Mon entreprise est-elle vraiment concernée par le RGPD ? Cette question, des milliers de dirigeants se la posent chaque jour — souvent trop tard, après un contrôle ou une plainte.
La réponse est sans ambiguïté : dès lors que votre organisation collecte la moindre donnée personnelle, elle est soumise au RGPD, quelle que soit sa taille ou son secteur d'activité.
CONNECT AVOCATS, cabinet intervenant sur toute la France dans le domaine du droit du numérique et de la conformité des entreprises, accompagne quotidiennement des structures confrontées à cette réalité. Voici les clés pour déterminer précisément votre situation et mesurer vos obligations.
Ce qu'il faut retenir :
Le RGPD — Règlement (UE) 2016/679 — est applicable depuis le 25 mai 2018. Il poursuit trois objectifs fondamentaux : harmoniser la législation européenne en matière de protection des données personnelles, renforcer les droits des personnes physiques sur leurs informations personnelles, et responsabiliser les acteurs qui les traitent.
En France, c'est la CNIL (Commission nationale de l'informatique et des libertés) qui veille à son application.
Mais qu'est-ce qu'une donnée personnelle, concrètement ? Il s'agit de toute information permettant d'identifier directement ou indirectement une personne physique. Un nom dans un fichier Excel, une adresse e-mail dans un formulaire de contact, un numéro de téléphone sur une fiche client papier : tout cela constitue des données personnelles au sens du règlement.
Même le recoupement de plusieurs informations apparemment anodines — un prénom associé à une année de naissance issus de deux fichiers distincts — peut suffire à identifier quelqu'un.
En revanche, les données relatives aux personnes morales (raison sociale d'une entreprise, numéro SIRET) ne sont pas couvertes, , sauf lorsqu’elles permettent d’identifier une personne physique (ex : entreprise individuelle portant le nom du dirigeant).
Point essentiel à retenir : il n'existe aucun seuil minimal d'assujettissement. Ni le nombre de salariés, ni le chiffre d'affaires, ni le secteur d'activité ne créent d'exemption. Les fichiers papier structurés entrent également dans le champ du RGPD, pas uniquement les traitements numériques.
La liste des structures assujetties est vaste. Sont concernés : les entreprises de toute taille (TPE, PME, ETI, grands groupes), les associations, les administrations publiques, les collectivités territoriales, les auto-entrepreneurs et les indépendants. Il suffit que l'organisme collecte, stocke, utilise ou transfère des données personnelles pour être pleinement soumis au règlement.
Prenons quelques exemples concrets pour mesurer l'étendue du périmètre :
Pour savoir si vous êtes concerné, un test d'assujettissement en deux questions suffit :
Une réponse positive à la première question, combinée à l’existence d’un établissement dans l’UE ou à un ciblage de personnes se trouvant dans l’UE, rend le RGPD applicable.
Conseil : Si vous répondez « oui » à la première question et que votre activité s’adresse à des personnes situées dans l’UE, commencez par dresser un inventaire de tous les traitements de données que vous réalisez (fichier clients, paie, vidéosurveillance, formulaires web, newsletter, outils RH, etc.). Cet inventaire constituera la base de votre registre des activités de traitement, document que la CNIL peut demander en cas de contrôle.
Avant tout traitement de données personnelles, le responsable de traitement doit identifier une base légale parmi les six prévues à l'article 6 §1 du RGPD. Sans cette identification préalable, le traitement est interdit, même si les données sont correctement sécurisées. Les six bases légales sont :
Exemple : Nathalie Mercier, gérante d'une entreprise de cosmétiques naturels employant 12 salariés, utilisait un formulaire sur son site pour collecter les adresses e-mail de prospects. Elle pensait être en règle car les données étaient stockées sur un serveur sécurisé. Lors d'un contrôle de la CNIL, il lui a été reproché de n'avoir identifié aucune base légale pour ce traitement : le formulaire ne recueillait pas de consentement conforme (pas de case à cocher, pas d'information sur la finalité). Le manquement a été constaté indépendamment de la sécurité technique des données. Un avocat compétent en droit du numérique aurait pu l'aider à qualifier correctement la base légale applicable et à rédiger les mentions d'information requises avant la mise en ligne du formulaire.
À noter : Le choix d'une base légale inadaptée constitue en lui-même un manquement sanctionnable par la CNIL. Il est donc indispensable de documenter le fondement juridique retenu pour chaque traitement dans le registre des traitements.
Les articles 13 et 14 du RGPD imposent d'informer les personnes, au moment de la collecte de leurs données ou dans un délai raisonnable lorsqu’elles ne sont pas collectées directement auprès d’elles, d’un ensemble d’éléments obligatoires : identité et coordonnées du responsable de traitement, le cas échéant, les coordonnées du délégué à la protection des données (DPO), finalités et base légale du traitement, l’existence de transferts hors de l’UE, destinataires des données, durée de conservation, droits des personnes (accès, rectification, suppression, portabilité, opposition) et droit de réclamation auprès de la CNIL.
Cette obligation s'applique sur tous les formulaires (papier ou numérique), dans les conditions générales d'utilisation et dans la politique de confidentialité du site web.
