Connexion
RGPD : Qui est concerné ?
Dernière mise à jour le 08/03/2022
Le règlement général sur la protection des données (RGPD) a été adopté par l’Union européenne le 14 avril 2016. Ce dernier vise à harmoniser les pratiques des organismes au sein de l’Union européenne concernant le traitement de données personnelles. Ainsi, tout acteur ayant recours au traitement de données personnelles sera dans l’obligation de se conformer à ce règlement européen. Ce qui nous amène à nous interroger sur les personnes concernées par le RGPD.
Qu’est-ce que le RGPD ?
Pour rappel le RGPD est un règlement européen entré en vigueur en 2018 afin d’harmoniser les règles concernant le traitement des données personnelles sur le territoire européen notamment. S’inscrivant dans la continuité de la Loi informatique et libertés, il poursuit principalement trois objectifs :
- Le renforcement des droits des personnes
- La responsabilisation des acteurs traitant des données personnelles
- La crédibilisation de la régulation par une coopération renforcée entre autorités de protection des données
Ainsi, depuis son entrée en vigueur, les entreprises ont dû procéder à une mise en conformité de leur politique de traitement des données personnelles afin de poursuivre leurs activités de manière légale.
Quel est le champ d’application du RGPD ?
Il est parfois compliqué de savoir à quelle situation le RGPD est susceptible de s’appliquer. Afin de mieux le comprendre, il convient de définir son champ d’application.
Le champ d’application du RGPD
Le champ d’application du RGPD est relativement large. Il s’applique à toute entreprise collectant, stockant ou utilisant des données personnelles appartenant à des résidents de l’Union européenne. En effet, l’article 3 du RGPD dispose que les organismes suivants sont concernés par le RGPD :
- Les organismes établis sur le territoire de l’Union européenne
- Les organismes dont l’activité cible des personnes se trouvant sur le territoire de l’Union européenne
Ce qui signifie que le règlement ne concerne pas uniquement les entreprises européennes et peut concerner des entreprises non ressortissantes de l’Union européenne.
Concernant la notion de « résidents de l’Union européenne », le RGPD inclut les données personnelles des citoyens européens vivants à l’étranger mais également celles des personnes étrangères résidant sur le territoire de l’Union européenne.
Qu’en est-il des sous-traitants ?
Si une entreprise fait appel à un sous-traitant réalisant un traitement de données personnelles, il appartient alors à l’entreprise de vérifier que le prestataire respecte bel et bien les règles du RGPD. En cas de non-conformité des traitements, l’entreprise ainsi que le sous-traitant seront co-responsables.
Quel est le critère d’application du RGPD ?
Le RGPD s’applique aux entités réalisant des traitements sur des données personnelles, pour mieux comprendre le champ d’application du règlement, il convient de définir la notion de traitement de données personnelles et de s’intéresser aux traitements non concernés par le règlement.
La notion de traitement des données personnelles
Le traitement de données personnelles est défini par l’article 4 du RGPD comme étant « toute opération appliquée à des données personnelles ». Ainsi, il concerne notamment :
- La collecte
- La communication
- La conservation
- L’enregistrement
On entend par donnée personnelle, toute donnée permettant d’identifier directement ou indirectement une personne physique.
Les traitements non concernés par le RGPD
Les traitements sur des données à caractère personnel d’individus ne résidant pas dans l’union européenne ou n’ayant pas la citoyenneté européenne ne sont pas concernés par le RGPD. Il existe également d’autres exceptions qu’il convient d’énumérer :
- Les traitements réalisés dans le cadre d’activités mises en place pour la prévention d’infraction pénale
- Les traitements réalisés à des fins strictement personnelles
- Les traitements réalisés dans le cadre de la protection des libertés et droits fondamentaux
Comment les organismes se mettent en conformité avec le RGPD ?
Les acteurs concernés par le RGPD doivent mettre en place un certain nombre de mesures afin d’assurer le respect du règlement. On parle de mise en conformité au RGPD.
Les principes instaurés par le RGPD
Différents principes ont été instaurés par le RGPD afin de garantir la protection des données personnelles. On retrouve notamment les principes suivants :
- Le principe d’accountability : en cas de non-conformité au RGPD, le responsable de traitement voit sa responsabilité engagée.
