Qui est concerné par le RGPD ? Guide + 8 exemples 2026

L’essentiel. Le RGPD s’applique à toute organisation qui traite des données personnelles, quels que soient sa taille et son statut : entreprise, association, administration, indépendant. Le déclencheur n’est pas le chiffre d’affaires ni le nombre de salariés, mais le simple fait de manipuler des données permettant d’identifier une personne (un nom, un e-mail, une adresse IP suffisent). Le règlement s’applique aussi à des entreprises hors Union européenne dès lors qu’elles ciblent des personnes situées dans l’UE. Seul le traitement strictement personnel et domestique échappe au texte.

Beaucoup de dirigeants pensent, à tort, que le RGPD ne concerne que les grandes plateformes numériques ou les entreprises « qui vendent des données ». C’est faux. Dès qu’une organisation dispose d’un fichier clients, d’une liste de salariés, d’une newsletter ou d’un formulaire de contact, elle est concernée. Le règlement européen sur la protection des données (RGPD) et la loi Informatique et Libertés qui l’accompagne en droit français ont un champ d’application volontairement large.

Cet article répond précisément à la question « qui est concerné par le RGPD ? » : le critère juridique d’application, les organisations visées, l’application aux entreprises hors UE, les cas d’exclusion, des exemples concrets par secteur et les obligations qui en découlent.

Le critère d’application : traiter des données personnelles

Le champ d’application matériel du RGPD est fixé par son article 2 :

Le présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

Deux notions commandent donc l’application du texte : le traitement et la donnée à caractère personnel.

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. La définition est extensive : un nom, un prénom, une adresse e-mail, un numéro de téléphone, une adresse IP, un identifiant client, une plaque d’immatriculation, une photo, une voix. Il n’est pas nécessaire que la donnée nomme directement la personne : il suffit qu’elle permette de la ré-identifier, seule ou par recoupement.

Le traitement couvre quasiment toute opération : collecter, enregistrer, organiser, conserver, consulter, utiliser, transmettre, effacer. Autrement dit, dès qu’une organisation détient un nom ou un e-mail dans un système, sur un serveur ou même dans un fichier papier structuré, elle réalise un traitement et le RGPD s’applique.

Certaines données bénéficient d’une protection renforcée : les données sensibles (santé, opinions politiques, religion, orientation sexuelle, données biométriques ou génétiques) sont en principe interdites de traitement, sauf exception. Les organisations qui en manipulent (professions de santé, associations à caractère politique ou syndical) sont soumises à des exigences plus strictes.

Quelles organisations sont concernées ?

Le RGPD ne distingue pas selon la forme juridique ni la taille. Sont concernés :

Type d’organisation	Concernée ?	Exemples de traitements courants
Entreprise (TPE, PME, ETI, grand groupe)	Oui	Fichier clients, paie, prospection, vidéosurveillance
Indépendant / auto-entrepreneur	Oui	Facturation, gestion clients, e-mailing
Association	Oui	Fichier des adhérents, dons, bénévoles
Administration, collectivité	Oui	Usagers, agents, demandes en ligne
Profession libérale	Oui	Dossiers patients, dossiers clients
Particulier (usage strictement privé)	Non	Carnet d’adresses personnel, photos de famille

Le seuil de 250 salariés, souvent cité, ne détermine pas l’application du RGPD : il n’allège que certaines formalités documentaires (voir plus bas). Une association d’un bénévole, un cabinet libéral d’une personne ou une TPE de trois salariés sont donc pleinement soumis au règlement.

Entreprises hors UE : l’application extraterritoriale

L’une des innovations majeures du RGPD est son application extraterritoriale, prévue à l’article 3. Le règlement s’applique à une organisation établie hors de l’Union européenne dès lors qu’elle :

• offre des biens ou services à des personnes situées dans l’UE (site marchand livrant en France, application en français, prix en euros) ; ou
• suit le comportement de personnes dans l’UE (traçage publicitaire, profilage, mesure d’audience).

