Peut-être, et c'est une des grandes particularités du RGPD : il a une portée extraterritoriale, c'est-à-dire qu'il peut s'appliquer à des entreprises situées hors de l'Union européenne. Mais au-delà du RGPD lui-même, la vraie réponse est plus large : où que vous soyez, vous êtes très probablement soumis à une législation sur les données personnelles — la question est de savoir laquelle. Prenons d'abord le RGPD. Il s'applique non pas selon l'endroit où est l'entreprise, mais selon les personnes dont les données sont traitées et l'activité visée. Schématiquement, il peut vous concerner, même établi hors d'Europe, si vous offrez des biens ou services à des personnes situées dans l'UE (par exemple un site e-commerce qui vend à des clients européens, une application utilisée par des Européens) ou si vous suivez le comportement de personnes dans l'UE (analyse, ciblage). Autrement dit, ce n'est pas votre nationalité ou votre siège qui compte, mais le fait de traiter les données de personnes situées dans l'UE dans ce cadre. Une petite entreprise hors d'Europe qui ne vise absolument pas le marché européen n'est en général pas concernée par le RGPD ; mais dès qu'elle s'adresse à des clients européens (langue, devise, livraison vers l'UE…), la question se pose sérieusement. Ensuite, et c'est essentiel : ne pas être concerné par le RGPD ne signifie pas être libre de toute règle. La protection des données personnelles s'est généralisée dans le monde. De très nombreux pays ont adopté leur propre législation, souvent inspirée du RGPD ou proche dans l'esprit (mêmes grands principes : base légale, finalité, droits des personnes, sécurité), parfois avec des différences notables. Votre entreprise est donc, selon toute vraisemblance, soumise à la loi de votre pays sur les données, que vous soyez ou non touché par le RGPD. Il faut donc raisonner à deux niveaux : (1) la loi de mon pays sur les données personnelles, qui s'applique à mon activité locale — à identifier et respecter en priorité ; (2) le RGPD (ou d'autres lois étrangères comme certaines lois nord-américaines ou d'autres régions), si je traite des données de personnes situées dans ces zones. Une entreprise qui a une clientèle internationale peut ainsi devoir respecter plusieurs réglementations à la fois. En pratique, la bonne nouvelle est que ces réglementations partagent largement les mêmes principes de fond (traiter loyalement, pour une finalité précise, avec une base légale, en informant les personnes, en sécurisant les données, en respectant leurs droits). Se mettre en conformité avec ces principes vous rapproche du respect de la plupart des lois, même si les détails et formalités diffèrent. Recommandation : identifiez d'abord la loi applicable dans votre pays (et l'autorité compétente) ; déterminez ensuite si vous traitez des données de personnes de l'UE (auquel cas le RGPD entre en jeu) ou d'autres régions réglementées ; et, en cas d'activité internationale ou de doute, faites-vous conseiller, car la question de la loi applicable et du cumul des réglementations est technique. Ne présumez jamais qu'« être loin de l'Europe » vous dispense de toute obligation : la protection des données est aujourd'hui un enjeu quasi universel.

Votre impression est largement juste, et c'est un bon point de départ : la notion de donnée personnelle est volontairement très large, et la plupart des entreprises traitent bien plus de données personnelles qu'elles ne le croient. Plutôt que de chercher ce qui est concerné, il est souvent plus simple de partir du principe que toute information se rapportant à une personne physique identifiable l'est, puis de recenser où se trouvent ces informations chez vous. Faisons le tour concret. Vos clients : noms, prénoms, adresses, e-mails, téléphones, historiques d'achats, préférences, numéros de compte — tout cela est de la donnée personnelle. Vos prospects : les contacts commerciaux, les fichiers de démarchage, les personnes inscrites à une newsletter, les cartes de visite saisies dans un tableur. Vos salariés et candidats : dossiers du personnel, CV reçus, données de paie, coordonnées, évaluations — la relation d'emploi génère énormément de données personnelles, souvent sensibles. Vos fournisseurs et partenaires : les personnes de contact chez eux (nom, e-mail, téléphone). Les utilisateurs de votre site ou application : comptes, identifiants, adresses IP, cookies, données de connexion, éventuellement de géolocalisation. Les personnes qui vous écrivent (formulaire de contact, e-mails, messages). Et par recoupement, une foule d'autres éléments : un identifiant client, un numéro de commande, une plaque, une photo, un enregistrement vidéo de surveillance, une voix — dès que cela permet de remonter à une personne, c'est concerné. Vous voyez que « c'est presque tout » n'est pas loin de la vérité : dès qu'une information désigne ou permet d'identifier quelqu'un, elle entre dans le champ. Quelques nuances utiles toutefois. D'abord, les données purement anonymes (qui ne permettent, par aucun moyen raisonnable, de réidentifier une personne) sortent du champ — mais la vraie anonymisation est technique et souvent plus difficile qu'on ne le pense ; des données « pseudonymisées » (où l'identification reste possible par une clé) restent, elles, des données personnelles. Ensuite, les données concernant des personnes morales (une société en tant que telle) ne sont en principe pas des données personnelles — mais les personnes de contact au sein de ces sociétés, si. Enfin, certaines données sont sensibles (santé, opinions, origine, orientation, biométrie…) et appellent une vigilance renforcée. Ce que cela implique pratiquement : la première étape de toute mise en conformité est de cartographier vos traitements — c'est-à-dire lister, pour chaque activité (gestion clients, prospection, paie, site web, vidéosurveillance…), quelles données personnelles vous collectez, pourquoi, où elles sont stockées, qui y a accès, combien de temps vous les gardez, à qui vous les transmettez. Cet inventaire (qui prépare le « registre des traitements » de la leçon suivante) est souvent révélateur : les entreprises découvrent qu'elles détiennent des données un peu partout (tableurs, boîtes mail, logiciels, sauvegardes, outils en ligne), parfois oubliées, parfois excessives. C'est le point de départ pour appliquer les principes : ne garder que le nécessaire (minimisation), pour une finalité claire, avec une base légale, en sécurisant et en informant. Ne cherchez donc pas à vous convaincre que « ça ne me concerne pas » : partez plutôt de l'idée que la plupart de vos fichiers contiennent des données personnelles, faites l'inventaire, et traitez-les avec les bons réflexes. C'est moins effrayant qu'il n'y paraît une fois qu'on a cartographié — et c'est indispensable, car les sanctions en cas de manquement peuvent être lourdes (leçon 3.5).