Le Règlement européen sur la protection des données (RGPD) s’applique à la quasi-totalité des organismes traitant des données personnelles en Europe. Il existe quelques exceptions au RGPD, toutefois très limitées et principalement liées à un usage strictement personnel, aux données anonymisées et à la sécurité nationale. Ce guide vous permet de comprendre l’étendue du champ d’application du RGPD et les rares cas où un traitement de données n’est pas concerné.
Ce qu’il faut retenir
- Le RGPD a un champ d’application volontairement très large.
- Seules quatre catégories d’exceptions sont prévues par l’article 2 du RGPD.
- L’usage strictement personnel ou domestique est le seul cas concret pour un particulier.
- La taille d’une structure n’est jamais, à elle seule, un motif d’exemption.
- Les données réellement anonymisées sortent du champ d’application du RGPD, contrairement aux données pseudonymisées.
Vous avez un doute sur l’application du RGPD à votre activité ? Un audit RGPD clarifie précisément votre périmètre de conformité et vous aide à transformer vos obligations légales en avantages stratégiques.
PARLER À UN EXPERTLe champ d’application volontairement très large du RGPD
Il existe très peu d’exceptions au RGPD pour les organismes traitant des données de résidents européens
Le RGPD s’applique dès lors qu’un organisme établi dans l’Union européenne traite des données à caractère personnel ou qu’un organisme situé hors UE cible des résidents européens.
Ce périmètre extrêmement large est une volonté délibérée du législateur européen : il vise à garantir un niveau de protection homogène, quels que soient le secteur d’activité, la taille ou le statut de l’organisme concerné.
Les exceptions, à l’inverse, sont strictement encadrées.
Les quatre exceptions prévues par l’article 2 du RGPD
Votre carnet d’adresse personnel est l’une des rares exceptions au RGPD
L’article 2, paragraphe 2 du RGPD prévoit quatre situations précises dans lesquelles le règlement ne s’applique pas au traitement de données à caractère personnel effectué.
1. Activités hors du champ d’application du droit de l’Union européenne
Le point a de l’article 2§2 stipule que le RGPD ne s’applique pas :
« dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union ».
Cela peut notamment être le cas dans le cadre des relations internationales ou de la coopération intergouvernementale entre États.
2. Politique étrangère et de sécurité commune
En accord avec le point b, le RGPD ne s’applique pas non plus au traitement de données personnelles effectué :
« par les États membres dans le cadre d’activités qui relèvent du champ d’application du chapitre 2 du titre V du traité sur l’Union européenne ».
Les traitements réalisés dans le cadre de la politique étrangère et de sécurité commune de l’Union européenne échappent ainsi au règlement.
3. Traitement strictement personnel ou domestique
Le RGPD ne s’applique pas plus aux traitements de données personnelles effectués (point c) :
« par une personne physique dans le cadre d’une activité strictement personnelle ou domestique ».
C’est le cas, par exemple, de la tenue d’un carnet d’adresses personnel ou d’un usage privé des réseaux sociaux. Dès qu’un traitement, même réalisé par un particulier, dépasse ce cadre strictement privé (par exemple, s’il entre en lien avec une activité professionnelle ou commerciale), le règlement devient applicable.
4. Prévention, enquêtes et poursuites pénales par les autorités compétentes
Enfin, le point d prévoit une exception au RGPD pour les traitements effectués :
« par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces ».
Ces traitements ne sont pas soumis au RGPD, mais sont encadrés par un texte distinct : la directive « police-justice » (2016/680), transposée en droit français dans la loi Informatique et Libertés.
Les cas limites : données anonymes et personnes décédées
Les données anonymisées ne sont pas concernées par le RGPD
Deux situations méritent une attention particulière.
Données anonymes
Les données réellement et irréversiblement anonymisées sortent du champ d’application du RGPD, puisqu’il devient impossible de réidentifier la personne concernée. Il ne faut cependant pas confondre anonymisation et pseudonymisation : la pseudonymisation, qui consiste à remplacer les données identifiantes par un identifiant indirect (alias, numéro), reste pleinement soumise au règlement car la réidentification reste possible.
Personnes décédées
Le RGPD ne s’applique en principe plus après la mort, la protection des données personnelles étant attachée aux personnes vivantes. La loi Informatique et Libertés française prévoit toutefois des dispositions spécifiques, notamment la possibilité pour toute personne de définir des directives sur le sort de ses données après son décès et un droit d’accès résiduel pour ses héritiers, sous certaines conditions.
Le cas particulier des données de santé : une interdiction de principe
L’article 9 du RGPD impose au secteur de la santé un régime d’interdiction de principe du traitement des données sensibles, sauf dérogation explicite (soins, santé publique, recherche).
La réutilisation des données médicales, la gestion des entrepôts de données de santé ou les activités des GRADeS et de l’ARS doivent donc respecter des exigences renforcées, articulées avec les référentiels de la CNIL et l’obligation d’hébergement de données de santé (HDS).
Ce cadre particulier impose une vigilance constante et une expertise dédiée, tant les enjeux de confidentialité sont sensibles. Le cabinet de conseil RGPD et IA Lexagone peut vous l’apporter.
Vous hésitez sur l’application des exceptions au RGPD à votre structure ? Un DPO externalisé de Lexagone vous aide à sécuriser votre positionnement juridique et à éviter les sanctions.
PARLER À UN EXPERTQuestions fréquentes
Une association ou une TPE est-elle exemptée du RGPD ?
Non, le RGPD s’applique à toute structure traitant des données personnelles, quels que soient sa taille, son statut juridique ou son chiffre d’affaires.
Dois-je tenir un registre RGPD pour ma TPE/PME ?
Oui, dans la majorité des cas. Il existe des dispositions spécifiques pour les organismes de moins de 250 salariés (article 30), toujours sous conditions. En pratique, l’exception est donc très rare.
Les traitements non occasionnels (comme la gestion de la paie et des clients), ceux susceptibles de comporter un risque pour les droits et les libertés (géolocalisation, vidéosurveillance) et ceux portant sur des données sensibles (de santé, notamment) doivent a minima être inscrits au registre.
Quelles sont les exceptions au principe du consentement ?
Le consentement n’est pas obligatoire lorsque le traitement de données repose sur l’une des cinq autres bases légales prévues par l’article 6 du RGPD :
- Exécution d’un contrat auquel la personne est partie
- Respect d’une obligation légale
- Sauvegarde des intérêts vitaux
- Exécution d’une mission d’intérêt public
- Intérêt légitime du responsable de traitement, sous réserve qu’il ne porte pas atteinte aux droits et libertés fondamentaux des personnes
