Qu’est-ce que le RGPD ?
Avant de s’attarder sur qui est concerné par le RGPD, il convient d’en dire davantage sur ce dernier afin que vous ayez toutes les clés en main.
Le RGPD (Règlement Général sur la Protection des Données) est un règlement de l’Union Européenne. Il encadre le traitement des données personnelles en fixant des conditions strictes à respecter. À cet égard, il assure d’une part, une meilleure protection des personnes concernées et d’autre part, plus de responsabilités aux acteurs du traitement des données.
Autrement dit, le RGPD impose certaines obligations aux organismes qui traitent de données personnelles. Concrètement, on peut citer par exemple :
- l’obligation de recueillir le consentement des visiteurs d’un site web en ce qui concerne les cookies informatiques ;
- l’obligation d’effacer les données personnelles d’un individu à la demande de ce dernier sous certaines conditions.
En outre, depuis l’entrée en vigueur du RGPD, des sanctions peuvent être prononcées en cas de non-respect de certaines obligations.
Mais qui est concerné par le RGPD concrètement ?
Quelles sont les conditions pour être soumis au RGPD ?
Il est important de savoir qui est soumis au RGPD puisque tous les organismes concernés ont des obligations à respecter.
Le RGPD peut concerner tout organisme (entreprise, association, collectivité, autorité publique, etc.), et ce, peu importe sa taille, le lieu de son implantation ou encore la nature de son activité. En effet, le RGPD est obligatoire pour qui que ce soit dès qu’il s’agit d’une structure traitant de données personnelles et qui est :
- établie sur le territoire de l’Union européenne ;
- OU qui exerce une activité qui cible directement des résidents de l’Union européenne.
Pour savoir qui est concrètement concerné par le RGPD, il faut donc comprendre ce que veulent dire les notions de “donnée personnelle” et de “traitement”.
À quoi correspond le “traitement de données personnelles” ?
La notion de “donnée personnelle" doit être entendue de manière large : il s’agit de toute information qui se rapporte à une personne humaine identifiée ou identifiable. On peut identifier une personne de manière :
- directe : comme son nom ou son prénom ;
- ou indirecte : numéro client, numéro de téléphone, éléments de son identité physique, génétique, économique, sociale, culturelle, sa voix, son image, etc.
Le “traitement” vise l’ensemble des opérations réalisées sur les données personnelles ( collecte, conservation, modification, consultation, utilisation, communication, diffusion, etc.)
Attention : pour être légal, un traitement de données doit poursuivre une finalité qui doit être déterminée en amont. Autrement dit, vous ne pouvez traiter des données que si vous avez un objectif précis. Il n’est donc pas possible de collecter des données personnelles si vous pensez qu’elles vous serviront peut-être à l’avenir, sans avoir de but précis.
Bon à savoir : bien que cela ne soit pas courant, le traitement de données personnelles concerne également des fichiers papiers et non seulement des données informatisées.
Autrement dit, peu importe que la structure soit privée ou publique, ou qu’elle traite des données personnelles pour son compte (le responsable de traitement) ou pour le compte d’un tiers (le sous-traitant). De même, RGPD et taille de l’entreprise n’ont pas de rapport entre eux : la taille de la structure n’a aucune incidence.
Qui sont les responsables et les sous-traitants ?
Le responsable de traitement est l’organisme qui est à l’origine du traitement des données et qui le réalise. Cela peut donc être une entreprise, une association, une collectivité, etc.
Le sous-traitant est celui qui va exécuter le traitement de données personnelles pour le compte du responsable. Il agit alors sur instruction et sous l’autorité de ce dernier. Concrètement, il s’agit d'un prestataire informatique ou d’une agence de marketing ou de communication qui exécute le traitement de données pour une entreprise, une association, une collectivité, etc.
Les associations sont-elles concernées par le RGPD ?
Oui, potentiellement. Comme pour les entreprises, peu importe la taille de la structure, la nature de son activité, qu’elle soit d’utilité publique ou non, les associations sont concernées par le RGPD si elles traitent des données personnelles.
Ainsi, les associations, même de très petites tailles, semblent inévitablement concernées par le RGPD puisqu’elles ont forcément un fichier listant les adhérents et leurs coordonnées. De même, si votre association collecte les adresses mail des membres pour la newsletter hebdomadaire, il s’agit également d’un traitement de données personnelles.
Par ailleurs, sachez que même pour collecter simplement le nom et le prénom d’une personne, le RGPD vous impose d’obtenir le consentement de cette dernière. Autrement dit, elle doit être informée de l’utilisation qui sera faite des informations personnelles qu’elle a fournies.
À noter : pour en savoir plus sur ce sujet, vous pouvez consulter notre fiche sur le RGPD et les associations.
