Toute opération ou ensemble d'opérations portant sur des données personnelles, comme la collecte, l'enregistrement, la consultation ou la suppression.
Définition complète
Au sens de l'article 4(2) du RGPD, le traitement de données est une notion extrêmement large. Il ne s'agit pas seulement d'une analyse informatique complexe, mais de toute action effectuée sur des données à caractère personnel. Dès qu'une information permet d'identifier une personne physique (nom, email, IP, numéro de téléphone), toute manipulation de cette donnée constitue un traitement.
Le traitement englobe l'intégralité du cycle de vie de la donnée : depuis sa collecte (formulaire de contact) et son enregistrement (stockage en base de données), jusqu'à son utilisation (envoi d'une newsletter), sa consultation (lecture d'un dossier client par un commercial) et sa suppression définitive. Le traitement peut être automatisé (logiciel CRM) ou non automatisé, dès lors que les données sont organisées selon une structure particulière (classeur papier alphabétique).
Pour un dirigeant de PME, comprendre cette définition est crucial car c'est le déclencheur de toutes les obligations légales du RGPD. Si vous effectuez un 'traitement', vous devez alors justifier d'une base légale (consentement, contrat, intérêt légitime), tenir un registre des activités de traitement (article 30) et garantir les droits des personnes concernées.
Exemple concret en PME
Une PME qui gère sa paie effectue plusieurs traitements : la collecte des RIB et coordonnées bancaires des salariés, le stockage de ces données dans un logiciel de comptabilité, la transmission mensuelle des informations à l'URSSAF et, enfin, l'archivage sécurisé des bulletins de salaire pendant la durée légale de conservation.
L'erreur fréquente à éviter
L'erreur classique est de croire que le RGPD ne s'applique qu'aux données numériques. Or, un simple fichier Excel ou même un répertoire papier contenant des noms et numéros de téléphone de clients est considéré comme un traitement de données et doit être sécurisé et répertorié dans le registre.