Qui est concerné par le RGPD ? Guide pratique

De nombreux dirigeants se demandent encore qui est concerné par le RGPD et si leur organisation doit réellement se mettre en conformité. Contrairement aux idées reçues, le RGPD ne s’applique pas uniquement aux grandes entreprises ou aux acteurs du numérique. Ainsi, la question « qui est concerné par le RGPD » devient essentielle lorsqu’une organisation recueille ou utilise des données à caractère personnel.

1. Qu’est-ce que le RGPD ?

Avant de déterminer qui est concerné par le RGPD, il est important de comprendre ce que recouvre ce règlement.

Le RGPD, ou Règlement Général sur la Protection des Données, est une réglementation européenne qui encadre l’utilisation des données personnelles des citoyens de l’Union européenne.

Concrètement, il définit la manière dont les organisations collectent, utilisent, stockent et protègent ces données. Son objectif est double de protéger la vie privée des personnes tout en incitant les entreprises et organisations à adopter des pratiques plus responsables.

2. Qui est concerné par le RGPD ?

2.1. Quelles sont les données concernées par le RGPD ?

Pour savoir qui est concerné par le RGPD, il faut d’abord comprendre quelles données sont protégées.

Le RGPD s’applique à toutes les informations permettant d’identifier directement ou indirectement une personne, notamment :

• le nom et prénom,
• l’adresse e-mail ou le numéro de téléphone,
• l’adresse postale,
• les identifiants en ligne comme l’adresse IP,
• les données RH, comme le salaire ,
• les données sensibles sur la santé par exemple.

Autrement dit, toute donnée qui pourrait permettre d’identifier une personne est concernée par le RGPD. Même des informations qui semblent anodines, comme un identifiant client ou une adresse IP, peuvent entrer dans ce périmètre.

2.2. Les organisations concernées par le RGPD

Toutes les structures qui manipulent des données personnelles doivent se conformer au RGPD. Mais qui est concerné par le RGPD exactement ? On retrouve plusieurs types d’organisations :

• Les entreprises : grandes ou petites, y compris les micro-entrepreneurs et travailleurs indépendants. Dès qu’elles collectent ou utilisent des données clients, salariés ou partenaires, elles sont concernées.
• Les associations et organismes publics : comme les fondations, ONG, administrations, tribunaux ou collectivités. Ils doivent respecter le RGPD lorsqu’ils traitent les données personnelles de leurs membres, donateurs, bénéficiaires ou agents. Le statut non lucratif ou public n’exempte pas de conformité. Les autorités publiques, y compris les services gouvernementaux, les forces de l’ordre et les tribunaux, sont également soumises aux mêmes règles lorsqu’elles collectent, stockent ou utilisent des données personnelles.
• Les sous-traitants : c’est-à-dire les prestataires qui traitent des données pour le compte d’une autre organisation. Le RGPD s’applique à la fois aux responsables de traitement, qui décident de l’usage des données, et aux sous-traitants, qui doivent suivre strictement leurs instructions. Les responsables de traitement restent responsables de la conformité globale, mais les sous-traitants ont aussi des obligations directes, notamment en matière de sécurité et de respect des règles établies.

En résumé, qui est concerné par le RGPD inclut toutes les organisations qui manipulent des données personnelles, qu’il s’agisse d’entreprises, de micro-entrepreneurs, d’associations, d’organismes publics ou de prestataires.

2.3. Une organisation hors de l’UE est-elle concernée par le RGPD ?

Même si votre entreprise est basée en dehors de l’Union européenne, elle peut être concernée par le RGPD si elle collecte ou utilise des données personnelles de personnes résidant dans l’UE. Cela concerne par exemple les entreprises qui vendent des biens ou des services aux consommateurs européens, ou qui suivent leur comportement en ligne.

3. Comment se mettre en conformité au RGPD ?

3.1. Les sanctions en cas de non-conformité

Votre entreprise peut être lourdement impactée si elle ne respecte pas le RGPD. Les sanctions vont de simples avertissements à des amendes très importantes, pouvant atteindre jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon la gravité de l’infraction.

Par exemple, en 2019, Google a reçu de la CNIL une sanction de 50 millions d’euros pour un manque de transparence et de consentement concernant le suivi publicitaire des utilisateurs.

Comprendre qui est concerné par le RGPD est essentiel car les risques ne sont pas seulement financiers. Une violation du RGPD peut aussi entacher la réputation de votre entreprise, déclencher des audits, des actions judiciaires et réduire la confiance de vos clients et partenaires. Comprendre qui est concerné par le RGPD est essentiel pour votre entreprise.

3.2. Les moyens de mise en conformité

Se conformer au RGPD passe par les étapes suivantes :

A. Recenser tous vos traitements de données
Identifiez avec toutes les situations où votre entreprise collecte ou utilise des données personnelles. Cela inclut les fiches clients, les fichiers salariés, les formulaires en ligne, les outils d’analyse …

B. Triez vos données
Assurez‑vous que vous ne conservez que les données nécessaires à vos activités. Le RGPD impose que chaque donnée soit pertinente et utile ; toute collecte excessive doit être réduite ou supprimée.

C. Organiser le respect des droits des personnes
Les personnes dont vous traitez les données ont des droits : accès, rectification, opposition, suppression, etc. Mettre en place des procédures simples pour répondre à ces demandes est une obligation légale. Vous devez aussi informer clairement les personnes sur pourquoi et comment leurs données sont utilisées.

D. Sécuriser vos données
La protection des données passe par des mesures adaptées à leur sensibilité : mots de passe robustes, contrôles d’accès, sauvegardes régulières, mises à jour de vos systèmes et sensibilisation des équipes.

E. Nommer un Délégué à la Protection des Données (DPO) : Le DPO joue un rôle de pivot dans la conformité RGPD : il conseille la direction, pilote la mise en conformité, veille aux bonnes pratiques, répond aux demandes des personnes concernées et peut être l’interlocuteur privilégié en cas de contrôle

Pour faciliter ces étapes, certaines organisations vous accompagnent. Par exemple, Dipeeo propose un accompagnement complet, un DPO externalisé déclaré auprès de la CNIL, des juristes spécialisés disponibles pour répondre à vos questions sans limites et une plateforme centralisée qui facilite la gestion des traitements, des registres, des consentements et de toute la documentation requise.

Conclusion

À ce stade, vous avez une vision plus claire de qui est concerné par le RGPD.

Pour aller plus loin vous pouvez consulter cette vidéo :