Qui est concerné par le RGPD ? Les critères réels

Une TPE peut relever du RGPD dès qu’elle gère ses clients ou ses salariés. Mais la formule « toute organisation qui possède une donnée est concernée » ne décrit pas complètement le droit. Il faut vérifier le type de traitement, son rattachement territorial et les éventuelles exclusions.

Ce qu’il faut retenir

Le RGPD ne prévoit pas d’exemption générale pour les petites entreprises ou les associations. Les données professionnelles d’une personne physique restent personnelles. Le papier peut entrer dans son champ. Pour une organisation hors UE, la seule accessibilité d’un site depuis la France ne suffit pas à établir un ciblage du public européen.

Premier critère : un traitement de données personnelles

Un nom, un identifiant client ou des informations permettant de retrouver une personne peuvent constituer des données personnelles. Les données relatives à une société ne sont pas toutes personnelles, mais celles de son interlocuteur identifié le sont généralement.

L’Art. 2(1) vise les traitements automatisés, même partiellement, ainsi que les traitements manuels de données contenues ou destinées à figurer dans un fichier. Un classeur organisé par client entre donc dans l’analyse. Une note papier véritablement isolée, non structurée et non destinée à un fichier ne se traite pas comme une base informatisée. Les définitions et critères figurent dans le chapitre I du RGPD.

Un identifiant codé ou des initiales ne prouvent pas l’anonymat. Si une table de correspondance ou le contexte permet de retrouver la personne, le RGPD peut continuer à s’appliquer.

Deuxième critère : le rattachement territorial

L’Art. 3(1) concerne les traitements effectués dans le cadre des activités d’un établissement dans l’Union. Le lieu du serveur n’est pas décisif : un traitement peut relever du texte même si les données sont hébergées ailleurs.

Pour un organisme sans établissement dans l’Union, l’Art. 3(2) vise notamment une offre de biens ou de services à des personnes qui s’y trouvent, ou le suivi de leur comportement dans l’Union. La nationalité n’est pas le critère : il ne s’agit pas d’une protection réservée aux citoyens européens.

Les lignes directrices 3/2018 du CEPD précisent que l’accessibilité d’un site ou l’emploi d’une langue largement utilisée ne suffisent pas seuls à caractériser une offre dirigée vers l’Union. Examinez un ensemble d’indices : pays desservis, campagnes ciblées, conditions de commande et public recherché. Une simple visite occasionnelle depuis la France ne démontre pas automatiquement ce ciblage.

Le représentant prévu à l’Art. 27 peut être requis pour les organismes relevant de l’Art. 3(2), avec les exceptions prévues par le texte. Ce représentant n’est pas le DPO.

Les exclusions ne se limitent pas à la vie privée

L’Art. 2(2)(c) écarte l’activité strictement personnelle ou domestique d’une personne physique. Un carnet privé ou un échange familial peuvent en relever. Une publication accessible à un public indéterminé, une caméra filmant l’espace public ou une activité commerciale appellent une autre analyse ; l’étiquette « compte personnel » ne suffit pas.

Le texte prévoit aussi des exclusions ou régimes distincts, notamment pour certaines activités hors du droit de l’Union et pour les traitements des autorités compétentes à des fins pénales. Cela ne signifie pas absence de protection des données : d’autres textes peuvent s’appliquer. Les institutions et organes de l’Union relèvent également d’un cadre spécifique.

En France, la loi Informatique et Libertés complète le RGPD et régit aussi certains traitements selon d’autres dispositions. Il ne faut donc pas présenter les deux textes comme ayant exactement le même champ, ni conclure qu’ils s’appliquent tous deux au seul motif qu’une personne réside en France.

Moins de 250 salariés : une exception limitée au registre

L’Art. 30(5) prévoit une dérogation au registre sous certaines conditions pour les organismes de moins de 250 salariés. Elle ne s’applique notamment pas aux traitements non occasionnels, risqués ou portant sur les catégories de données visées par ce texte. La gestion régulière des clients ou de la paie reste ainsi à documenter.

Cette disposition n’exonère pas de la base légale, de l’information, de la sécurité ou des droits. Pour la mise en pratique, utilisez le registre des activités de traitement et vérifiez le chapitre IV du RGPD.

Personnes morales, défunts : qui est protégé ?

Le RGPD protège des personnes physiques. Le considérant 14 précise qu’il ne couvre pas le traitement de données relatives aux personnes morales, notamment le nom, la forme juridique et les coordonnées d’une entreprise. Mais l’adresse électronique « prenom.nom@societe.fr » ou le numéro direct d’un dirigeant identifient une personne : ils restent des données personnelles.

