Le RGPD s’applique-t-il à votre entreprise hors de l’UE ? Les deux critères, avec exemples

Le RGPD ne s’arrête pas aux frontières de l’Union européenne. Une entreprise installée à Genève, Montréal, Casablanca, Tunis, Londres ou New York peut y être soumise, et l’article 3 du règlement dit quand, avec deux critères : avoir un établissement dans l’UE, ou cibler des personnes qui s’y trouvent, en leur proposant des biens ou des services ou en suivant leur comportement. Pour une entreprise hors UE, le RGPD s’applique donc dans certains cas seulement, et pas à tout ce qu’elle fait.

Je travaille entre Paris et Londres, avec des clients dans les deux pays : ce guide aborde donc aussi la question dans l’autre sens, celui des entreprises françaises qui vendent au Royaume-Uni ou en Suisse, deux pays qui ont leurs propres règles. Pour le reste du règlement, commencez par mon guide complet du RGPD.

RGPD et entreprise hors UE : les deux critères de l’article 3

L’article 3 du RGPD fixe son champ d’application territorial. Le Comité européen de la protection des données (CEPD, ou EDPB en anglais), qui réunit les autorités de protection des données de l’UE, parle de critère de l’établissement et de critère du ciblage, et les détaille dans ses lignes directrices 3/2018 sur le champ d’application territorial.

Un seul critère suffit. Il fait entrer dans le RGPD les traitements qui s’y rattachent : les données de vos clients dans l’UE, le suivi de vos visiteurs qui s’y trouvent. La paie de vos salariés à Montréal ne devient pas une affaire européenne parce que vous vendez à des clients en Belgique.

Critère 1 : avez-vous un établissement dans l’UE ?

Le considérant 22 du RGPD définit l’établissement comme « l’exercice effectif et réel d’une activité au moyen d’un dispositif stable », quelle que soit sa forme juridique. Une filiale ou une succursale compte sans discussion, et un bureau, un entrepôt ou une petite équipe sur place peuvent compter aussi.

Le seuil peut être bas. Selon le CEPD, un seul salarié ou agent qui agit avec une stabilité suffisante peut, dans certains cas, suffire, en particulier pour une activité en ligne. Un commercial qui signe des clients pour vous, à plein temps depuis Bruxelles, est le genre de dispositif qui peut compter. Une liste de clients européens dans votre CRM, non.

Si vous remplissez ce critère, le RGPD s’applique aux traitements effectués dans le cadre des activités de cet établissement, où que soient stockées les données. Une entreprise américaine dont le bureau de Dublin vend à des clients européens ne fait pas sortir ces données du RGPD en hébergeant son CRM en Virginie.

Critère 2 : ciblez-vous des personnes dans l’UE ?

Pour une petite équipe sans bureau en Europe, c’est le critère qui compte. Il a deux volets, et dans les deux, les personnes concernées doivent se trouver dans l’UE au moment où vous leur proposez quelque chose ou suivez leur comportement.

Proposer des biens ou des services, payants ou gratuits

L’article 3.2.a vise l’offre de biens ou de services à des personnes dans l’UE, « qu’un paiement soit exigé ou non desdites personnes ». Une newsletter, une application ou un webinaire gratuits comptent autant qu’une commande payée.

Tout se joue sur l’intention. Selon le considérant 23, il faut que vous envisagiez manifestement de proposer vos biens ou services à des personnes dans un ou plusieurs pays de l’UE. Le CEPD liste les indices qu’il examine et les apprécie ensemble, au cas par cas.

Les indices qui orientent vers l’UE :

• un pays de l’UE cité dans votre offre, comme « livraison en France et en Belgique » ;
• une langue ou une monnaie d’un pays de l’UE qui n’est pas celle d’usage chez vous, avec la possibilité de commander dans cette langue ;
• la livraison de biens dans des pays de l’UE ;
• un nom de domaine européen, comme un .fr ou un .de, ou le neutre .eu ;
• des annonces payantes sur un moteur de recherche ou des campagnes marketing qui visent un pays de l’UE ;
• un numéro de téléphone ou une adresse destinés aux clients de l’UE ;
• des indications pour venir depuis un pays de l’UE, ou des avis de clients qui y vivent.

