<p>Le RGPD s'applique très largement à toutes les organisations traitant des données personnelles dans l'UE ou ciblant des personnes dans l'UE. Concrètement : presque toutes les entreprises, associations, organismes publics, et même certains particuliers (entreprises individuelles). Comprendre l'application territoriale et matérielle est essentiel pour ne pas être en infraction.</p><h2>Application matérielle</h2><p>Article 2 du RGPD : s'applique au traitement de données à caractère personnel, automatisé en tout ou partie. Exclusions : activités purement personnelles ou domestiques (carnet d'adresses privé, photos de famille), sécurité nationale, autorités pénales compétentes. Concrètement : toute organisation qui collecte/traite des données identifiantes (nom, email, IP, cookies, biométrie, etc.) est concernée.</p><h2>Application territoriale</h2><p>Article 3 du RGPD : (1) toute organisation établie dans l'UE, peu importe où sont traitées les données. (2) Organisation hors UE qui offre des biens/services à des personnes dans l'UE (vente en ligne, applications mobiles) ou surveille leur comportement (analytics, profilage). Effet extraterritorial étendu : impacte les entreprises américaines, asiatiques, etc. ciblant le marché européen.</p><h2>Entreprises concernées</h2><p>Toutes : grandes entreprises, PME, TPE, indépendants/freelances, micro-entrepreneurs. Sites web avec formulaire de contact = traitement de données. Newsletter = traitement. CRM = traitement. Système RH = traitement. Comptabilité = traitement (factures avec coordonnées). Très peu d'activités professionnelles échappent au RGPD. Adaptation des mesures selon taille et risque, mais pas d'exonération de principe.</p><h2>Associations et collectivités</h2><p>Associations loi 1901 : concernées dès qu'elles gèrent des adhérents, donateurs, bénévoles, participants. Collectivités territoriales : concernées par les services publics, état civil, social, scolaire. Établissements publics et autorités administratives : concernés + DPO obligatoire. Universités, hôpitaux, syndicats professionnels : tous concernés. Sanctions adaptées à la taille mais conformité exigée.</p><h2>Particuliers</h2><p>Activité personnelle pure (carnet d'adresses, blog personnel sans profilage) : exclus du RGPD. Activité professionnelle (auto-entrepreneur, profession libérale, freelance) : concernés intégralement. Diffusion publique massive (réseaux sociaux avec millions d'abonnés, blogueurs avec monétisation) : zone grise, la CNIL est plutôt souple mais en cas de plaintes (diffamation, données d'autrui) le RGPD peut s'appliquer.</p>