À qui et à quels traitements le RGPD s'applique-t-il ?

Le champ d'application matériel

L'article 2 du RGPD précise qu'il s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données contenues ou appelées à figurer dans un fichier. Autrement dit, le support importe peu : une base de données informatique, un tableur, une application mobile, mais aussi un classeur papier trié par ordre alphabétique ou un fichier de fiches cartonnées entrent dans le champ du règlement. Un simple tas de lettres non classées n'en relève pas, tant qu'il n'est pas organisé selon des critères permettant de retrouver une personne.

Les exclusions prévues par le texte

Le règlement ne s'applique pas à quatre catégories de traitements. Sont exclues les activités qui ne relèvent pas du champ du droit de l'Union, comme la sécurité nationale, ainsi que la politique étrangère et de sécurité commune. L'exception domestique couvre les traitements effectués par une personne physique dans le cadre d'une activité strictement personnelle ou domestique, sans lien avec une activité professionnelle ou commerciale. Enfin, les traitements des autorités compétentes en matière pénale (prévention, enquêtes, poursuites, exécution des peines) relèvent de la directive (UE) 2016/680, transposée en France dans la loi Informatique et Libertés.

Les limites de l'exception domestique

L'exception domestique s'interprète strictement. La Cour de justice a jugé qu'un particulier qui filme la voie publique depuis une caméra installée sur sa maison sort de la sphère purement personnelle pour la partie qui capte l'espace public (arrêt Ryneš du 11 décembre 2014, affaire C-212/13). De même, publier des données de tiers sur un site accessible à tous ou les diffuser à un nombre indéfini de personnes sur un réseau social dépasse le cadre domestique. Un particulier qui gère un gîte, une location saisonnière ou une activité de vente en ligne, même modeste, agit à titre professionnel pour ces traitements.

Le champ d'application territorial

L'article 3 repose sur deux critères alternatifs. Le premier est l'établissement : le RGPD s'applique aux traitements effectués dans le cadre des activités d'un établissement d'un responsable ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union. Une entreprise française qui héberge ses données aux États-Unis reste donc soumise au RGPD. Le second est le ciblage : le règlement s'applique aussi à un organisme non établi dans l'Union lorsqu'il traite des données de personnes qui se trouvent dans l'Union, soit pour leur offrir des biens ou des services, même gratuits, soit pour suivre leur comportement dans la mesure où ce comportement a lieu dans l'Union.

Comment savoir si une entreprise étrangère cible l'Europe ?

Le Comité européen de la protection des données a publié des lignes directrices (3/2018) sur ce point. Des indices permettent de caractériser l'intention de cibler des personnes dans l'Union : utilisation d'une langue ou d'une monnaie d'un État membre, possibilité de commander et de livrer en Europe, nom de domaine en .fr ou .eu, publicité ciblée vers un public européen, mention de clients européens. La simple accessibilité d'un site depuis l'Europe ne suffit pas. Le suivi du comportement vise notamment le profilage publicitaire, la géolocalisation, les cookies de mesure ou l'analyse comportementale en ligne.

Le représentant dans l'Union

Un organisme établi hors de l'Union mais soumis au RGPD par le critère du ciblage doit en principe désigner par écrit un représentant établi dans l'un des États membres où se trouvent les personnes concernées (article 27). Ce représentant sert d'interlocuteur aux autorités de contrôle et aux personnes. L'obligation ne s'applique pas aux traitements occasionnels qui ne portent pas à grande échelle sur des données sensibles et ne présentent pas de risque, ni aux autorités publiques.

Le guichet unique pour les organismes présents dans plusieurs pays

Lorsqu'un organisme possède des établissements dans plusieurs États membres ou que ses traitements affectent sensiblement des personnes dans plusieurs pays, le mécanisme du guichet unique désigne une autorité chef de file, celle de son établissement principal, qui coordonne le traitement des plaintes et des contrôles avec les autres autorités concernées. C'est la raison pour laquelle de nombreuses grandes plateformes ayant leur siège européen en Irlande relèvent de l'autorité irlandaise. Les traitements purement locaux restent du ressort de l'autorité nationale. Le règlement européen de procédure publié en décembre 2025 harmonisera ces échanges à partir du 2 avril 2027.

Et les données qui quittent l'Union ?

Être soumis au RGPD ne signifie pas que les données doivent rester en Europe, mais leur envoi vers un pays tiers est encadré par le chapitre V : décision d'adéquation de la Commission, clauses contractuelles types ou autres garanties. Ces règles concernent aussi bien l'utilisation d'un outil en ligne hébergé aux États-Unis que l'envoi d'un fichier à un prestataire au Maroc ou en Inde, et sont détaillées dans le guide des transferts de données hors de l'UE.

Qu'est-ce qu'un traitement ?

