Le RGPD s’applique-t-il hors de l’Union européenne ?

Le RGPD s’applique-t-il hors de l’Union européenne à une entreprise qui y est réellement locale ? Pas nécessairement: la simple possibilité d’ouvrir son site depuis l’Union ne constitue pas, à elle seule, une offre ciblée ¹. L’analyse porte sur chaque traitement et sur les routes précises de l’article 3, plutôt que sur une étiquette attribuée une fois pour toutes à l’entreprise ².

Trois routes principales doivent être examinées: le contexte d’un établissement pertinent dans l’Union, l’offre de biens ou services à des personnes dans l’Union, et le suivi de leur comportement dans l’Union ¹. Les lignes directrices territoriales montrent pourquoi les faits opérationnels, notamment l’intention de cibler ou la finalité du suivi, comptent davantage que le seul lieu du siège ².

Réponse rapide — Le RGPD s’applique hors de l’Union lorsqu’un traitement entre dans le contexte d’un établissement pertinent, vise intentionnellement des personnes dans l’Union ou suit leur comportement dans l’Union. Comme l’accessibilité seule ne suffit pas, analysez chaque activité séparément, puis examinez l’article 27 seulement après une route positive.

Pour de nombreuses entreprises non européennes qui desservent uniquement leur marché local, sans établissement lié, sans offre dirigée vers l’Union et sans suivi dans l’Union, la réponse peut être non. Ce non doit être documenté aussi clairement qu’un oui, car un nouveau canal de livraison, une campagne ou une fonction de suivi peut changer la route applicable.

Dernière mise à jour : 26 août 2026

Commencer par le traitement, jamais par le siège

L’article 3 ne se résume pas à la question « où la société est-elle immatriculée ? ». Il faut d’abord délimiter une opération de traitement: une activité, les personnes concernées, les données utilisées, la finalité et les moyens par lesquels elle fonctionne ¹. Ce périmètre rend possible une réponse propre à l’activité.

Le siège hors de l’Union n’écarte pas automatiquement le RGPD, car une opération réalisée à distance peut être rattachée au contexte des activités d’un établissement dans l’Union, ou relever de l’offre ou du suivi prévus à l’article 3(2) ². À l’inverse, la présence d’un visiteur de l’Union sur un site n’établit pas automatiquement l’une de ces routes.

Traitez la portée comme une conclusion, non comme une identité permanente: une entreprise peut exploiter un service strictement local qui reste hors de l’article 3 et, séparément, lancer une offre intentionnellement destinée à des personnes dans l’Union. Les deux activités n’ont pas les mêmes faits et ne doivent pas recevoir une réponse commune.

Une quatrième route, étroite, existe lorsque le droit d’un État membre s’applique en vertu du droit international public ³. Elle reste distincte des trois routes opérationnelles. Ne l’utilisez pas comme une formule générale pour étendre la portée lorsque les faits relèvent simplement d’un commerce non européen.

Pour garder ce point de départ utilisable, attribuez un identifiant à l’activité et ne mélangez pas ses preuves avec celles d’un autre service. La fiche peut alors être reprise lors d’une nouvelle campagne, d’un changement d’observation ou de l’ouverture d’une présence stable. Le réexamen modifie la conclusion concernée sans réétiqueter toute l’entreprise.

Trois routes à examiner dans un ordre contrôlable

Le tableau organise le test sans transformer une réponse positive sur une route en présomption pour toutes les autres activités. Chaque ligne pose une question, montre la branche positive et conserve une vraie branche négative ¹.

La branche de l’établissement vient en premier parce qu’elle examine un rattachement différent. Si elle échoue, l’article 3(2) permet encore de tester l’offre et le suivi pour une entreprise sans établissement dans l’Union ². Une conclusion négative doit donc indiquer quelles routes ont été vérifiées au lieu de dire seulement « société étrangère ».