Ce qui ne suffit pas à lui seul, selon le considérant 23 :

• votre site est accessible depuis l’UE, et des internautes de l’UE le consultent ;
• votre adresse email ou votre numéro de téléphone y figurent ;
• il est rédigé dans une langue d’usage courant dans votre pays : le français pour une entreprise du Québec, de Suisse romande, du Maroc ou de Tunisie, l’anglais pour une entreprise américaine.

Suivre le comportement

L’article 3.2.b vise le suivi du comportement des personnes, « dans la mesure où il s’agit d’un comportement qui a lieu au sein de l’Union ». Le considérant 24 vise surtout le suivi sur internet, y compris le profilage, pour analyser ou prédire les préférences et les comportements d’une personne.

Le CEPD précise que toute collecte de données en ligne n’est pas un suivi : il faut une finalité de collecte et de réutilisation de données sur le comportement des personnes. Parmi ses exemples : la publicité comportementale, le pistage par cookies ou par empreinte numérique (fingerprinting), la géolocalisation à des fins marketing, les services en ligne d’analyse personnalisée du régime alimentaire ou de la santé, et les études de marché fondées sur des profils individuels.

Six exemples, du cas évident au cas probablement hors champ

Dans un cas réel, un détail peut faire basculer la réponse.

Un éditeur de logiciel américain qui vend des abonnements en Europe

Un outil de gestion de projet basé à Austin affiche ses prix en euros, propose des pays de l’UE au moment du paiement et diffuse des publicités LinkedIn qui visent l’Allemagne. Il propose ses services à des personnes dans l’UE : le RGPD s’applique à ses données de comptes, de facturation, de support et de marketing. Pour les fichiers que ses clients stockent dans l’outil, il agit en général comme leur sous-traitant, lié par un contrat conforme à l’article 28.

Une agence de Montréal ou de Genève avec des clients en France

Son site est en français, ce qui ne prouve rien : c’est une langue de son marché d’origine. Des devis en euros, une page destinée aux entreprises françaises, des logos de clients lyonnais et des annonces Google qui visent la France montrent en revanche une intention. Vendre à des entreprises plutôt qu’à des particuliers ne la sort probablement pas du champ : les noms, emails et numéros de téléphone de ses interlocuteurs sont des données personnelles.

Une boutique britannique qui livre en Irlande et en France

Établie au Royaume-Uni, elle applique le UK GDPR à toute son activité. Ses ventes à des personnes dans l’UE y ajoutent le RGPD pour les données de ces clients. Sans établissement dans l’UE, elle doit très probablement désigner un représentant dans l’UE : des ventes régulières ne sont pas le traitement « occasionnel » que vise l’exemption.

Une boutique en ligne de Casablanca ou de Tunis qui livre en France

Une boutique en français, avec des prix en euros, la livraison en France et en Belgique et des publicités Instagram qui visent Paris, propose ses biens à des personnes dans l’UE. Le RGPD s’applique aux données de ces clients, un représentant dans l’UE est nécessaire sauf exemption, et la loi nationale de la boutique continue de s’appliquer chez elle.

Une application gratuite qui profile ses utilisateurs pour la publicité

Une application québécoise de recettes ne vend rien, mais elle enregistre ce que chaque utilisateur cuisine et où il se trouve, pour lui montrer des publicités ciblées. Ses utilisateurs en Belgique et en France sont suivis pendant qu’ils sont dans l’UE : le RGPD couvre ce suivi, que l’application soit gratuite ou non, et même si elle vise d’abord le Québec.