Le défaut d'information des personnes figure parmi les manquements les plus fréquemment sanctionnés par la CNIL en procédure simplifiée. Il ne faut pas confondre cette obligation d'information avec l'obtention du consentement, qui est une base légale distincte et non une condition systématique de tout traitement.
L'article 3 du RGPD définit deux critères alternatifs d'application territoriale. Le premier est le critère d'établissement (article 3 §1) : toute entité disposant d'une présence dans l'UE — siège social, filiale, succursale — est soumise au règlement, même si le traitement des données a lieu en dehors du territoire européen.
La notion d’établissement est interprétée largement : il peut s’agir d’un siège social, d’une filiale, d’une succursale, mais aussi d’une structure stable exerçant une activité réelle, même si l’entité principale est située hors de l’UE.
Le second est le critère de ciblage (article 3 §2). Une organisation située hors de l'UE tombe sous le coup du RGPD dès lors qu'elle offre des biens ou services à des résidents européens, ou qu'elle suit leur comportement (par exemple, profilage en ligne).
Selon les lignes directrices 3/2018 du CEPD, ce critère ne dépend ni de la citoyenneté ni du lieu de résidence habituel de la personne concernée : il repose sur le fait que la personne se trouve physiquement sur le territoire de l'Union au moment du traitement. Ainsi, un touriste américain en vacances en France dont les données sont traitées par une application américaine est couvert par le RGPD pendant son séjour.
Conséquence pratique : pour les entreprises françaises, un prestataire étranger — logiciel SaaS, hébergeur situé hors UE, plateforme de marketing — utilisé pour gérer des données de clients ou de salariés français est lui‑même soumis au RGPD lorsqu’il répond à ces critères. Le responsable de traitement français doit vérifier les garanties offertes par ce prestataire et conclure un contrat de sous‑traitance conforme.
Le règlement distingue trois rôles aux obligations distinctes.
Le responsable de traitement est celui qui détermine les finalités (pourquoi traiter ces données ?) et les moyens (comment les traiter ?).
C’est lui qui porte la responsabilité principale en cas de contrôle et qui doit être en mesure de démontrer la conformité de ses traitements.
Le sous-traitant traite les données pour le compte du responsable, sur instruction de celui-ci. Un hébergeur cloud, un éditeur de logiciel SaaS, une agence web ou un expert-comptable gérant la paie sont des sous-traitants au sens du RGPD.
Le RGPD impose qu’un contrat écrit (DPA – Data Processing Agreement) encadre cette relation. Ce contrat doit notamment comporter
À noter : la jurisprudence récente de la Cour de justice de l’Union européenne (l'arrêt CJUE C-340/21 de décembre 2023) rappelle qu’un sous‑traitant ne peut pas se retrancher derrière son client pour échapper à toute responsabilité : il doit respecter ses propres obligations (sécurité, documentation, assistance au responsable) et peut être sanctionné en cas de manquement.
Plusieurs entités peuvent être co‑responsables lorsqu’elles déterminent conjointement les finalités et les moyens du traitement (par exemple, une campagne marketing menée avec un partenaire, une plateforme et ses vendeurs). Un accord écrit (article 26 RGPD) doit alors fixer la répartition précise des obligations.
À noter : une même entreprise peut être responsable pour ses données RH et simultanément sous-traitant pour les données traitées au nom de ses clients.
À noter : À partir du 1er septembre 2026, la facturation électronique obligatoire introduira de nouvelles données structurées transitant par une Plateforme de Dématérialisation Partenaire (PDP), qui deviendra automatiquement sous-traitant au sens de l'article 28 du RGPD — imposant la signature d'un DPA avec cette plateforme. Par ailleurs, à compter du 2 août 2026, l'AI Act (Règlement UE 2024/1689) créera de nouvelles obligations pour les entreprises déployant des outils d'intelligence artificielle (chatbots, outils IA intégrés), qui se superposeront aux obligations RGPD existantes. Ces deux échéances concernent directement les TPE/PME et les indépendants qui adoptent ces outils sans anticiper leurs implications en matière de protection des données.
Une idée reçue tenace veut que les entreprises de moins de 250 salariés soient exemptées du registre des traitements. L'article 30 du RGPD prévoit effectivement une exemption partielle, mais elle est extrêmement limitée. Elle ne couvre que les traitements strictement occasionnels, ne portant pas sur des données sensibles, ne présentant aucun risque pour les droits des personnes, et ne portent pas sur des données relatives aux condamnations pénales et infractions.
Or, la gestion de la paie, le fichier clients, la prospection commerciale ou la vidéosurveillance sont des traitements réguliers par nature. Pourtant, en pratique, seules 41 % des TPE/PME disposent d'un registre RGPD. La CNIL en demande systématiquement la production lors de ses contrôles. Un registre absent ou incomplet constitue un manquement grave.
Les données dites « sensibles » — les données de santé, l’origine raciale ou ethnique, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données biométriques aux fins d’identifier une personne, les données génétiques, les données relatives à la vie sexuelle ou à l’orientation sexuelle — font l’objet d’un régime renforcé (article 9 du RGPD).