Le paiement n’est pas nécessaire pour la route de l’offre, puisqu’une période gratuite, une inscription ou un service sans prix peut encore être offert intentionnellement. L’absence de paiement ne permet pas d’éviter l’examen des signaux; elle retire seulement un raccourci trop simple.

Le diagramme délimite d’abord le traitement, puis vérifie l’établissement et son contexte. À défaut, il recherche une offre et des signaux de ciblage; la simple accessibilité redirige vers le suivi au lieu de prouver une offre. Une offre ciblée ou un suivi dans l’Union ouvre le test distinct de l’article 27, tandis que l’absence de toute route conduit hors de l’article 3.

Un établissement dépend d’arrangements stables et du contexte

Un établissement dans l’Union ne requiert pas toujours une forme juridique particulière: le test porte sur l’exercice effectif et réel d’une activité au moyen d’arrangements stables ¹. Un bureau, une unité ou une présence organisée peut compter, mais ni un nom commercial ni une adresse isolée ne tranche sans contexte ².

Il faut ensuite relier cet établissement au traitement. Des opérations menées hors de l’Union peuvent relever du RGPD lorsqu’elles interviennent dans le contexte de ses activités ³; l’analyse porte donc sur leur articulation, non sur un inventaire de serveurs.

Le lien peut être inextricable même si l’établissement n’exécute pas toutes les opérations techniques: décrivez son rôle, celui de l’équipe extérieure et leur articulation, sans présumer qu’une entité formelle suffit ni que des serveurs éloignés excluent le champ ¹.

Si aucun arrangement stable pertinent n’existe, ou si le traitement n’intervient pas dans son contexte, passez aux routes de l’offre et du suivi. Le dossier conserve cette transition pour qu’un non sur l’établissement ne devienne pas un non définitif ².

Deux colonnes suffisent à rendre le lien contrôlable: l’une décrit les personnes, la continuité et le rôle dans l’Union; l’autre, le traitement réalisé ailleurs et la manière dont il sert, accompagne ou dépend de cette activité.

Une entité du même groupe ne crée donc pas automatiquement le contexte de tous ses traitements, tandis que l’éloignement de l’équipe technique et des serveurs ne ferme pas la route si le lien opérationnel existe.

La conclusion distingue l’établissement pertinent, le contexte du traitement et les faits décisifs. Si l’un des tests échoue, elle en garde la raison et passe explicitement à l’offre, ce qui évite qu’une présence marginale ou un serveur éloigné devienne une justification générale.

L’offre se prouve par une intention objective

L’offre de biens ou services à des personnes dans l’Union repose sur une intention objectivement perceptible. Le paiement n’est pas requis ¹. La question n’est pas de savoir si une personne dans l’Union pouvait techniquement accéder au service, mais si l’entreprise a organisé l’offre pour atteindre ce public ².

Une langue qui n’est pas ordinairement utilisée dans le pays du commerçant, une voie de contact locale ou une campagne spécifique peut aussi entrer dans le faisceau. Aucun indice n’est décisif isolément. Le dossier explique la combinaison et relie les signaux à l’offre précise, plutôt que d’additionner des détails sans contexte.

Le bon niveau d’analyse est l’offre ou la campagne: une page peut rester générale tandis qu’une offre séparée vise une zone de l’Union. Les éléments de cette seconde activité peuvent démontrer l’intention sans transformer toutes les pages en ciblage.

Reconstituez le parcours rencontré: origine et destination de la publicité, destinations proposées et canal de contact. Ces réponses peuvent former une intention cohérente sans être décisives seules. À l’inverse, une devise ou une langue mondiale ajoute peu sans organisation dirigée vers l’Union.

L’intention peut évoluer: une page générale antérieure à toute stratégie européenne ne décrit pas nécessairement une campagne ultérieure. Conservez les éléments contemporains de l’offre et fixez un déclencheur lorsque les zones, la livraison, la publicité ou les références clients changent.

