RGPD obligatoire : qui est concerné et dans quels cas ?

Le RGPD est obligatoire pour toute structure, privée ou publique, qui traite des données personnelles de résidents européens : entreprise, association, collectivité ou indépendant. Aucun seuil de taille ne l’écarte. Seules quelques situations y échappent, comme l’usage strictement domestique. Le niveau d’exigence, lui, varie selon la nature des traitements.

Un règlement qui s’impose à presque toutes les structures

Entré en application le 25 mai 2018, le règlement général sur la protection des données définit son champ dans ses articles 2 et 3. Son objectif : rendre aux personnes le contrôle de leurs informations. La logique est simple. Ce n’est pas le statut juridique qui déclenche l’obligation, mais le fait de traiter des données personnelles, c’est-à-dire toute information se rapportant à une personne physique identifiable. Un fichier client, une feuille de paie, un formulaire de contact ou une adresse e-mail nominative suffisent.

Les organismes établis dans l’Union européenne

Toute structure disposant d’un établissement dans l’UE applique le règlement dès son premier traitement, même si les données sont hébergées ailleurs. L’article 3 ne prévoit ni seuil de chiffre d’affaires, ni seuil d’effectif. La boulangerie qui gère un fichier de commandes est soumise au même texte que la plateforme aux millions d’utilisateurs. Seule l’intensité des obligations varie.

Les acteurs hors UE qui visent le marché européen

Le règlement suit les personnes, pas les frontières. Une société américaine ou asiatique sans bureau européen doit s’y conformer dès qu’elle propose des biens ou services à des résidents européens, ou qu’elle suit leur comportement : un site e-commerce livrant en France, une application qui géolocalise des utilisateurs parisiens. Cette portée extraterritoriale, prévue à l’article 3, a déjà fondé des sanctions contre des acteurs étrangers. Elle impose aussi la désignation d’un représentant établi dans l’Union.

Associations, indépendants et collectivités : concernés aussi

Le périmètre dépasse largement les entreprises commerciales. Sont notamment soumis au règlement :

• une association loi 1901 avec son fichier d’adhérents ou de donateurs ;
• un auto-entrepreneur qui conserve les coordonnées de ses clients ;
• une mairie, une école, un hôpital et leurs fichiers d’administrés ou de patients ;
• un syndic de copropriété et ses listes de résidents ;
• un sous-traitant qui héberge ou manipule des données pour le compte d’un tiers.

Le sous-traitant mérite une mention : depuis 2018, il porte des obligations propres (sécurité, registre, assistance au responsable de traitement) et engage sa responsabilité directe en cas de manquement.

Quand le RGPD n’est pas obligatoire : les exceptions de l’article 2

L’article 2 du règlement écarte quelques situations précises. Hors de ces exceptions, le texte s’applique :

• l’usage strictement personnel ou domestique : carnet d’adresses privé, correspondance familiale, liste d’invités d’un mariage ;
• les données anonymisées de façon irréversible : dès lors que plus personne n’est identifiable, le règlement ne joue plus, alors que la pseudonymisation, réversible, reste dans le champ ;
• les informations portant exclusivement sur des personnes morales : la fiche d’une SARL sans nom de contact n’est pas une donnée personnelle, l’adresse e-mail nominative de son gérant, si ;
• les traitements liés à la sécurité nationale ou à la justice pénale, couverts par d’autres textes comme la directive Police-Justice.

Attention au faux ami : une entreprise « qui ne fait pas de numérique » reste concernée. Le règlement couvre aussi les fichiers papier structurés. Un classeur de fiches clients rangé par ordre alphabétique entre dans la définition d’un traitement.

Le socle obligatoire pour tous, dès le premier fichier

Certaines obligations s’imposent à toutes les structures, sans dérogation de taille. Ce socle, détaillé dans notre guide des obligations RGPD des entreprises, repose sur cinq exigences :

• justifier chaque collecte par une base légale de l’article 6 : consentement, contrat, obligation légale ou intérêt légitime ;
• informer les personnes au moment de la collecte : finalité, durée de conservation, droits, destinataires ;
• garantir l’exercice des droits (accès, rectification, effacement, portabilité, opposition) avec une réponse sous un mois ;
• sécuriser les données de manière proportionnée aux risques, comme l’exige l’article 32 ;
• notifier toute violation à la CNIL sous 72 heures, conformément à l’article 33.

Aucun de ces points ne dépend de l’effectif. La CNIL l’a montré dans les faits : sa procédure de sanction simplifiée, créée en 2022, vise précisément les manquements courants des structures modestes.

Un mot sur le consentement, souvent confondu avec une obligation universelle. Le règlement ne l’exige que lorsqu’aucune autre base légale ne convient : prospection électronique vers des particuliers, cookies publicitaires, collecte de données sensibles hors exceptions. Pour être valable, il doit être libre, spécifique, éclairé et univoque, donné par un acte positif clair. Une case pré-cochée ne vaut rien juridiquement, la Cour de justice de l’Union européenne l’a jugé dès 2019. À l’inverse, la gestion d’un contrat ou le respect d’une obligation comptable se passent de tout consentement.

