Le RGPD s'applique-t-il aussi aux travailleurs indépendants et aux petites entreprises ?

Oui, les travailleurs indépendants et les petites entreprises en relèvent aussi

Le RGPD s'applique à quiconque traite des données à caractère personnel, quelle que soit la taille de l'entreprise. La loi n'établit pas de seuil minimum en termes de nombre d'employés ou de chiffre d'affaires. Dès lors que des noms, des adresses e-mail, des factures contenant des données clients, une administration du personnel ou un fichier clients dans un système CRM sont conservés, on parle de traitement de données à caractère personnel au sens de la loi — et donc d'applicabilité du RGPD. Un travailleur indépendant ayant trois clients dans une feuille de calcul y est soumis tout autant qu'une entreprise comptant cent salariés.

Ce qui varie en revanche, c'est l'étendue des obligations découlant de cette applicabilité. Ainsi, le RGPD prévoit une exception allégée concernant la tenue d'un registre des activités de traitement : les organisations comptant moins de 250 salariés ne sont en principe pas tenues de tenir ce registre, sauf si le traitement n'est pas occasionnel, s'il présente un risque pour les droits des personnes concernées, ou s'il porte sur des catégories particulières de données. Dans la pratique, cette exception bénéficie moins aux petites entreprises qu'il n'y paraît à première vue, car la conservation de données clients est rarement véritablement occasionnelle.

Source : article 2 et article 30 du RGPD

Le champ d'application matériel du RGPD est énoncé à l'article 2 : le règlement s'applique au traitement automatisé, intégralement ou partiellement, de données à caractère personnel, ainsi qu'au traitement qui fait partie d'un fichier. L'exception à l'obligation de tenir un registre pour les organisations plus petites est prévue à l'article 30, selon les conditions qui y sont énoncées. Parce que le RGPD est un règlement, ce noyau s'applique directement et uniformément dans chaque État membre — aux Pays-Bas tout comme en Allemagne. Ce qui varie selon le pays, c'est l'autorité de contrôle compétente : aux Pays-Bas, c'est l'Autorité néerlandaise de protection des données, en Allemagne l'autorité de contrôle du Land dans lequel se situe l'établissement.