Concrètement, une entreprise établie hors de l’UE qui vend en ligne à des clients français, ou qui dépose des traceurs sur les navigateurs d’internautes européens, relève du RGPD. Elle doit alors, dans certains cas, désigner un représentant dans l’Union. Cette portée large a été confirmée par la pratique décisionnelle des autorités européennes et par la jurisprudence de la Cour de justice de l’Union européenne, qui retiennent une conception étendue du critère de ciblage.

Le seul cas d’exclusion : l’activité personnelle et domestique

L’article 2 exclut le traitement effectué par une personne physique « dans le cadre d’une activité strictement personnelle ou domestique ». C’est l’« exception ménagère » : votre carnet d’adresses personnel, votre liste d’invités à un anniversaire ou vos photos de famille ne relèvent pas du RGPD.

Cette exclusion est d’interprétation stricte. Dès qu’une activité présente une dimension professionnelle, commerciale ou associative, elle sort du champ domestique. Un particulier qui met en ligne une caméra filmant l’espace public, ou qui exploite un fichier à des fins de démarchage, retombe dans le champ du règlement. La frontière se déplace vite : un blog personnel monétisé, une chaîne vidéo avec régie publicitaire ou une cagnotte en ligne organisée dépassent l’usage strictement domestique.

Exemples concrets de traitements par domaine

Toute organisation, même modeste, opère en réalité plusieurs traitements qui déclenchent l’application du RGPD. Voici les plus courants.

Ressources humaines : recrutement et gestion des candidatures, contrats et paie, gestion des congés, formation, badgeuse et contrôle d’accès, téléphonie professionnelle. Dès qu’il y a un salarié, il y a des données personnelles.

Relation commerciale : fichier clients et prospects, devis et facturation, comptabilité, service après-vente, programme de fidélité. La prospection commerciale est particulièrement encadrée.

Marketing et web : newsletter, formulaire de contact, cookies et mesure d’audience, réseaux sociaux, organisation d’événements et gestion des inscrits. Un simple site vitrine avec formulaire est concerné (voir nos guides RGPD e-commerce).

Juridique et sécurité : gestion du contentieux, vidéosurveillance, contrôle des accès informatiques, journalisation. Ces traitements touchent souvent des données sensibles ou des libertés fondamentales, d’où une vigilance accrue.

Selon le secteur, des règles spécifiques s’ajoutent : voir nos guides dédiés au RGPD en cabinet médical, au RGPD en cabinet d’avocats, au RGPD dans l’immobilier et au RGPD pour les associations.

Responsable de traitement ou sous-traitant : deux rôles concernés

Le RGPD concerne deux figures aux obligations distinctes. Le responsable de traitement est celui qui décide des finalités et des moyens du traitement : c’est l’organisation qui collecte les données pour ses propres besoins. Le sous-traitant traite les données pour le compte du responsable, sur ses instructions : hébergeur, prestataire de paie, éditeur de logiciel SaaS, agence marketing.

Les deux sont concernés, mais leurs obligations diffèrent. Le sous-traitant doit notamment être encadré par un contrat conforme à l’article 28 du RGPD, qui fixe les garanties et limites de son intervention. Identifier correctement votre rôle dans chaque traitement est une étape préalable à toute mise en conformité : les mêmes données peuvent vous placer tantôt en responsable, tantôt en sous-traitant.

Ce que la conformité implique concrètement

Être concerné par le RGPD, c’est devoir respecter un socle d’obligations, proportionné au risque des traitements. Les principales :

1. Tenir un registre des activités de traitement recensant les traitements opérés (voir un exemple de registre RGPD rempli).
2. Justifier une base légale pour chaque traitement (consentement, contrat, obligation légale, intérêt légitime, etc.).
3. Informer les personnes au moment de la collecte (mentions d’information).
4. Respecter les droits : accès, rectification, effacement, opposition, portabilité.
5. Minimiser les données collectées et fixer des durées de conservation (voir le tableau des durées de conservation).
6. Sécuriser les données (mesures techniques et organisationnelles).
7. Encadrer les sous-traitants par contrat.
8. Gérer les violations de données : documentation et, le cas échéant, notification à la CNIL.
9. Désigner un DPO lorsque c’est requis (voir DPO obligatoire).
10. Conduire une AIPD pour les traitements à risque élevé.
11. Encadrer les transferts de données hors UE.