Registre des traitements : obligatoire, sauf dérogation étroite

L’article 30 impose de documenter chaque traitement dans un registre des traitements : finalité, catégories de données, destinataires, durées de conservation, mesures de sécurité.

Le paragraphe 5 du même article prévoit une dérogation pour les organismes de moins de 250 salariés. Sauf que ses trois exceptions la vident presque de sa substance. Le registre reste dû dès que le traitement :

• n’est pas occasionnel, ce qui couvre la paie, la gestion des clients ou des fournisseurs ;
• comporte un risque pour les droits et libertés des personnes, comme la vidéosurveillance ;
• porte sur des données sensibles ou relatives à des condamnations.

Concrètement, la quasi-totalité des structures gère au moins un traitement récurrent. La CNIL recommande d’ailleurs de tenir un registre complet même sous le seuil : le document sert de preuve de conformité en cas de contrôle, et son modèle simplifié se remplit en quelques heures. Notre guide pour respecter le RGPD étape par étape détaille la marche à suivre.

DPO : une désignation imposée dans trois cas seulement

Le délégué à la protection des données n’est pas exigé partout. L’article 37 réserve la désignation obligatoire à trois situations :

1. les autorités et organismes publics, juridictions exceptées ;
2. les organismes dont l’activité de base exige un suivi régulier et systématique de personnes à grande échelle : plateformes, réseaux sociaux, opérateurs télécoms ;
3. les organismes traitant à grande échelle des données sensibles (santé, biométrie, opinions) ou relatives à des condamnations pénales.

Hors de ces cas, la désignation reste facultative mais recommandée. Beaucoup de PME mutualisent la fonction via un DPO externalisé, une option détaillée dans notre article sur la protection des données personnelles en entreprise. Point de vigilance : désigner un délégué sans lui donner les moyens d’agir (formation, indépendance, accès à la direction) expose autant qu’une absence de désignation, car la CNIL contrôle la réalité de la fonction, pas la ligne sur l’organigramme.

Analyse d’impact : le verrou des traitements à risque élevé

L’AIPD, ou analyse d’impact, complète le dispositif. L’article 35 la rend obligatoire avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés. Trois familles sont expressément visées par le texte :

• l’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, profilage inclus, produisant des effets juridiques ;
• le traitement à grande échelle de données sensibles ou judiciaires ;
• la surveillance systématique à grande échelle d’une zone accessible au public.

La CNIL publie en complément une liste de types de traitements exigeant une AIPD dans tous les cas, dont les données de santé gérées par les établissements et la géolocalisation à grande échelle. Son logiciel PIA, gratuit, structure la démarche en quatre volets : contexte, principes fondamentaux, risques, validation. Une analyse bâclée ou absente sur un traitement à risque constitue un manquement autonome, sanctionnable indépendamment de tout incident.

Ignorer le règlement coûte plus cher que s’y conformer

L’article 83 fixe deux plafonds d’amende : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les manquements aux obligations internes, 20 millions d’euros ou 4 % pour les violations des principes fondamentaux et des droits des personnes. Le montant le plus élevé est retenu.

La pratique suit la théorie. D’après le bilan des sanctions publié par la CNIL, l’autorité a prononcé 83 sanctions en 2025 pour un total de 486,8 millions d’euros, un record, après 323 contrôles menés dans l’année. Son rapport annuel 2025 recense aussi 6 167 notifications de violations de données, en hausse de 9,5 % sur un an ; le piratage représente un incident déclaré sur deux.

La procédure simplifiée cible les dossiers courants : cookies, vidéosurveillance de salariés, défaut de sécurité. Les petites structures ne passent plus sous le radar. Le cadre national ajoute ses propres exigences, héritées de la loi Informatique et Libertés, que la CNIL applique conjointement au règlement européen.

À l’amende s’ajoutent des coûts indirects : injonctions sous astreinte journalière, publicité de la décision, perte de clients B2B qui exigent désormais des garanties contractuelles de conformité RGPD chez leurs prestataires. Un défaut de conformité se paie donc deux fois, devant l’autorité puis sur le marché.

Par où commencer quand tout semble obligatoire

La mise en conformité se séquence en quatre chantiers, dans l’ordre :

1. Cartographier : lister chaque traitement existant, du fichier paie au pixel de tracking, puis bâtir le registre.
2. Prioriser : traiter d’abord les écarts les plus risqués, données sensibles sans base légale, absence d’information des personnes, durées de conservation illimitées.
3. Formaliser : mentions d’information, procédure d’exercice des droits, contrats de sous-traitance conformes à l’article 28, plan de réponse aux violations.
4. Entretenir : la conformité est continue, chaque nouveau traitement passe par le registre et, si besoin, par une analyse d’impact.

Des outils dédiés réduisent la charge récurrente : notre guide sur l’automatisation de la conformité RGPD compare les approches. Prochaine étape : bloquer une demi-journée pour recenser vos traitements et remplir le modèle de registre proposé par la CNIL. Ce seul document répond à la question qui ouvre chaque contrôle.