Quand le RGPD s’applique-t-il à une entreprise hors de l’Union ?
Lorsque votre traitement cible des personnes dans l’Union. L’article 3.2 du règlement général sur la protection des données (RGPD), règlement (UE) 2016/679, vérifié en octobre 2026, l’applique au responsable du traitement ou au sous-traitant non établi dans l’Union qui traite les données de personnes qui s’y trouvent, si le traitement est lié à l’offre de biens ou de services à ces personnes, ou au suivi de leur comportement.
Établie dans l’Union, ou non
Premier critère, l’article 3.1 : le traitement effectué dans le cadre d’un établissement dans l’Union relève du RGPD. L’établissement suppose l’exercice effectif et réel d’une activité au moyen d’un dispositif stable, succursale ou filiale (considérant 22). Une entreprise dotée d’une filiale ou d’une succursale en France, options comparées dans le guide pour créer une entreprise en France, y est soumise par cet établissement, non par l’article 3.2.
L’offre de biens ou de services, payants ou non
L’article 3.2 a) s’applique « qu’un paiement soit exigé ou non desdites personnes ». Le Comité européen de la protection des données (CEPD), dans ses lignes directrices 3/2018 relatives au champ d’application territorial du RGPD, adoptées le 12 novembre 2019 et vérifiées en octobre 2026, précise que la nationalité est indifférente et que le texte « vise les activités qui ciblent intentionnellement, plutôt que par inadvertance ou incidemment, des personnes dans l’Union ».
Un site simplement accessible depuis l’Union, une adresse électronique ou la langue de votre pays ne suffisent pas (considérant 23). Le CEPD retient des indices, éventuellement combinés :
- l’Union ou un État membre nommé en référence au bien ou au service ;
- un référencement payant ou une publicité destinés au public d’un État membre ;
- une langue ou une monnaie d’un État membre, autre que celles de votre pays ;
- un domaine en « .de » ou « .eu », ou la livraison dans les États membres.
Le suivi du comportement dans l’Union
L’article 3.2 b) vise le suivi d’un comportement qui a lieu au sein de l’Union. Le considérant 24 renvoie au suivi des personnes sur internet, profilage compris. Le CEPD cite la publicité comportementale, la géolocalisation commerciale, le suivi par cookies ou par prise d’empreintes et l’analyse de santé en ligne.
Que prévoit l’article 27 ?
Un représentant dans l’Union. Selon l’article 27.1 du RGPD, lorsque l’article 3.2 s’applique, le responsable du traitement ou le sous-traitant désigne par écrit un représentant dans l’Union. L’entreprise qui s’en abstient « violerait le règlement », ajoute le CEPD.
Qui peut être votre représentant
Toute « personne physique ou morale établie dans l’Union », désignée par écrit pour vous représenter quant à vos obligations au titre du RGPD (article 4.17). Le CEPD cite les cabinets d’avocats, de conseil et les sociétés privées, et recommande un contact principal unique quand une organisation assume la fonction.
Dans quel État membre
Dans l’un des États membres où se trouvent les personnes dont vous traitez les données pour votre offre ou votre suivi (article 27.3). Si une proportion significative d’entre elles se trouve dans un même État membre, le CEPD recommande, à titre de bonne pratique, d’y établir le représentant, facilement accessible depuis les autres. Le lieu de vos serveurs est indifférent.
Un représentant à Londres ne répond pas à l’article 27 ; le Royaume-Uni a sa propre règle : selon l’ICO, l’autorité britannique, l’entreprise basée hors du Royaume-Uni et sans établissement sur place qui y offre des biens ou services, ou y suit le comportement des personnes, doit y désigner un représentant (mise à jour du 15 janvier 2026, vérifiée en octobre 2026).
Les sous-traitants aussi
L’article 27.1 vise aussi le sous-traitant. Lorsqu’un responsable du traitement cible des personnes dans l’Union, tout sous-traitant chargé de ce traitement pour son compte relève aussi de l’article 3.2, estime le CEPD. Le prestataire de clients établis dans l’Union est, lui, soumis indirectement au RGPD par le contrat de l’article 28, selon les lignes directrices : c’est l’objet du guide du contrat de sous-traitance RGPD.
Quand pouvez-vous vous passer de représentant ?