Toutes les organisations ne sont pas soumises à l’ensemble de ces obligations au même degré. Le RGPD raisonne par le risque : plus un traitement est susceptible d’affecter les droits des personnes, plus les exigences sont fortes.

L’allègement pour les petites structures : la portée réelle

L’article 30, paragraphe 5, du RGPD prévoit une dispense partielle de registre pour les organisations de moins de 250 salariés. Attention : cette dispense est très encadrée. Elle ne s’applique pas lorsque le traitement est susceptible de comporter un risque pour les droits des personnes, lorsqu’il n’est pas occasionnel, ou lorsqu’il porte sur des données sensibles ou des infractions. En pratique, la quasi-totalité des PME traitent des données de clients et de salariés de façon régulière : elles restent donc tenues de documenter ces traitements. La CNIL recommande d’ailleurs à toute organisation de tenir un registre, l’allègement étant plus théorique que réel.

Autrement dit : être une petite structure n’exonère pas du RGPD. Cela peut alléger certaines formalités documentaires marginales, mais le socle d’obligations demeure.

RGPD et loi Informatique et Libertés : deux textes, un même champ

En France, le RGPD ne s’applique pas seul. Il est complété par la loi Informatique et Libertés, qui décline en droit national les marges de manœuvre laissées par le règlement (formalités pour certains traitements sensibles, âge du consentement des mineurs, régime de la recherche, etc.). Pour une organisation, cela ne change pas la question « suis-je concerné ? » : dès qu’elle traite des données de personnes situées en France, les deux textes s’appliquent conjointement.

Il en résulte parfois des obligations spécifiques que le RGPD seul ne fait pas apparaître : autorisations ou formalités pour certains fichiers particuliers, encadrement du numéro de sécurité sociale, règles applicables aux données de santé. Une organisation qui manipule ce type de données ne peut donc pas se contenter d’une lecture du seul règlement : elle doit vérifier les exigences nationales, souvent plus précises. La CNIL est l’autorité de contrôle qui veille au respect de l’ensemble.

Les idées reçues sur le champ d’application

Plusieurs croyances conduisent des organisations à se penser à tort hors du RGPD. Les plus répandues :

« Mon activité est trop petite. » Faux : aucun seuil de taille ne conditionne l’application. Une TPE, un indépendant, une association d’un bénévole sont concernés au même titre qu’un grand groupe. Seule l’intensité des obligations varie avec le risque.

« Je ne vends pas de données, je ne suis donc pas concerné. » Faux : le RGPD s’applique à tout traitement, pas seulement au commerce de données. Détenir un fichier clients, une liste de salariés ou une newsletter suffit.

« Mes données sont hébergées par un prestataire, il est responsable à ma place. » Faux : l’hébergeur est un sous-traitant. L’organisation qui décide des finalités reste responsable de traitement et conserve ses obligations, notamment celle d’encadrer le prestataire par un contrat conforme à l’article 28.

« Je ne fais que du B2B, le RGPD ne s’applique pas. » Faux : les contacts professionnels sont des personnes physiques identifiables. Une adresse « prenom.nom@societe.fr » est une donnée personnelle. Le B2B bénéficie de règles adaptées en matière de prospection, mais reste dans le champ.

« Je suis une association à but non lucratif, je suis exonéré. » Faux : l’absence de but lucratif n’a aucune incidence. Le fichier des adhérents et des donateurs est un traitement de données personnelles soumis au RGPD.

