Votre entreprise est établie hors de l'Union et une partie de vos clients se trouve en Europe. L'article 3 du RGPD fixe trois critères pour savoir si vos traitements entrent dans son champ, détaillés par le CEPD dans ses lignes directrices 3/2018, adoptées dans leur version définitive le 12 novembre 2019. Voici comment poser le diagnostic et ce qu'implique le RGPD pour une entreprise hors UE lorsqu'il s'applique.
Quand le RGPD s'applique-t-il à une entreprise établie hors de l'UE ?
Le RGPD s'applique si l'entreprise dispose d'un établissement dans l'Union, si elle offre des biens ou des services à des personnes qui s'y trouvent, ou si elle suit leur comportement dans l'Union. Ce qui compte : la présence des personnes dans l'Union, non leur nationalité.
Un établissement dans l'Union (article 3 §1)
Sont visés les traitements effectués dans le cadre des activités d'un établissement dans l'Union, que le traitement ait lieu ou non dans l'Union. Selon le considérant 22, un établissement suppose une activité réelle et effective au moyen d'un dispositif stable, quelle que soit sa forme juridique. Selon le CEPD, un seul salarié ou agent suffisamment stable peut suffire.
L'offre de biens ou de services (article 3 §2 a)
Le traitement est lié à une offre de biens ou de services à des personnes dans l'Union, qu'un paiement soit exigé ou non. Le considérant 23 exige que l'entreprise envisage manifestement de s'adresser à elles. Le CEPD retient notamment ces indices, à apprécier ensemble :
- mention de l'Union ou d'un État membre dans l'offre ;
- campagnes marketing ou référencement payant visant un État membre ;
- langue ou monnaie d'un État membre, nom de domaine en .fr ou .eu ;
- livraison dans un État membre ou témoignages de clients européens.
Le suivi du comportement (article 3 §2 b)
Le traitement est lié au suivi du comportement de personnes, dans la mesure où ce comportement a lieu dans l'Union. Le considérant 24 vise le suivi sur internet et le profilage ; le CEPD cite la publicité comportementale, la géolocalisation commerciale ou les cookies. Toute collecte en ligne n'est pas un suivi : la finalité est déterminante.
Cinq cas concrets pour situer votre entreprise
Ce tableau donne une orientation : chaque cas s'analyse sur vos faits.
| Situation | RGPD applicable ? | Point d'attention |
|---|---|---|
| SaaS américain avec des clients européens | Oui, le plus souvent | Offre visant l'Union (article 3 §2 a). Pour les données de ses clients, il agit en général comme sous-traitant. |
| E-commerce canadien livrant en France | Oui | Livraison et prix en euros sont des indices d'offre. Représentant à désigner, sauf exception. |
| Application mobile hors UE | Selon le ciblage | Concernée si elle vise des touristes à Paris ; non si elle vise le marché américain et sert ponctuellement à un voyageur (exemples du CEPD). |
| Sous-traitant hors UE d'un client européen | Pas du seul fait du client | Lié par le contrat de l'article 28 ; le client encadre le transfert. |
| B2B avec seulement des contacts professionnels | Possible | Un e-mail professionnel nominatif est une donnée personnelle. Une prospection organisée vers l'Europe peut constituer une offre. |
Faut-il désigner un représentant dans l'UE ?
Oui, dès que le RGPD s'applique au titre de l'article 3 §2. L'article 27 impose au responsable comme au sous-traitant de désigner par écrit un représentant dans l'Union, établi dans un État membre où se trouvent les personnes concernées.
Deux exceptions existent : un traitement occasionnel, sans données sensibles ou d'infraction à grande échelle et non susceptible d'engendrer un risque pour les personnes (conditions cumulatives), et les autorités ou organismes publics. Le représentant est l'interlocuteur de chaque autorité de contrôle et des personnes. Ses coordonnées figurent dans l'information des personnes (articles 13 et 14) et le registre (article 30). Il n'est pas un DPO : le CEPD juge les deux fonctions incompatibles, faute d'indépendance. Il ne fait pas écran aux actions contre l'entreprise (article 27 §5).