La branche positive doit rester limitée à ce qu’elle prouve. Une campagne destinée à un public de l’Union peut faire entrer le traitement associé dans le champ; elle ne transforme pas automatiquement un produit local séparé en offre européenne. La branche négative garde la même précision: l’absence de signaux aujourd’hui ne couvre pas une future campagne.

L’accessibilité seule préserve une vraie branche négative

Un site mondialement accessible n’est pas, pour cette seule raison, une offre aux personnes dans l’Union ². Les lignes directrices distinguent la disponibilité technique de l’intention de proposer des biens ou services ³. Cette concession doit apparaître tôt, car elle répond au cas fréquent d’une entreprise non européenne qui n’a rien organisé pour le marché de l’Union.

Une adresse électronique, des coordonnées générales ou une langue largement employée ne démontrent pas automatiquement un ciblage ². Ces éléments facilitent un contact sans montrer à qui l’offre était destinée et doivent être lus avec d’autres signaux ³.

Une visite ou une demande spontanée venue de l’Union ne transforme pas non plus, à elle seule, une activité locale en offre dirigée ². L’entreprise doit consigner la manière dont elle a répondu et vérifier si cette réponse reste ponctuelle ou révèle une nouvelle organisation de l’offre. La décision initiale peut changer si des actions ciblées sont ensuite ajoutées ³.

Prenons une entreprise qui sert uniquement un marché américain, n’a aucun établissement dans l’Union, ne livre pas dans l’Union, ne dirige aucune publicité vers elle et ne suit pas les comportements qui s’y déroulent. La simple ouverture du site depuis l’Union ne suffit pas. Pour cette activité délimitée, une conclusion hors de l’article 3 reste disponible, sous réserve que les faits soient vrais et documentés.

La fiche négative peut rester courte mais complète: offre limitée au marché local, aucun canal vers l’Union, contact général non dirigé, absence de suivi comportemental dans l’Union et d’établissement pertinent. Elle nomme aussi qui reverra ces faits si une demande ponctuelle devient récurrente ou si l’entreprise organise une livraison.

Cette précision protège la concession essentielle: refuser de confondre accessibilité et ciblage ne signifie pas ignorer les changements ultérieurs, mais rattacher chaque conclusion à une intention et à une activité observables au lieu de faire du réseau mondial une présomption permanente.

Le suivi constitue une route distincte

Le suivi ne se déduit pas du nom d’un outil: il suppose le comportement d’une personne dans l’Union et une finalité consistant à recueillir puis réutiliser des données comportementales ¹. L’analyse identifie donc qui est observé, où se trouve la personne au moment pertinent et ce que l’organisation entend faire des données ².

L’analytique, la publicité comportementale, la géolocalisation, les cookies et l’empreinte numérique peuvent être pertinents ³, sans remplacer le test. Une mesure technique limitée n’est pas automatiquement un suivi territorial, pas plus qu’un dispositif organisé ne cesse de l’être sous un autre nom ¹.

Décrivez le cycle de données: ce qui est capté, pendant combien de temps, avec quels rapprochements et à quelle fin comportementale. Cette description distingue une mesure ponctuelle d’un dispositif de suivi ou de profilage ² et délimite l’activité éventuellement concernée sans étendre la conclusion à tous les traitements de l’entreprise.

La localisation pertinente est celle du comportement suivi dans l’Union ³. La nationalité de la personne, le pays du siège et le lieu du serveur ne remplacent pas cette question. En cas de réponse positive, passez à l’analyse de l’article 27 pour l’organisation sans établissement; en cas de réponse négative et d’absence des autres routes, conservez la branche hors article 3.

Pour tester la finalité, demandez l’usage prévu après la collecte. Reconnaître une évolution, construire un profil ou adapter une action au comportement appelle un autre examen qu’une mesure sans réutilisation comportementale établie. La réponse vient du fonctionnement prévu, pas du vocabulaire commercial.