Les conséquences d’un défaut de conformité

Être concerné et ne pas s’y conformer expose l’organisation à un risque réel. Les sanctions RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. En pratique, pour une PME ou une association, les amendes se comptent plus souvent en dizaines de milliers d’euros, mais elles s’accompagnent d’une mise en demeure publique, de mesures correctives contraignantes et d’une atteinte à la réputation.

Le déclencheur d’un contrôle est le plus souvent une plainte : un client qui n’obtient pas de réponse à sa demande d’accès, un salarié qui conteste une surveillance, un prospect démarché sans base légale. Chaque personne dont vous traitez les données peut saisir la CNIL. La conformité n’est donc pas seulement une obligation abstraite : c’est la réponse à un risque déclenché par les personnes elles-mêmes.

Automatiser sa mise en conformité

Une fois établi que l’on est concerné, la question devient : comment s’organiser sans y consacrer un temps disproportionné ? La documentation obligatoire (registre, base légale, durées de conservation, suivi des sous-traitants) est répétitive et se prête à l’outillage. Un logiciel de gestion de la conformité RGPD permet d’industrialiser la création du registre à partir de modèles de traitements préremplis, de suivre les demandes de droits et de piloter les sous-traitants, ce qui réduit fortement le temps interne et le risque d’oubli.

L’outil ne remplace pas le raisonnement juridique (choix de la base légale, gestion des cas sensibles, arbitrages), mais il fait disparaître la partie fastidieuse et chronophage. Pour cadrer votre exposition et vos priorités, un audit initial reste le meilleur point de départ.

FAQ

Une TPE ou un auto-entrepreneur est-il concerné par le RGPD ?

Oui, pleinement. Le RGPD ne fixe aucun seuil minimal de taille ou de chiffre d’affaires. Dès qu’un indépendant ou une TPE détient des données de clients, de prospects ou de salariés (facturation, e-mailing, fichier commercial), il est concerné et doit respecter le socle d’obligations. Seul le volume et le risque des traitements modulent l’intensité des exigences.

Une association est-elle soumise au RGPD ?

Oui. Une association qui gère un fichier d’adhérents, de donateurs ou de bénévoles traite des données personnelles et relève du RGPD, y compris si elle n’a aucun salarié. Les associations à caractère politique, syndical ou religieux doivent être particulièrement vigilantes, car elles manipulent des données sensibles. Voir notre guide RGPD association.

Le RGPD s’applique-t-il aux entreprises situées hors de l’Union européenne ?

Oui, lorsqu’elles offrent des biens ou services à des personnes situées dans l’UE ou suivent leur comportement en ligne. Un site marchand hors UE livrant en France, ou une plateforme traçant des internautes européens, relève du RGPD au titre de son article 3 et peut devoir désigner un représentant dans l’Union.

Qu’est-ce qui échappe totalement au RGPD ?

Le seul cas d’exclusion générale est le traitement strictement personnel et domestique effectué par un particulier (carnet d’adresses privé, photos de famille). Dès qu’une dimension professionnelle, commerciale ou associative apparaît, l’exception tombe. S’y ajoutent quelques régimes particuliers (sécurité nationale, activités hors du champ du droit de l’Union), sans pertinence pour la vie des entreprises et associations.

Le RGPD concerne-t-il les données papier ?

Oui, dès lors que les données figurent dans un fichier structuré. Un classeur de dossiers clients ou de fiches du personnel organisé de façon à retrouver l’information relève du RGPD au même titre qu’une base de données informatique. Seules les notes éparses, non structurées et non destinées à un fichier, échappent au texte.

Une entreprise qui ne fait « que » du B2B est-elle concernée ?

Oui. Même en relation entre entreprises, on traite des données de personnes physiques : contacts professionnels, interlocuteurs, dirigeants, salariés du client. Une adresse « prenom.nom@entreprise.fr » est une donnée personnelle. Le B2B n’échappe donc pas au RGPD ; il bénéficie seulement de règles adaptées en matière de prospection.