L'article 4 définit le traitement comme toute opération ou tout ensemble d'opérations appliquées à des données personnelles, qu'elles soient automatisées ou non : la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation, la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion, le rapprochement, l'interconnexion, la limitation, l'effacement ou la destruction. La liste est volontairement large. Le simple fait de consulter une fiche client à l'écran est un traitement, tout comme la conservation d'un fichier sur un disque dur ou l'envoi d'un courriel contenant le nom d'un collègue. La Cour de justice a confirmé que même la publication d'informations sur une page web constitue un traitement (arrêt Lindqvist, 2003), et qu'un moteur de recherche qui indexe des pages traite les données qu'elles contiennent (arrêt Google Spain, 2014).

Les fichiers papier sont concernés

Le RGPD s'applique aux traitements non automatisés lorsque les données sont contenues ou appelées à figurer dans un fichier, c'est-à-dire un ensemble structuré accessible selon des critères déterminés. Un classeur de fiches de candidats rangées par ordre alphabétique, un registre d'émargement ou des dossiers du personnel classés par service en relèvent. Seules les notes éparses sans structure échappent au règlement. La Cour de justice a jugé, dans l'arrêt Jehovan todistajat de 2018, que les notes prises par des prédicateurs lors de porte-à-porte et organisées pour être retrouvées constituaient un fichier.

Les personnes protégées

Le règlement protège les personnes physiques, quelle que soit leur nationalité ou leur lieu de résidence, dès lors que le traitement entre dans son champ. Un touriste américain filmé par la vidéosurveillance d'un hôtel parisien est protégé, de même qu'un client brésilien d'une boutique en ligne française. Les personnes morales ne sont pas protégées en tant que telles : les informations sur une société, comme son chiffre d'affaires ou son adresse, n'entrent pas dans le champ, sauf lorsqu'elles permettent d'identifier une personne physique, par exemple pour une entreprise individuelle dont la dénomination est le nom de l'exploitant. Les personnes décédées sont exclues par le considérant 27, la France ayant prévu des règles spécifiques à l'article 85 de la loi Informatique et Libertés.

Les organismes concernés, sans seuil de taille

Le RGPD ne prévoit aucun seuil de chiffre d'affaires ou d'effectif pour s'appliquer. Une auto-entreprise, un artisan, une association de quartier, une collectivité de cinquante habitants ou un cabinet libéral y sont soumis comme une multinationale. Le texte tient compte de la taille des structures de deux façons seulement. D'une part, l'obligation de tenir un registre ne s'impose pas, en principe, aux organismes de moins de 250 salariés, sauf si le traitement n'est pas occasionnel, comporte un risque ou porte sur des données sensibles ou pénales, ce qui couvre en réalité la gestion de la paie ou des clients, si bien que presque toutes les structures doivent en tenir un. D'autre part, les exigences s'apprécient selon le risque : une petite structure qui traite peu de données aura des mesures plus simples. Le projet européen dit « Omnibus IV », qui a fait l'objet d'un accord provisoire en juin 2026, prévoit de relever ce seuil d'exemption de registre, mais il n'était pas adopté à la date de mise à jour de ce guide.

Le champ territorial en pratique

L'article 3 combine deux critères. Le critère d'établissement soumet au RGPD tout traitement effectué dans le cadre des activités d'un établissement d'un responsable ou d'un sous-traitant dans l'Union, que le traitement ait lieu ou non dans l'Union. Une entreprise française qui héberge ses données aux États-Unis reste donc soumise au RGPD. Le critère de ciblage soumet au règlement les organismes établis hors de l'Union qui offrent des biens ou des services à des personnes se trouvant dans l'Union ou qui suivent leur comportement dans l'Union. Les lignes directrices 3/2018 du CEPD donnent des indices de ciblage : usage d'une langue ou d'une monnaie européenne, livraison dans des États membres, nom de domaine européen, mention de clients européens, campagnes publicitaires dirigées vers un pays de l'Union. Le simple fait qu'un site soit accessible depuis l'Europe ne suffit pas.

Le suivi du comportement

Le suivi du comportement couvre notamment le pistage en ligne à des fins publicitaires, le profilage, la géolocalisation, la surveillance de la santé par des objets connectés ou la vidéosurveillance. Une application américaine qui collecte la géolocalisation d'utilisateurs se trouvant en France pour leur proposer des contenus personnalisés entre dans le champ du RGPD, même sans aucune activité commerciale dans l'Union.

Les sous-traitants hors de l'Union

Un prestataire établi hors de l'Union qui travaille pour un responsable européen n'est pas automatiquement soumis au RGPD au titre de l'article 3 ; il l'est contractuellement, par le contrat de sous-traitance prévu à l'article 28 et, le plus souvent, par les clauses contractuelles types de transfert. Le responsable européen reste pleinement soumis au règlement et doit s'assurer que son prestataire présente des garanties suffisantes. En revanche, un sous-traitant établi dans l'Union est soumis au RGPD pour ses propres obligations, même si son client est établi hors de l'Union.