La dimension géographique exige la même rigueur: décrivez comment l’activité établit que le comportement se déroule dans l’Union et quand cette localisation compte, sans lui substituer la nationalité supposée ou le lieu du traitement technique.

Une conclusion positive délimite les opérations de collecte et de réutilisation concernées. Elle précise aussi la finalité qui fait du dispositif un suivi. Cette frontière empêche d’étendre le résultat à toute analyse de données réalisée par l’entreprise, alors que la route territoriale dépend du comportement observé et du but poursuivi.

Une conclusion négative indique quel élément manque: comportement dans l’Union, finalité de collecte et réutilisation, ou les deux. Elle ne dit pas simplement « pas de suivi ». Cette formulation rend le résultat contrôlable lorsque la configuration, la durée de conservation ou l’usage des données change.

Les cas limites se décident activité par activité

Les scénarios proches montrent pourquoi un badge d’entreprise serait trompeur. Le tableau maintient les trois routes séparées et formule un résultat de travail qui doit être confirmé par les faits disponibles.

Dans chaque ligne, « peut » signale un test à terminer, pas une conclusion affaiblie: l’exportateur doit établir l’intention, le profileur la finalité comportementale et le groupe le lien avec l’établissement. Une seule description de l’entreprise ne peut pas remplir ces trois besoins.

Le cas local doit rester aussi concret que les cas positifs, car si des fonctions nouvelles ajoutent une campagne destinée à l’Union ou une observation de comportements dans l’Union, cette activité reçoit une nouvelle analyse. Le résultat antérieur ne disparaît pas, mais son périmètre ne doit pas être étendu à des faits qu’il n’a jamais examinés.

L’article 27 vient après une route positive

L’article 27 n’est pas une quatrième manière de faire entrer un traitement dans le champ: il est examiné après une conclusion positive au titre de l’article 3(2), pour un responsable du traitement ou un sous-traitant sans établissement dans l’Union ². Inverser cet ordre conduirait à discuter d’un représentant avant d’avoir établi la portée ³.

L’exception applicable au traitement est cumulative. Le traitement doit être occasionnel, ne pas comprendre à grande échelle les catégories de données visées aux articles 9 ou 10, et être peu susceptible d’engendrer un risque pour les droits et libertés ². Écarter l’article 27 sur un seul de ces éléments sans contrôler les autres laisse le test incomplet ³.

La documentation doit donc reprendre chaque condition avec ses faits. « Occasionnel » reçoit une description de la fréquence; la partie relative aux données identifie ce qui est traité et l’échelle; le risque est apprécié à partir des opérations concernées ². La conclusion explique pourquoi les conditions sont toutes satisfaites ou pourquoi l’exception ne peut pas être utilisée ³.

Les autorités et organismes publics disposent d’une exemption distincte. Ne mélangez pas cette branche avec l’exception cumulative applicable aux autres organisations. Le dossier indique la qualité de l’entité lorsqu’elle est pertinente, au lieu de transformer le mot « public » en hypothèse.

Une conclusion sur le représentant ne remplace aucune autre obligation attachée au traitement et répond seulement, dans ce parcours, à la question qui suit la route territoriale positive: l’article 27 exige-t-il une représentation pour l’organisation sans établissement ?

Le dossier doit permettre de refaire le raisonnement

Commencez par l’activité exacte: personnes concernées, localisation pertinente, données, finalité et fonctionnement. Ajoutez les faits de chaque route: arrangements stables et contexte, signaux d’offre ou finalité de suivi.

La conclusion nomme la route positive ou indique pourquoi aucune route ne s’applique: pour l’offre, conservez la combinaison de signaux et les éléments insuffisants; pour le suivi, le comportement observé dans l’Union et l’usage prévu; pour l’établissement, le lien avec les activités locales.

