La réponse courte
Le RGPD s'applique à pratiquement toute organisation qui traite des données à caractère personnel, quelle que soit sa taille. Cela signifie qu'une entreprise d'installation avec quatre salariés, une entreprise individuelle ayant des clients, ou une association avec des bénévoles relèvent en principe de la réglementation dès lors que des noms, des adresses e-mail, des données salariales ou d'autres données à caractère personnel sont enregistrés. Pour la tenue d'un registre des activités de traitement, le RGPD prévoit une exception pour les organisations de moins de 250 salariés, mais cette exception ne s'applique que si un certain nombre de conditions sont remplies simultanément.
En pratique, peu de PME répondent à toutes ces conditions, simplement parce qu'une gestion du personnel, un fichier clients ou un enregistrement vidéo est rapidement considéré comme un traitement continu. Que l'exception s'applique précisément à votre organisation est quelque chose que vous pouvez vérifier au mieux en examinant le texte législatif lui-même ou avec un juriste ; cet article décrit quand la question devient pertinente et sur quoi vous pouvez vous concentrer.
Ce que l'exception couvre exactement
Le RGPD stipule à l'article 30, paragraphe 5, que l'obligation de tenir un registre des activités de traitement ne s'applique pas aux organisations de moins de 250 salariés, sauf si le traitement qu'elles effectuent présente un risque pour les droits et libertés des personnes concernées, n'est pas occasionnel, ou concerne des catégories particulières de données à caractère personnel telles que les données de santé. Toutes ces exceptions à l'exception figurent pour une raison : le législateur souhaitait que les petites organisations conservent une vue d'ensemble, mais les exempter uniquement de l'obligation formelle de tenir un registre dans des cas spécifiques et limités.
Le mot « occasionnel » est ici le plus déterminant. Une gestion des salaires qui s'exécute chaque mois, un fichier clients que vous mettez à jour quotidiennement, ou des caméras qui enregistrent en continu, ne sont pas des traitements occasionnels. Dès qu'un traitement fait partie structurellement du fonctionnement de l'entreprise, l'exception devient rapidement inaccessible.
Quand la question vous concerne
La question « cela s'applique-t-il à moi ? » est particulièrement pertinente pour les travailleurs indépendants sans personnel et sans fichier clients régulier, qui envoient une facture de temps en temps et enregistrent par ailleurs peu de données à caractère personnel. Pour eux, l'exception peut théoriquement s'appliquer. Dès qu'il y a du personnel, qu'un système CRM est utilisé, que les candidatures sont conservées, ou qu'un site web collecte des données de visiteurs via des cookies ou un formulaire de contact, il y a pratiquement toujours un traitement continu et l'exception n'est plus pertinente.
Une entreprise d'installation avec une gestion du personnel, un système de planification contenant des données clients et peut-être une caméra à l'atelier ne relève pas de l'exception. Un gestionnaire RH qui gère les données des candidatures, les dossiers d'absence et les données salariales effectue déjà un traitement tout à fait continu. Pour ces entreprises, un registre des activités de traitement n'est pas seulement une question légale, mais aussi pratiquement utile : il donne en un coup d'œil un aperçu de quels systèmes contiennent quelles données, qui a accès, et combien de temps les données sont conservées.
Pourquoi le registre est utile même sans obligation
Indépendamment de la question de savoir si l'exception s'applique exactement, les clients, les assureurs et les maîtres d'ouvrage demandent de plus en plus souvent de démontrer qu'une organisation maîtrise ses données à caractère personnel. Un registre des activités de traitement est le premier document qu'on demande. Celui qui doit expliquer quels outils SaaS sont utilisés, quels contrats de sous-traitance s'y rapportent et qui est responsable de quoi, aurait intérêt à tenir déjà un registre, au lieu d'en établir un à la dernière minute.
Cet aperçu n'a pas besoin d'être compliqué. Il s'agit de documenter pour chaque traitement les données concernées, la finalité du traitement, qui y a accès, si un tiers est impliqué et combien de temps les données sont conservées. Dans la base de connaissances avec les sujets du RGPD par situation est détaillé ce qui doit concrètement figurer pour chaque type de traitement, avec la référence au texte officiel.
Comment vous évaluez cela pour votre propre situation
Le fait que votre entreprise relève de l'exemption dépend de la nature précise et de la fréquence des traitements que vous effectuez, et c'est une évaluation qui varie selon l'organisation. L'Autorité de protection des données publie des directives sur la portée de l'obligation de registre, et pour un avis sur votre situation spécifique, il est recommandé de les consulter ou de faire appel à un juriste. Ce que nous faisons sur gdpria.eu, c'est apporter de la structure : expliquer ce que la règle signifie, avec la source, afin que vous puissiez vous-même évaluer où vous en êtes. Sur la page sur l'origine de nos informations vous lisez comment ce lien avec le texte législatif et les directives fonctionne exactement.
Les cas litigieux fréquents, comme un indépendant avec un seul client régulier ou une fondation composée uniquement de bénévoles, réapparaissent dans les questions fréquemment posées sur le RGPD en pratique. Il s'avère souvent que le débat sur l'exemption est moins important qu'on ne le pense, car un registre clair aide de toute façon à répondre aux questions des clients ou à traiter une demande d'une personne concernée.
En résumé
Le RGPD s'applique à pratiquement toute organisation qui traite des données personnelles. L'exemption de l'obligation de registre est étroite et ne s'applique que si le traitement est occasionnel, ne présente aucun risque et ne concerne pas de catégories particulières de données. Pour la plupart des PME ayant du personnel, des clients ou un site web, cette exemption est hors de portée, et un aperçu de vos propres traitements est surtout d'une utilité pratique.
Voulez-vous rapidement voir où en est votre propre situation ? Faites le scan rapide gratuit ou parcourez les sujets sur créer un compte professionnel et commencer soi-même.