Traitement de données : Définition juridique et Applications

Le traitement de données à caractère personnel désigne, au sens de l'article 4 paragraphe 2 du Règlement (UE) 2016/679 (RGPD), toute opération ou tout ensemble d'opérations effectuées sur des données personnelles, qu'elles soient automatisées ou non. Cette définition volontairement large détermine le champ d'application matériel du règlement : dès lors qu'une opération est qualifiée de traitement, l'ensemble des obligations RGPD lui devient applicable.

L'extension de la notion couvre une diversité d'opérations qui dépassent largement le simple stockage informatique. Une simple consultation de données, une transmission ponctuelle à un tiers ou même la destruction d'un fichier constituent autant de traitements au sens du règlement. Cette définition étendue garantit l'effet utile de la régulation européenne, qui ne saurait être contournée par la fragmentation des opérations en étapes isolées.

L'enjeu pour les organisations est double : identifier l'ensemble des traitements qu'elles effectuent (souvent plus nombreux qu'estimé en première analyse) et qualifier leur finalité respective pour leur appliquer le régime adéquat (base légale, durée de conservation, mesures de sécurité, droits des personnes).

Vous souhaitez cartographier vos traitements de données ? Le Cabinet Aurore Bonavia accompagne les organisations dans l'identification, la qualification et la documentation de leurs traitements RGPD. → Voir l'accompagnement en droit du numérique

La définition large posée par le RGPD

L'article 4 paragraphe 2 du Règlement (UE) 2016/679 fournit une liste illustrative des opérations qualifiées de traitement :

« Toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction. »

Cette énumération n'est pas exhaustive. Toute manipulation de données personnelles entre dans le périmètre de la définition, dès lors qu'elle s'effectue sur des données identifiantes ou identifiables au sens de l'article 4 paragraphe 1 du RGPD.

Le champ d'application matériel posé par l'article 2 paragraphe 1 du règlement vise les traitements automatisés en tout ou partie ainsi que les traitements non automatisés portant sur des données contenues ou appelées à figurer dans un fichier structuré. Cette précision exclut les fichiers manuels non structurés (par exemple un simple agenda papier) mais soumet à régulation la plupart des fichiers professionnels organisés selon des critères permettant la recherche.

Les opérations couvertes par la qualification

Plusieurs opérations méritent une attention particulière en raison de leur fréquence dans la vie des organisations.

La collecte constitue le point de départ de la majorité des traitements : tout formulaire en ligne, tout questionnaire client, tout enregistrement d'une candidature à un poste, tout dépôt d'une carte de fidélité au point de vente caractérise une opération de collecte soumise au RGPD.

La conservation, parfois sous-estimée, suppose à elle seule l'application des principes de minimisation des données (article 5 paragraphe 1 c) et de limitation de la conservation (article 5 paragraphe 1 e). Conserver un fichier client sans finalité précise et sans durée définie constitue un traitement illicite, indépendamment de toute autre opération.

La transmission à des tiers caractérise un traitement spécifique qui suppose l'identification d'une base légale propre à cette mise à disposition. La transmission à des partenaires commerciaux à des fins marketing, à des sous-traitants pour exécution d'un contrat, à des destinataires institutionnels (administration fiscale, organismes sociaux) obéit chacune à des règles distinctes qu'il convient de qualifier précisément.

L'effacement constitue un traitement à part entière. Sa qualification permet d'encadrer les pratiques de purge automatique des bases de données et de répondre aux demandes de suppression formulées par les personnes concernées au titre de l'article 17 du RGPD.

La cartographie des traitements

La diversité des opérations qualifiables de traitement impose aux organisations un travail de cartographie préalable à toute démarche de mise en conformité. Cette cartographie consiste à identifier, pour chaque processus métier, les flux de données personnelles concernés et les opérations qui leur sont appliquées.

Le registre des activités de traitement prévu à l'article 30 du RGPD constitue le livrable principal de cette cartographie. Il consigne pour chaque traitement les éléments suivants : finalité poursuivie, base légale, catégories de personnes concernées, catégories de données, destinataires, durée de conservation, mesures de sécurité techniques et organisationnelles, transferts éventuels hors Union européenne.

Au-delà du registre, la cartographie alimente plusieurs autres livrables RGPD : analyses d'impact (AIPD) pour les traitements à risque élevé, mentions d'information préalables à la collecte, contrats de sous-traitance, procédures de réponse aux demandes d'exercice de droits.

Spécificité juridique sur le champ d'application territorial

L'article 3 du RGPD délimite l'application territoriale du règlement selon trois critères qui en étendent considérablement la portée :

« 1. Le présent règlement s'applique au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union. 2. Le présent règlement s'applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l'Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement sont liées : a) À l'offre de biens ou de services à ces personnes concernées dans l'Union ; ou b) Au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu au sein de l'Union. »

Cette portée extraterritoriale soumet aux obligations RGPD des opérateurs établis hors de l'Union européenne dès lors qu'ils ciblent ou observent des personnes situées sur le territoire de l'Union. Les acteurs hors UE qui proposent leurs services en français à destination de la France, qui acceptent les paiements en euros ou qui livrent sur le territoire français entrent dans le champ du règlement.

L'article 27 du RGPD impose à ces acteurs extraterritoriaux la désignation d'un représentant établi dans l'Union, qui sert de point de contact pour les autorités de contrôle et les personnes concernées.

Le cabinet Aurore Bonavia se charge de vos enjeux en matière de traitement de données

• la cartographie de l'ensemble de vos traitements de données personnelles ;
• la rédaction et la tenue à jour de votre registre des activités de traitement ;
• la qualification juridique de chaque traitement (responsable, sous-traitant, responsabilité conjointe) ;
• l'identification des bases légales adaptées à chaque finalité poursuivie ;
• la mise en conformité des opérations de transmission, de conservation et d'effacement ;
• les analyses d'impact pour les traitements à risque élevé ;
• la désignation d'un représentant en France pour les acteurs extraterritoriaux ;
• la défense face aux contrôles et procédures de sanction de la CNIL portant sur la qualification des traitements.

En savoir plus sur l'accompagnement du cabinet : avocat RGPD.

Sources : Règlement (UE) 2016/679 (RGPD) art. 4.2, art. 2, art. 3, art. 27, art. 30, EDPB Lignes directrices 3/2018 sur le champ d'application territorial, CNIL guide pratique de tenue du registre. Fiche mise à jour le 3 mai 2026.