Un restaurant new-yorkais dont le site est consulté par des touristes européens

Le site est en anglais, les prix sont en dollars, les repas sont servis à New York, rien ne vise l’Europe et aucun pixel publicitaire ne profile ses visiteurs. Des touristes qui réservent une table depuis Paris avant leur voyage ne révèlent aucune intention de cibler l’UE : le RGPD ne s’applique très probablement pas. Des pages en français et en allemand pour les groupes de voyageurs européens, avec des publicités diffusées en Europe, pourraient changer la donne.

Ce qui s’applique une fois dans le champ

Tout le règlement s’applique aux traitements concernés, comme pour une entreprise de l’UE :

• une base légale pour chaque utilisation des données (article 6) ;
• l’information des personnes lors de la collecte (articles 13 et 14), c’est-à-dire en pratique une politique de confidentialité avec les bonnes rubriques ;
• les droits des personnes, avec une réponse sous un mois (article 12.3) ;
• des mesures de sécurité, et la notification des violations de données à l’autorité dans les 72 heures quand elle est obligatoire (article 33) ;
• des contrats avec vos sous-traitants (article 28) et un registre de vos traitements (article 30).

Un représentant dans l’UE, dans la plupart des cas

Si le RGPD s’applique à vous par le critère du ciblage et que vous n’avez pas d’établissement dans l’UE, l’article 27 vous impose de désigner par écrit un représentant dans l’un des pays de l’UE où se trouvent les personnes concernées. L’exemption est étroite : un traitement occasionnel, sans données sensibles ou pénales à grande échelle et peu susceptible de présenter un risque pour les personnes, plus les autorités et organismes publics. Mon guide sur le représentant dans l’UE explique qui doit en désigner un, et comment.

Pas de guichet unique

Une entreprise de l’UE active dans plusieurs pays traite surtout avec une autorité chef de file, celle du pays de son établissement principal. Sans établissement dans l’UE, vous n’avez pas d’autorité chef de file, et désigner un représentant n’en crée pas : l’autorité de chaque pays de l’UE où se trouvent vos utilisateurs peut agir, la CNIL pour la France. En cas de violation de données à notifier, vous devez donc prévenir l’autorité de chaque pays de l’UE où vivent des personnes touchées.

Les autorités agissent bel et bien contre des entreprises hors UE. En mai 2021, l’autorité néerlandaise, l’Autoriteit Persoonsgegevens, a annoncé une amende de 525 000 € contre Locatefamily.com pour n’avoir désigné aucun représentant dans l’UE depuis mai 2018. Le site publiait les adresses et les numéros de téléphone de particuliers ; faute de représentant, les personnes avaient du mal à faire supprimer leurs données, et l’autorité avait reçu 19 plaintes. Le manquement à l’article 27 relève du plafond le plus bas : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83.4).

Champ d’application et transferts, deux questions distinctes

L’article 3 dit si le RGPD s’applique à vous. Le chapitre V, sur les transferts internationaux, pose une autre question : celle des données personnelles transmises par un acteur soumis au RGPD à un destinataire situé hors de l’UE. Dans ses lignes directrices 05/2021, le CEPD ne considère pas comme un transfert les informations que des personnes dans l’UE saisissent elles-mêmes sur votre site, mais transmettre leurs données à une autre entreprise hors UE, par exemple un outil d’emailing américain, peut en être un. Mon article sur les outils américains et le Data Privacy Framework traite ce volet.

La même logique au Royaume-Uni et en Suisse

Depuis le 1er janvier 2021, le Royaume-Uni applique sa propre version du règlement, le UK GDPR, avec les deux mêmes critères, « le Royaume-Uni » remplaçant « l’Union ». Une entreprise française qui vend à des personnes au Royaume-Uni ou suit leur comportement y est soumise pour ces traitements et, sans établissement britannique, doit en général désigner un représentant au Royaume-Uni, avec la même exemption étroite. L’ICO, l’autorité britannique, explique à qui s’applique le UK GDPR ; ses guides prennent l’exemple d’une entreprise commerciale irlandaise sans bureau au Royaume-Uni mais avec une clientèle britannique régulière : elle doit y désigner un représentant.