Quelles obligations s'appliquent ensuite ?
L'entreprise applique alors tout le règlement en tant que responsable de traitement ou prestataire. Pour une entreprise hors UE, le RGPD impose notamment :
- un registre des traitements (article 30), mentionnant le représentant ;
- l'information des personnes (articles 13 et 14) et une réponse aux demandes de droits sous un mois, prolongeable de deux mois (article 12 §3) ;
- une sécurité adaptée (article 32) et un contrat avec chaque sous-traitant (article 28) ;
- la notification des violations à l'autorité, si possible sous 72 heures (article 33) ;
- un DPO en cas de suivi systématique ou de données sensibles à grande échelle (article 37) ;
- une analyse d'impact en cas de risque élevé (article 35).
Pourquoi l'absence d'établissement prive-t-elle du guichet unique ?
Le guichet unique (article 56) désigne une autorité chef de file, celle de l'établissement principal. Le CEPD indique qu'une entreprise sans établissement dans l'Union n'en bénéficie pas : chaque autorité nationale peut agir pour les personnes de son territoire, représentant ou non. La conformité RGPD d'une entreprise hors UE s'expose ainsi à plusieurs procédures parallèles.
Par une délibération du 17 octobre 2022, la CNIL a infligé une amende de 20 millions d'euros à Clearview AI, société établie aux États-Unis sans établissement dans l'Union, au titre du suivi du comportement, et lui a ordonné sous astreinte de cesser de collecter les données de personnes se trouvant en France. En 2021, l'autorité néerlandaise a infligé 525 000 euros à Locatefamily.com pour absence de représentant. Ce manquement relève d'un plafond de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83 §4).
Transferts et IA Act : deux sujets voisins
Tout transfert hors UE vers vos équipes doit être encadré par une décision d'adéquation ou des clauses contractuelles types. Au-delà du RGPD, une entreprise hors UE doit aussi regarder le règlement sur l'IA, qui a une portée extraterritoriale : son article 2 vise notamment les fournisseurs et déployeurs d'un pays tiers lorsque les sorties de leur système sont utilisées dans l'Union.
À retenir
- Trois critères : établissement dans l'Union, offre ciblant des personnes qui s'y trouvent, suivi de leur comportement.
- Le représentant de l'article 27 est obligatoire sauf exceptions étroites ; il n'est pas un DPO.
- Sans établissement dans l'Union, pas de guichet unique.
- Le diagnostic RGPD d'une entreprise hors UE se mène traitement par traitement et se documente dans le registre.
Définitions utiles
Tout le lexique RGPD- Représentant dans l'UELe représentant dans l'Union est la personne physique ou morale établie dans l'Union qu'un organisme situé hors de l'Union, mais soumis au RGPD, doit désigner par écrit pour le représenter auprès des autorités et des personnes concernées.
- DPOLe DPO, ou délégué à la protection des données, est la personne désignée par un organisme pour l'informer, le conseiller et contrôler qu'il respecte le RGPD. Il est aussi l'interlocuteur de la CNIL et des personnes concernées.
- CEPDLe CEPD (Comité européen de la protection des données) est l'organe de l'Union qui réunit les autorités de protection des données des États membres, dont la CNIL, pour veiller à une application cohérente du RGPD dans toute l'Europe.
- Autorité de contrôleUne autorité de contrôle est l'autorité publique indépendante qu'un État membre de l'Union européenne charge de surveiller l'application du RGPD sur son territoire. En France, il s'agit de la CNIL.
- Sous-traitantLe sous-traitant est la personne physique ou morale, l'autorité publique ou l'organisme qui traite des données personnelles pour le compte et sur instruction d'un responsable de traitement, par exemple un éditeur de logiciel en ligne ou un prestataire de paie.
- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