Le RGPD interdit en principe le traitement des données sensibles. Des exceptions existent toutefois, notamment lorsque la personne concernée a donné son consentement explicite, lorsque les données ont été rendues publiques par elle-même, lorsque le traitement est nécessaire à la protection des intérêts vitaux d'une personne, lorsqu'il est mis en œuvre par une association ou une organisation politique, philosophique, religieuse ou syndicale pour la gestion de ses membres ou adhérents, ou encore lorsqu'il répond à un motif d'intérêt public. Dans de nombreux cas, la réalisation d’une analyse d’impact relative à la protection des données (AIPD) est alors nécessaire.
L'exemption partielle du registre est alors totalement inapplicable. Il faut savoir que la CNIL publie une liste officielle des types de traitements pour lesquels une AIPD est obligatoire en application de l'article 35 du RGPD, indépendamment du critère de sensibilité des données — par exemple le profilage à grande échelle, la surveillance systématique d'un espace accessible au public, ou l'utilisation de données biométriques à des fins d'identification.
L'article 37 §1 du RGPD impose la désignation obligatoire d'un DPO (Délégué à la Protection des Données) dans trois cas : (1) tout organisme public ou autorité publique ; (2) toute organisation dont les activités de base consistent en un suivi régulier et systématique des personnes à grande échelle ; (3) toute organisation dont les activités de base consistent en un traitement à grande échelle de données sensibles ou de données relatives à des condamnations pénales.
Les sous-traitants sont également concernés par cette obligation dès lors qu'un seul de ces critères est rempli.
Pour les structures non soumises à l'obligation légale, la CNIL recommande fortement une désignation volontaire, notamment lorsque les traitements sont nombreux ou complexes.
Conseil : Même si votre structure n'est pas légalement tenue de désigner un DPO, identifier un référent interne chargé de la conformité RGPD permet de centraliser les demandes d'exercice de droits, de maintenir le registre à jour et de coordonner la réponse en cas d'incident. Cette démarche volontaire est valorisée par la CNIL lors de ses contrôles.
Les sanctions prévues par le RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En 2025, la CNIL a prononcé 83 sanctions pour un total record de 486,8 millions d'euros. Parmi les décisions marquantes : Google (325 M€ pour non-conformité des cookies), Shein (150 M€ en septembre 2025, pour non-conformité des cookies — une décision illustrant l'application du critère de ciblage territorial à une entreprise hors UE ciblant des résidents européens), Free et Free Mobile (42 M€ suite à une fuite touchant 24 millions de personnes), Amazon France Logistique (32 M€ pour surveillance disproportionnée des salariés) ou encore Cdiscount (4 M€).
Les TPE/PME ne sont plus à l'abri. La procédure simplifiée (issue du décret n° 2022-517) permet à un seul rapporteur de statuer sans séance publique et de prononcer une injonction avec astreinte plafonnée à 100 euros par jour et/ou une amende maximale de 20 000 euros. Utilisée pour 67 des 83 sanctions prononcées en 2025, elle permet de sanctionner rapidement les petites structures — en 4 à 6 mois contre 18 à 24 mois en procédure ordinaire. La montée en puissance est significative : 4 sanctions en 2022, 24 en 2023, et les montants en procédure simplifiée ont triplé entre 2023 (229 500 €) et 2024 (715 500 €). Les décisions rendues dans ce cadre ne sont pas rendues publiques, ce qui limite l'impact réputationnel — mais la sanction reste inscrite et une récidive peut conduire à une procédure ordinaire, elle-même rendue publique.
Par ailleurs, en cas de violation de données, le responsable de traitement doit notifier la CNIL sous 72 heures (article 33 RGPD). En 2025, 6 167 notifications ont été reçues, soit une hausse de 10 % par rapport à l'année précédente. Sur la période 2018-2023, les PME représentent 39 % du total de ces déclarations, et le secteur privé en représente les deux tiers — ce qui contredit l'idée reçue selon laquelle les violations de données seraient l'apanage des grandes structures. Le non-respect du délai de 72 heures expose à une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
Face à l'étendue des obligations et à la montée en puissance des contrôles, la mise en conformité RGPD ne s'improvise pas. Qualifier précisément son rôle, cartographier ses traitements, signer des DPA avec chaque prestataire, identifier les bases légales appropriées, informer les personnes concernées conformément aux articles 13 et 14, évaluer la nécessité de désigner un DPO : chaque étape requiert une analyse juridique rigoureuse.
CONNECT AVOCATS, cabinet intervenant sur toute la France et compétent en droit du numérique et en protection des données, accompagne les entreprises — de l'auto-entrepreneur au groupe structuré — dans la sécurisation de leurs activités. De l'audit initial à la rédaction des contrats de sous-traitance, en passant par la gestion des incidents et la relation avec la CNIL, le cabinet apporte un accompagnement sur mesure, fondé sur la confidentialité et l'indépendance propres à la profession d'avocat. Si vous souhaitez évaluer votre situation ou anticiper un contrôle, n'hésitez pas à solliciter l'équipe de CONNECT AVOCATS pour un premier échange.