Le considérant 27 indique que le règlement ne s’applique pas aux données des personnes décédées et laisse aux États membres la possibilité de prévoir des règles. La loi Informatique et Libertés en contient, notamment des directives sur le sort des données après le décès (voir données des personnes décédées). Une base clients où figurent d’anciens clients décédés n’est donc pas à écarter sans analyse : les données des vivants (héritiers, ayants droit) restent concernées.

Ce que la jurisprudence de la CJUE a précisé

Plusieurs arrêts éclairent les limites du champ d’application. Vérifiez leur texte avant de les invoquer, car ils portent en partie sur la directive 95/46/CE, dont le RGPD a repris les notions :

Ces décisions illustrent une méthode : le juge regarde la réalité du traitement (public visé, finalité, moyens) plutôt que le statut déclaré du responsable.

Trois situations pour tester votre cas (exemples hypothétiques)

Les situations suivantes sont fictives et destinées à illustrer le raisonnement ; elles ne décrivent pas un dossier réel.

Une quatrième hypothèse mérite attention : un organisme hors UE qui n’offre rien à des personnes dans l’Union mais suit leur comportement (analyse de navigation, profilage publicitaire) relève de l’Art. 3(2)(b), dans la mesure où ce comportement a lieu dans l’Union.

Le représentant dans l’Union (Art. 27) : quand et comment

Un organisme relevant de l’Art. 3(2) désigne en principe par écrit un représentant dans l’Union. L’Art. 27(2) prévoit deux exceptions : le traitement occasionnel, qui ne comprend pas de traitement à grande échelle de catégories particulières de données ou de données pénales et qui est peu susceptible d’engendrer un risque, et les autorités ou organismes publics. Le représentant sert de point de contact pour les autorités et les personnes ; il ne remplace ni le responsable de traitement ni le DPO. Les lignes directrices 3/2018 détaillent aussi le cas de l’Art. 3(3), qui vise les lieux où le droit d’un État membre s’applique en vertu du droit international public, comme une représentation diplomatique.

Que risque une organisation qui se croit hors champ ?

Se tromper sur son statut expose à l’ensemble du régime de sanctions. L’Art. 83(5) prévoit pour les manquements aux principes de base (Art. 5, 6, 7 et 9), aux droits des personnes (Art. 12 à 22) et aux transferts (Art. 44 à 49) des amendes pouvant atteindre 20 000 000 € ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. L’Art. 83(4) vise un plafond de 10 000 000 € ou 2 % pour d’autres obligations, dont celles des responsables et sous-traitants. Les sanctions réellement prononcées dépendent de critères listés à l’Art. 83(2) (gravité, durée, coopération, mesures prises). Pour un panorama, consultez notre page sur les sanctions du RGPD.

Définir les obligations qui correspondent à votre rôle

L’organisation qui décide des finalités et des moyens essentiels est responsable de traitement. Celle qui traite pour son compte peut être sous-traitante. Les deux rôles comportent des obligations, mais différentes : un prestataire n’est pas dispensé du RGPD simplement parce que les données appartiennent commercialement à son client.

Commencez par trois opérations concrètes de votre activité : gérer une commande, payer un salarié, répondre à une demande. Pour chacune, notez les personnes, les données, l’objectif, les logiciels et les destinataires. Cette fiche facilite la qualification des rôles, puis le choix des actions nécessaires.

Le DPO et l’AIPD ne sont pas automatiquement obligatoires pour toute organisation. Leurs critères s’examinent séparément. Une association comme une entreprise doit adapter sa démarche aux traitements réels, sans attendre d’atteindre un seuil de chiffre d’affaires.

FAQ

Le RGPD s’applique-t-il sans salarié ?

Oui, si les traitements entrent dans son champ. Un indépendant ou une association bénévole peut traiter des données clients, adhérents ou fournisseurs.

Un site étranger accessible en français est-il toujours concerné ?

Non. La langue peut être un indice, mais ne suffit pas à elle seule. Il faut analyser l’établissement, le ciblage de personnes dans l’Union ou le suivi de leur comportement.

Le B2B permet-il d’ignorer le RGPD ?

Non. Les données d’un interlocuteur professionnel identifiable sont personnelles. Les règles particulières de prospection B2B ne suppriment pas le reste des obligations.

Une organisation sans clients en France est-elle concernée ?

Cela dépend de son établissement et de ses traitements. Une entité établie dans l’Union est visée par l’Art. 3(1) même si elle n’a aucun client français. Une entité hors UE doit examiner l’Art. 3(2) : offre à des personnes situées dans l’Union ou suivi de leur comportement.

Les données de mes salariés sont-elles couvertes ?

Oui. Employeur et salariés sont dans une relation où l’employeur traite des données personnelles (paie, dossier, accès aux outils). Les règles RH s’ajoutent aux principes généraux du RGPD.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.