Dans deux cas seulement. L’article 27.2 écarte l’obligation pour un traitement occasionnel, sans traitement à grande échelle de catégories particulières de données ou de données pénales, et qui n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes ; et pour les autorités et organismes publics.
Un établissement dans l’Union vous place hors de l’article 27 : le RGPD s’applique par l’article 3.1. Sans établissement, ni offre ni suivi dans l’Union : pas de RGPD à ce titre. Avec l’un ou l’autre, seule l’exception évite un représentant dans un État membre où sont vos utilisateurs.
Trois conditions cumulatives
- Occasionnel. Seulement si l’activité de traitement « n’est pas effectuée régulièrement et qu’elle a lieu en dehors du cours normal des affaires ou des activités du responsable du traitement ou du sous-traitant », pour le CEPD.
- Pas de données sensibles ou pénales à grande échelle. Celles des articles 9.1 et 10, comme les données de santé ; l’échelle tient au nombre de personnes, au volume, à la durée et à l’étendue géographique.
- Non susceptible d’engendrer un risque. Un risque quelconque, souligne le CEPD, pas seulement un risque élevé.
À cette aune, des ventes régulières vers l’Union ne sont pas occasionnelles. Les autorités publiques (article 27.2 b)) relèvent du droit national, selon le CEPD.
Votre situation au regard du texte
| Votre situation | Représentant obligatoire ? | Pourquoi |
|---|---|---|
| Boutique en ligne américaine livrant en France, site en français, prix en euros | Oui | Livraison, langue et monnaie révèlent l’offre (CEPD, exemple 14) ; ventes régulières |
| Application hors de l’Union exploitant la localisation d’utilisateurs dans l’Union pour sa publicité | Oui | Géolocalisation commerciale : suivi au sens de l’article 3.2 b) (CEPD, exemple 9), régulier |
| Éditeur SaaS hors de l’Union vendant des abonnements à des entreprises françaises, en euros | À apprécier, activité par activité | Ses comptes et sa prospection renvoient à l’article 3.2 a) ; pour les données hébergées, les lignes directrices regardent d’abord où le client est établi |
| Cabinet de conseil hors de l’Union avec quelques clients professionnels en France | À apprécier | Pas d’exemple de services aux entreprises dans les lignes directrices ; un travail régulier n’est pas occasionnel |
| Société américaine remboursant ses salariés en déplacement en France | Non, à ce titre | Gérer ses salariés n’est pas offrir un service (CEPD, exemple 13) |
| Entreprise dotée d’une filiale ou d’une succursale en France | Pas au titre de l’article 27 | Le RGPD s’applique par l’article 3.1 |
Que fait le représentant ?
Il est votre adresse dans l’Union : selon l’article 27.4, « les autorités de contrôle et les personnes concernées doivent s’adresser » à lui, « en plus ou à la place du responsable du traitement ou du sous-traitant, pour toutes les questions relatives au traitement ».
| Mission | Ce que cela signifie | Article du RGPD |
|---|---|---|
| Interlocuteur | Autorités et personnes concernées peuvent s’adresser à lui plutôt qu’à vous | Article 27.4 |
| Registre | Il tient le registre et le met à la disposition de l’autorité sur demande | Articles 30.1, 30.2 et 30.4 |
| Coopération | Il coopère avec l’autorité de contrôle, à sa demande | Article 31 |
| Demandes d’information | L’autorité peut lui ordonner de communiquer toute information utile | Article 58.1 a) |
Le registre des activités de traitement
Selon l’article 30, chaque responsable du traitement « et, le cas échéant, le représentant du responsable du traitement tiennent un registre des activités de traitement », de même que les sous-traitants. Pour le CEPD, vous répondez de son contenu et de ses mises à jour ; le représentant doit pouvoir le produire à la demande d’une autorité. La dispense des moins de 250 salariés tombe si le traitement n’est pas occasionnel (article 30.5).
Coopération et demandes d’exercice des droits
Une autorité contacte le représentant pour toute question de conformité ; il facilite l’échange avec vous, en principe dans la langue des autorités et des personnes, selon le CEPD. Sans répondre lui-même des droits des personnes, il facilite la communication pour qu’ils soient effectifs ; répondre aux demandes reste votre affaire.