Les cas particuliers à connaître

Plusieurs situations méritent attention. Les traitements des juridictions dans l'exercice de leur fonction juridictionnelle restent soumis au RGPD, mais échappent au contrôle de la CNIL, afin de préserver l'indépendance de la justice. Les traitements à des fins journalistiques, académiques, artistiques ou littéraires bénéficient de dérogations prévues par l'article 85 et par l'article 80 de la loi Informatique et Libertés, pour concilier protection des données et liberté d'expression. Les traitements à des fins archivistiques, de recherche scientifique ou historique ou statistiques bénéficient de dérogations encadrées par l'article 89. Enfin, les élus locaux, les partis politiques et les cultes sont soumis au règlement, avec des exceptions spécifiques pour les données sensibles de leurs membres.

Les traitements par les particuliers

L'exception domestique de l'article 2, paragraphe 2, c), exclut les traitements effectués par une personne physique dans le cadre d'une activité strictement personnelle ou domestique : correspondance privée, carnet d'adresses personnel, photos de famille, usage privé des réseaux sociaux. Le considérant 18 précise que cette exception ne profite pas aux responsables qui fournissent les moyens de traiter ces données, comme les réseaux sociaux ou les fournisseurs de messagerie, qui restent soumis au règlement. L'exception disparaît dès que l'activité perd son caractère strictement privé. La Cour de justice l'a jugé dans l'arrêt Ryneš de 2014 pour une caméra filmant en partie la voie publique devant un domicile, et dans l'arrêt Buivids de 2019 pour une vidéo filmée dans un commissariat et publiée sur internet. Un particulier qui publie sur un compte public des photos de voisins ou de collègues sort aussi de l'exception.

Le statut des activités professionnelles indépendantes

Un indépendant, un micro-entrepreneur ou un professionnel libéral qui traite des données dans le cadre de son activité ne bénéficie jamais de l'exception domestique, même s'il travaille à domicile avec son ordinateur personnel. Le fichier des clients d'un artisan, l'agenda d'un coach, la liste d'élèves d'un professeur particulier ou les coordonnées des patients d'un kinésithérapeute relèvent du RGPD. La personne physique est alors elle-même responsable de traitement et doit appliquer le règlement de manière proportionnée : information des clients, sécurité de l'ordinateur et du téléphone, durées de conservation, contrats avec les prestataires comme l'outil de prise de rendez-vous ou le logiciel de facturation.

Vérifier le champ d'application en trois questions

Pour savoir si un traitement relève du RGPD, il suffit généralement de répondre à trois questions successives. La première est matérielle : s'agit-il d'un traitement de données personnelles, automatisé ou figurant dans un fichier structuré, hors des exclusions de l'article 2 ? La deuxième est territoriale : le responsable ou le sous-traitant dispose-t-il d'un établissement dans l'Union, ou cible-t-il des personnes qui s'y trouvent ? La troisième porte sur le régime : le traitement relève-t-il du droit commun, de la directive police-justice ou d'un régime aménagé comme le journalisme ou la recherche ? Ces trois réponses déterminent le texte applicable et l'autorité compétente.

Les traitements hors du droit de l'Union

L'article 2, paragraphe 2, exclut aussi les traitements effectués dans le cadre d'activités qui ne relèvent pas du champ d'application du droit de l'Union, comme la sécurité nationale, et les traitements des États membres dans le cadre de la politique étrangère et de sécurité commune. Ces traitements restent soumis, en France, aux dispositions du titre IV de la loi Informatique et Libertés et au contrôle de la CNIL ou de la Commission nationale de contrôle des techniques de renseignement, selon les cas. La Cour de justice interprète cependant cette exclusion de façon stricte : dans l'arrêt Latvijas Republikas Saeima du 22 juin 2021, elle a jugé que la publication des points de pénalité routière relevait bien du RGPD et non de la sécurité nationale, et que cette publication n'était pas justifiée.

Les données anonymes et pseudonymes

Le considérant 26 exclut du champ les informations anonymes, qui ne concernent pas une personne identifiée ou identifiable, ainsi que les données rendues anonymes de telle manière que la personne n'est plus identifiable. En revanche, les données pseudonymisées, pour lesquelles l'identification reste possible à l'aide d'informations supplémentaires, restent des données personnelles. La Cour de justice a apporté une nuance dans l'arrêt CRU du 4 septembre 2025 (C-413/23 P) : des données pseudonymisées transmises à un destinataire qui ne dispose d'aucun moyen raisonnable de réidentifier les personnes peuvent ne pas être personnelles pour lui, tout en le restant pour l'émetteur.

Le RGPD dans l'Espace économique européen

Le règlement s'applique dans les vingt-sept États membres et, depuis son intégration à l'accord sur l'Espace économique européen en juillet 2018, en Islande, au Liechtenstein et en Norvège. Les transferts de données vers ces trois pays ne sont donc pas des transferts hors de l'Union au sens du chapitre V. La Suisse et le Royaume-Uni disposent de leurs propres législations, reconnues comme adéquates par la Commission européenne, ce qui facilite les échanges sans les assimiler à des États membres. Une entreprise suisse qui cible des clients français reste d'ailleurs soumise au RGPD par le critère de ciblage.