Société américaine, clients européens : ce que le RGPD exige hors de l'Union
Le RGPD s'applique à une entité hors UE qui propose des services à des personnes dans l'Union. L'article 27 impose alors, dans de nombreux cas, la désignation d'un représentant dans l'UE.
Une société constituée aux États-Unis peut penser que le RGPD ne la concerne pas. C'est inexact dès qu'elle propose des biens ou des services à des personnes situées dans l'Union européenne, ou qu'elle suit leur comportement : l'article 3, paragraphe 2, étend alors le règlement à son traitement de données, même sans établissement dans l'UE. Pour un groupe dont les filiales servent une clientèle européenne depuis une structure américaine, c'est une question de conformité structurelle, pas un détail.
Le représentant dans l'Union (article 27)
Dans ce cas, l'article 27 impose en principe de désigner par écrit un représentant établi dans l'Union. Ce représentant sert de point de contact aux autorités de contrôle et aux personnes concernées ; il n'est pas responsable à la place de l'entité, qui reste seule tenue de respecter le règlement (IAPP). Une exemption existe pour un traitement occasionnel, ne portant pas sur des données sensibles à grande échelle et peu susceptible d'engendrer un risque pour les personnes ; elle est interprétée strictement, et une activité commerciale régulière envers des clients européens y entre rarement. Des autorités ont déjà sanctionné des entreprises hors UE qui n'avaient pas désigné de représentant.
Les autres éléments d'un dispositif cohérent
- La base juridique des transferts de données : lorsque des données de personnes dans l'UE sont traitées aux États-Unis, il faut un mécanisme valide — décision d'adéquation (le Data Privacy Framework pour les entreprises certifiées, dont le cadre est contesté en appel devant la Cour de justice) ou clauses contractuelles types.
- Les registres de traitement et, le cas échéant, l'analyse d'impact.
- L'information des personnes : politique de confidentialité claire, mention des droits et du contact.
- La procédure de violation de données : notification à l'autorité compétente sous 72 heures lorsque la loi l'exige.
- Les contrats avec les sous-traitants : accord de traitement des données, localisation, sous-traitants ultérieurs.
Et les autres régimes ?
Une structure qui sert aussi la Suisse ou le Canada rencontre des régimes propres — LPD/nLPD, LPRPDE — avec leurs mécanismes de transfert. La conformité d'un groupe multi-pays tient donc à une carte des régimes applicables, tenue à jour selon le lieu d'opération de chaque client, plutôt qu'à une conformité unique « RGPD » étendue à tout.
Une discipline plus qu'une formalité
Désigner un représentant et publier une politique de confidentialité ne suffisent pas si, en pratique, personne ne sait où sont les données. La conformité repose sur la connaissance des flux : quelles données, dans quels outils, hébergées où, accessibles à qui. Une gouvernance de groupe qui cartographie ces flux dès la constitution des sociétés évite d'avoir à les reconstituer sous la pression d'une demande d'autorité.
Cet article est une information générale, pas un avis juridique ; la situation de chaque entité doit être analysée au cas par cas.