Que n’est pas le représentant ?
Ni un délégué à la protection des données, ni un établissement. Ni, pour le CEPD, votre sous-traitant : le cumul expose à des conflits en cas de procédure coercitive.
Pas un délégué à la protection des données
Le délégué à la protection des données, ou DPO, obligatoire dans les cas de l’article 37.1, ne reçoit aucune instruction pour ses missions (article 38.3) ; le représentant agit sur votre mandat. Le CEPD juge les deux fonctions incompatibles pour un DPO externe établi dans l’Union. Le guide pratique de la CNIL sur les délégués à la protection des données, vérifié en octobre 2026, précise que le représentant « ne peut en principe pas être désigné DPO pour cet organisme car cela constituerait un conflit d’intérêts ».
Pas un établissement, pas de guichet unique
« La présence du représentant dans l’Union ne constitue pas un “établissement” », affirme le CEPD. Selon l’article 56.1, l’autorité de l’établissement principal ou unique est chef de file pour le traitement transfrontalier ; sans établissement, une entreprise « ne peut bénéficier du mécanisme de guichet unique prévu à l’article 56 du RGPD ». Chaque autorité reste compétente sur son territoire (article 55.1).
Qui est responsable, et quelles amendes ?
Vous. Selon l’article 27.5, la désignation « est sans préjudice d’actions en justice qui pourraient être intentées contre le responsable du traitement ou le sous-traitant lui-même ».
Ce que disent les lignes directrices du représentant
« Le RGPD n’établit pas une responsabilité substitutive du représentant en lieu et place du responsable du traitement ou du sous-traitant qu’il représente dans l’Union », écrit le CEPD. Mais selon le considérant 80, il « devrait faire l’objet de procédures coercitives en cas de non-respect du présent règlement par le responsable du traitement ou le sous-traitant », et les autorités peuvent, pour le CEPD, lui adresser les mesures correctrices et amendes qui vous visent (articles 58.2 et 83).
Sa responsabilité directe reste étroite : « La possibilité de tenir un représentant directement responsable est toutefois limitée à ses obligations directes visées à l’article 30 et à l’article 58, paragraphe 1, point a), du RGPD ».
Les amendes, et la CNIL en France
L’article 27 figure parmi les articles 25 à 39, dont la violation expose, selon l’article 83.4 a) du RGPD, à des amendes jusqu’à 10 000 000 euros ou, « dans le cas d’une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ». Taire le représentant dans votre politique de confidentialité manque à la transparence, relève le CEPD ; les articles 13 et 14 relèvent de l’article 83.5 b) : jusqu’à 20 000 000 euros ou 4 %.
En France, l’autorité est la CNIL, Commission nationale de l’informatique et des libertés, selon l’article 8 de la loi n° 78-17 du 6 janvier 1978, dite Informatique et libertés, vérifié en octobre 2026.
Comment désigner un représentant en pratique ?
Par un mandat écrit, un registre des traitements à lui transmettre et une mention dans votre politique de confidentialité.
Ce que couvre le mandat écrit
Le considérant 80 veut un représentant « expressément désigné par un mandat écrit », qui, pour le CEPD, régit vos relations. Un mandat utile couvre :
- Le périmètre. Les traitements relevant de l’article 3.2, les États membres concernés et votre rôle pour chacun.
- Les coordonnées. Une adresse postale et électronique dans l’Union, et le contact principal nommé.
- Le registre. Comment et quand vous transmettez le registre et ses mises à jour.
- La coopération. Le circuit des demandes, la langue et le délai interne de réponse.
Votre politique de confidentialité
Les articles 13.1 a) et 14.1 a) exigent « l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement » dans les informations fournies aux personnes. Le CEPD les place dans la politique de confidentialité et les informations données lors de la collecte, facilement accessibles aux autorités.
L’audit de conformité RGPD de Concord cartographie vos données, établit le registre et vous dit s’il vous faut un représentant dans l’Union, un DPO ou une analyse d’impact. La politique de confidentialité et de cookies, en anglais et en français, nomme ensuite votre représentant sous les yeux de vos utilisateurs. Dites-nous où sont vos utilisateurs. Vos autres questions, des contrats à la marque, sont traitées dans le guide pour faire des affaires en France.