Le Royaume-Uni a aussi commencé à s’éloigner du texte européen. Le Data (Use and Access) Act 2025 a reçu la sanction royale le 19 juin 2025, et ses dispositions sont mises en vigueur par étapes depuis cette date. Au 19 octobre 2026, plusieurs s’appliquent déjà, comme le relèvement des amendes maximales prévues par le PECR (les règles britanniques sur la prospection électronique et les cookies), en vigueur depuis février 2026 ; mon article sur ce que change le Data (Use and Access) Act donne le détail. Une entreprise française qui vend outre-Manche applique donc deux régimes très proches : bâtissez un seul socle de documents, et notez les points où ils divergent.

La nouvelle loi suisse sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, s’applique aux situations qui produisent des effets en Suisse, même si elles naissent à l’étranger (article 3). Certaines entreprises étrangères doivent aussi désigner un représentant en Suisse (article 14), mais seulement quand leurs traitements liés à des personnes en Suisse sont à la fois d’envergure, réguliers et à risque élevé. Un représentant dans l’UE ne vaut pas pour la Suisse.

Votre loi nationale continue aussi de s’appliquer : la Loi 25 pour une agence québécoise, la loi 09-08 pour une boutique marocaine.

Vérifiez votre cas en sept étapes

1. Regardez où sont vos clients. Exportez vos commandes par pays de livraison, puis vos contacts CRM et vos abonnés à la newsletter par pays. Les chiffres montrent l’enjeu, pas le fait que vous cibliez l’UE.
2. Lisez votre site et vos publicités comme le ferait une autorité. Notez chaque indice de la liste ci-dessus : monnaies, langues, noms de domaine, pays de livraison, numéros de téléphone, avis clients, ciblage publicitaire.
3. Listez vos traceurs. Mesure d’audience, pixels publicitaires, enregistrement de sessions, SDK intégrés à votre application : lesquels fonctionnent pour les visiteurs de l’UE, et construisent-ils des profils ?
4. Vérifiez si quelqu’un travaille pour vous sur place. Une personne qui travaille pour vous de façon stable depuis un pays de l’UE peut suffire à remplir le critère de l’établissement, pour les traitements liés à son travail.
5. Écrivez votre décision. Une page datée : dans le champ ou non, selon quel critère, et pourquoi. Revoyez-la à chaque nouveau marché, nouvelle langue ou nouvelle campagne.
6. Si vous êtes dans le champ, mettez à jour votre politique de confidentialité, demandez le consentement des visiteurs de l’UE avant de les suivre (mon article sur les règles du bandeau cookies montre ce qu’est un bandeau valable), désignez un représentant sauf exemption, et vérifiez les contrats et les conditions de transfert de vos outils.
7. Si vous préférez rester hors champ, faites en sorte que votre site le reflète : pas de prix en euros, pas de livraison dans l’UE, pas de publicités visant des pays de l’UE et pas de profils publicitaires des visiteurs de l’UE.

Quand faire appel à un avocat

Ce guide donne des informations générales, pas un conseil juridique. Vous n’avez pas besoin d’un avocat pour appliquer les deux critères à votre propre entreprise : la plupart des cas sont clairs une fois les étapes 1 à 4 faites. Un avocat se justifie quand la réponse est incertaine et l’enjeu élevé : données de santé ou de mineurs, gros volumes, plainte, courrier d’une autorité, ou grand client qui vous demande des clauses RGPD que vous ne comprenez pas. Le représentant lui-même est souvent un cabinet spécialisé ou un cabinet d’avocats qui agit sur mandat écrit.

La partie site web, c’est-à-dire un bandeau de consentement qui bloque les traceurs tant que les visiteurs de l’UE n’ont pas accepté et une page de confidentialité qui nomme votre représentant, fait partie des sites que je réalise ; l’analyse juridique reste le travail de votre avocat.