Pour rappel, le traitement est défini par le RGPD comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction » (RGPD, art. 4, 2).
Ainsi, le texte ne distingue pas selon que l’action sur la donnée personnelle soit automatisée ou manuelle.
En pratique, le RGPD s’applique sur tout traitement manuel à une condition: si les données personnelles sont dans un fichier (alors que pour un traitement automatisé, la présence d’un fichier n’est pas nécessaire à l’application du RGPD).
Le fichier est défini par le texte comme « tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique» (RGPD, art. 4, 6). En revanche, ne sont pas considérés comme des fichiers « les dossiers ou ensembles de dossiers de même que leurs couvertures, qui ne sont pas structurés selon des critères déterminés » (RGPD, considérant 15).