaque feuille automatiquement soumise au règlement. Il faut comprendre quelles personnes peuvent être identifiées, quelles opérations sont réalisées et comment l’information est organisée ou destinée à l’être.

Une qualification motivée par document

La dernière conclusion vaut pour le contenu examiné. Si un agent ajoute une colonne avec les habitudes d’achat de clients nommément identifiés, l’objet analysé change. De même, un catalogue sans données personnelles peut être envoyé au moyen d’une liste de destinataires qui, elle, relève du RGPD. Il faut séparer le document transmis du traitement utilisé pour le distribuer.

Pour les commandes, l’équipe peut retenir une activité cohérente couvrant réception, préparation du devis, suivi et conservation, puis distinguer les finalités lorsque cela est nécessaire. Elle ne doit pas produire une fiche sans lien pour chaque support et perdre ainsi la circulation réelle de l’information.

Que faire d’un carnet de notes informel ?

Le dirigeant tient aussi un carnet dans lequel il note des idées et certaines conversations. Le seul mot « carnet » ne résout pas la qualification. L’équipe examine si les notes contiennent des informations personnelles, si elles sont classées ou accessibles selon des critères, et si elles servent à alimenter les dossiers clients.

Une absence de classement alphabétique ne démontre pas l’absence de fichier : d’autres critères peuvent permettre de retrouver les informations. Inversement, l’article 2(1) ne doit pas être lu comme s’il couvrait nécessairement tout ensemble de notes purement manuelles, réellement non structuré et non destiné à un fichier. Le considérant 15 permet de situer cette limite.

La note de qualification peut indiquer les faits encore à vérifier, par exemple : « carnet utilisé pendant les appels ; destination des coordonnées vers le logiciel à confirmer avec son utilisateur ». L’instruction doit alors résoudre cette question. Inscrire « hors RGPD » parce que personne n’a regardé le carnet ne constitue pas une analyse.

L’usage privé d’un salarié ne qualifie pas celui de l’entreprise

Poursuivons le scénario avec une liste d’invités. Le dirigeant conserve, à titre personnel, les coordonnées de proches pour une réunion familiale. Cette activité peut relever de l’exception domestique lorsque ses modalités restent strictement personnelles. L’analyse change si l’entreprise récupère cette liste pour annoncer une opération commerciale : elle réalise une opération professionnelle propre, à justifier selon les règles applicables.

Le raisonnement ne dépend pas de l’appareil utilisé. Un fichier client conservé sur le téléphone personnel du dirigeant ne devient pas domestique. À l’inverse, l’emploi d’un ordinateur professionnel ne permet pas, à lui seul, de déterminer la finalité réelle d’un échange privé. Les règles internes d’usage des équipements et les autres obligations éventuelles restent des questions distinctes.

Pour consigner cette frontière, l’équipe décrit l’auteur de l’opération, son objectif, les destinataires et le mode de diffusion. Elle évite une formule générale telle que « données collectées par un particulier, donc réutilisables ». L’exception éventuelle d’une première personne ne se transmet pas automatiquement à tous ceux qui obtiennent ensuite le fichier.

Une note de périmètre qui déclenche les bonnes suites

Le dossier Érable peut conclure : « Le traitement des devis et commandes comprend la prise de notes destinée à la saisie, le logiciel et les archives indexées. Le catalogue technique examiné ne comporte pas de données personnelles. L’usage du carnet de conversations reste à préciser. La liste familiale n’entre pas dans le fichier commercial de l’atelier. »

Cette conclusion explique ce qui a été examiné et ce qui reste ouvert. Elle ne prouve pas encore la licéité des devis, la pertinence des données ou la conformité des durées. Pour les opérations retenues, l’entreprise doit poursuivre l’analyse des bases légales, de l’information, des destinataires, de la sécurité et des droits.

Enfin, une exclusion du champ matériel ne constitue pas une dispense définitive attachée au nom du document. L’ajout d’un index, la saisie dans un outil, la diffusion à un nouveau public ou l’enrichissement du contenu peut modifier les faits. Une note datée et reliée au fonctionnement décrit permet de réexaminer précisément ce qui change.

Ce qu’il faut retenir

• Le RGPD peut concerner un fichier papier comme un traitement numérique.
• L’identification indirecte et la destination des données doivent être examinées.
• L’exception domestique dépend du contexte, pas seulement du support.
• Documentez toute exclusion et réexaminez-la lorsque l’usage change.

FAQ

Un fichier client papier relève-t-il du RGPD ?

Oui s’il contient des données personnelles structurées selon des critères permettant l’accès, sous réserve des autres conditions d’application.

Un nom supprimé rend-il le fichier anonyme ?

Pas nécessairement. Il faut examiner les possibilités d’identification restantes et les moyens accessibles aux acteurs concernés.

Une activité familiale bénéficie-t-elle toujours de l’exception ?

Il faut vérifier qu’elle reste strictement personnelle ou domestique, notamment au regard de sa finalité et de sa diffusion.

Recevez nos analyses pratiques du RGPD.

Thiébaut Devergranne, docteur en droit, fondateur de donneespersonnelles.fr et de Legiscope, travaille depuis plus de vingt ans sur le droit des technologies.