Le RGPD s'applique-t-il à mon entreprise si je n'ai pas de personnel ?
Le Règlement général sur la protection des données ne fait aucune distinction en fonction de la taille de l'entreprise. Aucun seuil n'est fixé dans la loi concernant le nombre d'employés ou le chiffre d'affaires en dessous duquel les règles ne s'appliquent pas. Une seule question est déterminante : traitez-vous des données à caractère personnel ? Dès que vous enregistrez le nom d'un client, une adresse e-mail, une adresse de facturation ou les données d'un candidat, vous effectuez un traitement au sens du RGPD, même si vous êtes le seul employé de votre entreprise.
Dans la pratique, cela signifie que pratiquement toute entreprise, de l'entreprise individuelle à la grande entreprise, relève d'une manière ou d'une autre du champ d'application du RGPD. La différence ne réside pas dans le fait que la loi s'applique ou non, mais dans l'ampleur et la nature de ce que vous traitez : un indépendant qui facture trois clients par an a une tâche pratique différente d'une boutique en ligne avec des milliers de profils de clients. Les obligations deviennent plus lourdes à mesure que le traitement est plus risqué ou plus important, mais le principe de base reste le même pour tout le monde.
Ce qui détermine réellement la charge que le RGPD représente pour vous
Le RGPD prévoit une exception concrète liée à la taille de l'entreprise : l'obligation de tenir un registre des activités de traitement ne s'applique en principe pas aux organisations de moins de 250 employés, sauf si le traitement n'est pas occasionnel, s'il présente un risque pour les droits des personnes concernées, ou s'il concerne des catégories particulières de données à caractère personnel comme les données de santé. En pratique, la plupart des entreprises de taille petite à moyenne relèvent néanmoins de l'une de ces exceptions, simplement parce que les données de clients sont traitées de manière structurelle et donc non occasionnelle. L'exception est donc plus restrictive qu'elle n'y paraît à première vue.
Plus importante que cette seule exception est la nature de ce que vous traitez. Si vous ne traitez que les données de contact professionnelles d'autres entreprises, le risque est généralement limité. Si vous traitez les données de consommateurs, de personnel, de candidats ou des images vidéo, les mêmes obligations s'appliquent que pour une grande entreprise : une base juridique pour le traitement, la clarté vis-à-vis des personnes concernées, des accords avec les tiers qui traitent les données en votre nom, et un plan en cas de problème.
Les situations dans lesquelles le RGPD s'applique clairement à vous
Si vous avez une boutique en ligne, vous traitez les données des clients, les données de commandes et souvent les données via un prestataire de paiement ou un service de livraison. Si vous avez des employés, vous traitez les données de paie, les données d'absence et parfois un numéro de registre national. Si vous travaillez avec des candidats, vous traitez les CV et les lettres de motivation. Si vous utilisez la surveillance vidéo dans un bâtiment, vous traitez les images vidéo des visiteurs et des employés. Dans tous ces cas, le RGPD s'applique sans équivoque, que vous travailliez seul ou avec dix personnes.
Les situations dans lesquelles il pèse moins lourd, mais n'a pas disparu
Un indépendant qui facture exclusivement à des clients professionnels et n'a pas d'employés ou de consommateurs traite généralement des données moins sensibles et en volumes plus petits. Cela rend la tâche pratique plus simple à gérer, mais cela ne signifie pas que la loi ne s'applique pas. Dans ce cas également, vous devez pouvoir expliquer pourquoi vous conservez les données, pendant combien de temps, et avec qui vous les partagez éventuellement, par exemple via un logiciel de comptabilité ou un service cloud. Les lignes directrices du CEPD et l'orientation de l'Autorité de protection des données soulignent constamment que les obligations évoluent en fonction du risque, et non qu'elles disparaissent pour les petites structures.
Comment vérifier cela pour votre propre situation
La question la plus utile n'est pas "suis-je assez grand pour être concerné", mais "quelles données à caractère personnel je traite, de qui, et pourquoi". Parcourez vos principaux processus métier : facturation, contact avec les clients, gestion du personnel, marketing, sécurité. Pour chaque processus où figure un nom, une adresse e-mail ou toute autre donnée identifiable, le RGPD est pertinent. Ceux qui n'ont pas encore une vue claire de cet inventaire trouveront dans le base de connaissances avec explication par situation un point de départ pour déterminer quelles obligations s'appliquent à quel type de traitement.
Les questions les plus fréquemment posées par d'autres entrepreneurs donnent également une bonne indication de l'endroit où le doute règne habituellement ; elles sont rassemblées sur la page contenant réponses aux questions que les entrepreneurs de PME posent souvent. Si vous souhaitez savoir comment les informations sur gdpria.eu sont élaborées et quelle source correspond à quelle réponse, lisez-le sur la page qui explique d'où provient l'information utilisée.
L'évaluation finale de votre propre situation vous appartient, éventuellement avec un avocat ou avec l'Autorité de protection des données comme source de conseil pour une interprétation générale. Ce que nous offrons sur ces pages est une structure pour vous permettre de faire cette évaluation, pas le conseil lui-même.
Si vous souhaitez voir rapidement et sans engagement quelles obligations s'appliquent à votre type d'entreprise, vous pouvez créer un compte professionnel et construire l'aperçu pour votre propre situation. La première exploration, y compris la source de chaque réponse, est et reste gratuite.