- Le principe de minimisation des données : les responsables de traitements doivent limiter la collecte des données à celles strictement nécessaires à la finalité du traitement.
- Le principe de « privacy by design » : les organismes doivent veiller à prendre en compte la protection des données personnelles au sens du RGPD et ce dès la conception du produit ou d’un service.
- Le principe de licéité du traitement : il existe 6 conditions dans lesquelles le traitement des données personnelles est permis, listées à l’article 6-1 du RGPD.
Les droit des personnes
Le RGPD est également venu attribuer des droits aux personnes dont les données sont collectées, à savoir :
- Le droit d’accès aux données
- Le droit à la portabilité
- Le droit de rectification
Il appartient aux acteurs concernés de mettre en place les mesures nécessaires au respect de ces droits.
Quelles sont les sanctions en cas de non-conformité au RGPD ?
En cas de non-conformité au RGPD, les organismes assurant le traitement des données personnelles s’exposent à différents types de sanctions, notamment administratives et pénales.
Les sanctions pénales
En premier lieu l’organisme contrevenant s’expose à des sanctions pénales. En effet, l’article 84 du RGPD prévoir que les états membres détiennent la possibilité d’instaurer des sanctions à l’échelle nationale sur le plan pénal.
En France, l’article 226-16 du code pénal sanctionne le non-respect aux dispositions du RGPD par 5 ans d’emprisonnement et de 300 000 euros d’amende.
Les sanctions administratives
L’entreprise n’étant pas en conformité au RGPD s’expose également à des sanctions administratives. Ces dernières peuvent être prononcées par la CNIL et correspondent à :
- Une injonction de cesser la violation des données personnelles
- Un avertissement ainsi qu’une mise en demeure de l’organisme à se conformer au RGPD
- La limitation ou suspension temporaire du traitement des données
L’organisme contrevenant s’expose également au règlement d’amendes administratives dont le montant est fixé selon la gravité de la violation en question. Ce dernier est compris entre 2 et 4% du chiffre d’affaires annuel d’un organisme et peut aller jusqu’à 20 millions d’euros.
Les sanctions additionnelles
L’organisme contrevenant s’expose également au versement de dommages et intérêts ainsi qu’à un déficit d’image.
En effet, elle pourrait avoir à verser des dommages et intérêts à la personne concernée si cette dernière est victime d’un dommage matériel ou moral après une fuite de données.
De plus elle pourra également subir un déficit d’image, passant par la perte de sa réputation en cas de non-respect des dispositions du RGPD. Ce qui peut entrainer une perte de concurrence sur le marché.
FAQ
Qui est concerné par le RGPD ?
Le RGPD concerne tous les organismes amenés à traiter des données personnelles. Les établissements implantés en-dehors de l’Union européenne peuvent également être concernés si leurs activités ciblent des personnes résidant sur le territoire de l’UE.
Le RGPD est-il obligatoire ?
Le RGPD est applicable aux organismes amenés à traiter des données personnelles. Ces organismes seront donc dans l’obligation de respecter le RGPD. Si tel n’est pas le cas, ils s’exposent alors à de lourdes sanctions, telles que le paiement d’une amende pouvant atteindre 4% du chiffre d'affaires mondial.
Qui n’est pas concerné par le RGPD ?
Les organismes ne traitant pas des données personnelles ne sont pas concernés par le RGPD. Il existe également des exceptions même en présence de traitement des données personnelles. En effet, le RGPD ne s’applique par exemple pas lorsque le traitement des données est réalisé dans un cadre strictement personnel.
Obtenir un devis RGPD
Samuel Goldstein
Samuel est co-fondateur de LegalPlace et responsable du contenu éditorial. L’ambition est de rendre accessible le savoir-faire juridique au plus grand nombre grâce à un contenu simple et de qualité. Samuel est diplômé de Supelec et de HEC Paris
Dernière mise à jour le 08/03/2022
Rédigé par
Samuel Goldstein
Samuel est co-fondateur de LegalPlace et responsable du contenu éditorial. L'ambition est de rendre accessible le savoir-faire juridique au plus grand nombre grâce à un contenu simple et de qualité. Samuel est diplômé de Supelec et de HEC Paris
Télécharger notre guide gratuit