Nouveau pays : revoir le périmètre RGPD du service
Préparer l’extension d’un service à un nouveau territoire : établissement, public visé, accès aux données et information des personnes.
Un service français ouvre son application à un nouveau marché. Traduire la notice constitue une étape, mais ne résout pas toutes les questions : nouvelle société opératrice, assistance locale, accès aux dossiers et règles nationales peuvent modifier le traitement. Une revue territoriale doit partir de l’organisation envisagée et des flux réels.
Ce qu’il faut retenir
- Le champ du RGPD dépend notamment de l’établissement et des activités visées, pas uniquement de la nationalité des personnes.
- Un nouveau marché peut introduire de nouveaux responsables, sous-traitants ou destinataires.
- La localisation du public et celle des accès aux données sont deux questions distinctes.
- Les particularités du droit local doivent être identifiées pour le traitement concret.
Reconstituer le scénario de déploiement
Décrivez l’entité qui propose le service, celle qui contracte, celle qui décide des usages de données et les équipes qui accèdent aux dossiers. L’ouverture commerciale d’un territoire ne signifie pas toujours création d’un établissement ; l’absence de nouvelle société ne signifie pas absence de nouveaux flux.
L’article 3(1) applique le RGPD aux traitements effectués dans le cadre des activités d’un établissement dans l’Union, que le traitement ait lieu ou non dans l’Union. L’article 3(2) vise certaines activités d’organismes non établis dans l’Union concernant des personnes qui s’y trouvent, notamment l’offre de biens ou services et le suivi de leur comportement dans l’Union. RGPD, chapitre I.
Il faut donc éviter de raisonner seulement à partir du passeport du client ou de l’adresse du serveur.
Utiliser une fiche d’extension territoriale
| Volet | Informations à réunir | Décision à préparer |
|---|---|---|
| Organisation | Entités, établissements et décisions | Qualification des rôles |
| Public | Localisation, parcours et catégories de personnes | Champ territorial et règles particulières |
| Accès | Équipes, fournisseurs et lieux de connexion | Sécurité et transferts éventuels |
| Information | Langues, canaux et nouveaux destinataires | Notice adaptée et moment de diffusion |
| Droits | Contacts, langue de réponse et outils | Procédure effectivement accessible |
| Conservation | Obligations et usages propres au territoire | Règles justifiées par catégorie |
Exemple hypothétique : le service conserve son équipe de décision en France, mais confie une assistance à une société située hors de l’Espace économique européen. Les données restent hébergées dans l’Union. Il faut néanmoins examiner l’accès donné à cette société et le régime de transfert applicable. Le guide du support hors UE traite cette situation.
Identifier les exigences qui changent réellement
Le chapitre V du RGPD encadre les transferts vers les pays tiers et organisations internationales. La simple mention « hébergement européen » ne décrit pas tous les accès, sous-traitants et outils de diagnostic. RGPD, chapitre V.
Parallèlement, vérifiez les règles nationales pertinentes selon le secteur : traitement de certaines catégories de données, obligations de conservation ou modalités particulières prévues par le droit applicable. N’appliquez pas automatiquement à tous les pays une règle française liée à une activité réglementée.
Si une société distincte rejoint le dispositif, qualifiez ses décisions par finalité. L’accord entre responsables distincts ne convient pas automatiquement à une situation de sous-traitance ou de responsabilité conjointe.
Préparer les interlocuteurs et la documentation
Un traitement transfrontalier peut relever des mécanismes de coopération entre autorités prévus par le RGPD. L’autorité compétente et, le cas échéant, le mécanisme de guichet unique dépendent de conditions précises ; ils ne se choisissent pas librement en fonction de la langue du site. CNIL, coopération et cohérence.
Mettez à jour le registre, les contrats, les informations et la procédure des droits. Lorsque plusieurs enseignes ou entités interviennent, la coordination des demandes doit permettre à la personne de trouver un interlocuteur sans connaître votre organigramme.
Conservez la version du scénario examiné et les conditions préalables au lancement. Une nouvelle équipe locale ou un fournisseur ajouté ensuite peut nécessiter une nouvelle revue.
FAQ
Un client situé hors de l’Union sort-il automatiquement du RGPD ?
Non. Le traitement peut relever de l’article 3(1) lorsqu’il est effectué dans le cadre des activités d’un établissement dans l’Union. Analysez le contexte concret.
Une traduction automatique de la notice suffit-elle ?
La notice doit rester exacte et compréhensible pour le public visé. Vérifiez les termes, les contacts, les droits et les particularités du parcours plutôt que de valider uniquement la présence d’une langue supplémentaire.
Une société française doit-elle désigner un représentant dans l’Union à chaque extension ?
L’article 27 vise certaines situations relevant de l’article 3(2) pour des organismes non établis dans l’Union, avec ses exceptions. Il ne crée pas une obligation générale de nouveau représentant pour toute extension d’une société française.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.