RGPD : qui est concerné en 2026 ?

Beaucoup de dirigeants pensent encore que le Règlement général sur la protection des données (RGPD) ne vise que les grandes entreprises ou les géants du numérique. C’est une idée reçue. En pratique, la quasi-totalité des organisations traitent des données personnelles et sont donc concernées. Faisons le point, clairement, sur qui doit se mettre en conformité en 2026 — et à quel niveau.

Ce que dit le texte : un champ d’application très large

Le RGPD s’applique dès qu’une organisation réalise un traitement de données à caractère personnel. Deux notions clés à retenir :

• Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable : nom, e-mail, numéro de téléphone, adresse IP, identifiant client, plaque d’immatriculation, etc.
• Un traitement est n’importe quelle opération portant sur ces données : collecte, enregistrement, consultation, stockage, envoi d’un e-mail, archivage, suppression…

Autrement dit, tenir un simple fichier client dans un tableur constitue déjà un traitement de données personnelles. La Commission nationale de l’informatique et des libertés (CNIL) le rappelle régulièrement : il n’existe pas de seuil d’effectif ni de chiffre d’affaires en dessous duquel on serait dispensé du RGPD.

Le critère du lieu : le RGPD dépasse les frontières

Le règlement s’applique à toute organisation établie dans l’Union européenne, mais aussi à toute entité, même hors UE, qui cible des résidents européens (vente de biens ou services, suivi de comportement en ligne). Une entreprise française vendant en ligne est donc concernée, tout comme une société étrangère qui adresse le marché français.

Concrètement, êtes-vous concerné ?

Posez-vous ces questions simples. Si vous répondez « oui » à l’une d’elles, vous traitez des données personnelles :

• Avez-vous des salariés ? (contrats, paie, badges, e-mails)
• Avez-vous des clients ou des prospects identifiables ?
• Gérez-vous un site web avec formulaire de contact, newsletter ou espace client ?
• Utilisez-vous des outils de facturation, de CRM, de comptabilité ?
• Faites-vous appel à des prestataires qui manipulent vos données (hébergeur, logiciel SaaS) ?

Dans l’écrasante majorité des cas, la réponse est oui. Une TPE de trois personnes qui envoie des devis et paie ses salariés est déjà pleinement concernée.

Responsable de traitement ou sous-traitant ?

Le RGPD distingue deux rôles, et il est essentiel de savoir lequel vous occupez — souvent, vous cumulez les deux.

Le responsable de traitement

C’est l’organisation qui décide des finalités et des moyens d’un traitement. Exemple : vous décidez de constituer un fichier de prospects pour votre prospection commerciale. Vous êtes responsable de ce traitement.

Le sous-traitant

C’est l’organisation qui traite des données pour le compte d’un responsable de traitement. Exemple : un éditeur de logiciel SaaS qui héberge le fichier clients de ses utilisateurs agit en sous-traitant. L’article 28 du RGPD encadre cette relation par un contrat précis.

En pratique, une PME est presque toujours responsable de traitement pour ses propres fichiers (clients, RH) et peut être sous-traitant lorsqu’elle manipule les données de ses propres clients.

Les obligations qui s’appliquent à tous

Quelle que soit votre taille, certaines obligations de base s’imposent :

1. Recenser vos traitements dans un registre (voir plus bas l’allègement pour les petites structures).
2. Informer les personnes dont vous collectez les données (mentions d’information claires).
3. Fonder chaque traitement sur une base légale (consentement, contrat, obligation légale, intérêt légitime…).
4. Respecter les droits des personnes : accès, rectification, effacement, opposition, portabilité.
5. Sécuriser les données par des mesures techniques et organisationnelles adaptées.
6. Notifier les violations de données à la CNIL sous 72 heures lorsque le risque le justifie.

L’allègement pour les organismes de moins de 250 personnes

Une nuance importante : les organisations de moins de 250 personnes bénéficient d’une dispense partielle de registre. Elles ne doivent y inscrire que les traitements non occasionnels, ceux susceptibles de comporter un risque pour les droits des personnes, ou portant sur des données sensibles. En pratique, cette dispense est si limitée que presque toutes les entreprises ont intérêt à tenir un registre complet : c’est de toute façon le meilleur outil de pilotage de la conformité.

Faut-il désigner un DPO ?

La désignation d’un délégué à la protection des données (DPO) est obligatoire dans trois cas :

• vous êtes un organisme public ;
• votre activité principale vous conduit à un suivi régulier et systématique à grande échelle de personnes ;
• votre activité principale consiste en un traitement à grande échelle de données sensibles (santé, opinions, biométrie…).

En dehors de ces cas, la désignation reste facultative mais recommandée par la CNIL. Un DPO, interne ou externalisé, centralise le pilotage de votre conformité et devient votre point de contact avec l’autorité. Pour une TPE ou une PME, l’externalisation permet d’obtenir cette expertise sans supporter le coût d’un poste dédié.

Ce que vous risquez en cas de manquement

Le RGPD prévoit des sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà des sanctions financières, un manquement expose à un risque réputationnel et à un risque commercial croissant : de plus en plus de clients B2B exigent des preuves de conformité avant de contractualiser.

La conformité n’est pas seulement une contrainte réglementaire : c’est devenu un argument de confiance vis-à-vis de vos clients et partenaires.

Par où commencer ?

Si vous découvrez que vous êtes concerné — ce qui est presque certain — la marche à suivre est simple :

1. Cartographiez vos traitements (quelles données, pour quoi, où sont-elles ?).
2. Rédigez vos registres et vos mentions d’information.
3. Vérifiez vos bases légales et vos durées de conservation.
4. Sécurisez l’accès aux données et formalisez vos procédures.
5. Désignez un référent ou un DPO pour maintenir le tout dans le temps.

C’est précisément l’accompagnement que propose DPO Connect : nous portons ces étapes à votre place et maintenons votre conformité dans la durée, pour le prix d’un abonnement logiciel.

Sources de référence : Règlement (UE) 2016/679 (RGPD), articles 4, 28, 30, 37 ; recommandations de la CNIL (cnil.fr).