Si l’article 3(2) est positif et qu’aucun établissement n’existe, ajoutez l’analyse de l’article 27. Le dossier identifie alors chacune des conditions de l’exception, la conclusion sur le représentant et les faits utilisés. Cette séparation évite qu’un résultat sur la portée soit confondu avec un résultat sur la représentation.

Attribuez enfin un propriétaire, une date et des déclencheurs: nouvelle zone de campagne, canal de livraison, arrangement stable ou finalité comportementale. Le propriétaire reconnaît le changement des faits et rouvre l’analyse.

Conservez les éléments qui soutiennent aussi la branche négative. Captures ou descriptions datées des destinations proposées, paramètres de campagne, fonction de l’unité dans l’Union et finalité déclarée du traitement permettent de refaire le test. Une conclusion sans ces éléments devient difficile à distinguer d’une simple affirmation sur le siège.

La synthèse finale tient en une phrase par route, suivie de la conclusion propre au traitement. Si l’article 27 est examiné, placez son résultat après cette synthèse, jamais à sa place. Cette architecture permet à un lecteur interne de voir immédiatement si un changement touche la portée, la représentation, ou les deux.

Questions fréquentes sur la portée territoriale

Un site accessible dans l’Union est-il automatiquement soumis au RGPD ?

Non, l’accessibilité générale ne démontre pas l’intention de proposer des biens ou services aux personnes dans l’Union ¹. Recherchez des signaux objectifs en combinaison, sans transformer une adresse électronique ou une visite spontanée en preuve décisive ². Sans établissement pertinent ni suivi dans l’Union, une entreprise réellement locale conserve une branche hors article 3.

Un serveur hors de l’Union exclut-il le RGPD ?

Non, l’emplacement du serveur ne décide pas à lui seul ². Un traitement effectué ailleurs peut intervenir dans le contexte d’un établissement dans l’Union ³. Sans cette route, vérifiez encore l’offre ciblée et le suivi du comportement dans l’Union. La réponse s’attache à l’activité et à ses faits, pas à un emplacement technique isolé.

Faut-il accepter des paiements pour être considéré comme offrant un service ?

Non, l’article 3(2) couvre l’offre de biens ou services, qu’un paiement soit exigé ou non ². L’intention objective reste la question centrale ³. Analysez les canaux, la livraison, la communication, les références clients et les autres signaux ensemble; aucun élément isolé ne remplace la démonstration du public réellement visé.

Tous les outils d’analytique constituent-ils un suivi ?

Non, il faut un comportement situé dans l’Union et une finalité de collecte puis de réutilisation comportementale ². Les cookies, l’analytique ou la géolocalisation peuvent être pertinents ³, mais le nom de l’outil ne tranche pas. Décrivez les personnes, les données captées, la durée et l’usage avant d’appliquer la route.

Quand l’article 27 doit-il être examiné ?

Après une route positive de l’article 3(2), pour une organisation sans établissement dans l’Union ¹. L’exception exige cumulativement un traitement occasionnel, aucune opération à grande échelle relevant des articles 9 ou 10, et un risque peu probable ². Les autorités et organismes publics relèvent d’une exemption séparée ³.

La portée vaut-elle pour toute l’entreprise ?

Non. Le champ est déterminé traitement par traitement ¹. Une offre ciblée peut relever du RGPD tandis qu’une activité locale séparée reste hors de l’article 3 ². Consignez le périmètre, les faits, la route, la conclusion, l’analyse éventuelle de l’article 27, le propriétaire et les changements qui déclencheront un nouvel examen ³.

La même entreprise peut donc conserver plusieurs fiches cohérentes: l’une documente un service local accessible sans ciblage, une autre couvre une offre organisée vers l’Union et une troisième décrit un suivi comportemental. Ce découpage n’affaiblit pas l’analyse: il empêche une route positive ou négative d’être appliquée à des opérations qu’elle n’a jamais examinées.